IoT 网络安全：解密 Zigbee 流量数据分析

IoT Network Security Analyzing Decrypted Zigbee Traffic Data

引言

IoT 网络在智能家居和工业自动化中的重要性日益增长

IoT 网络的发展通过实现设备间的无缝连接，彻底改变了智能家居和工业自动化。根据Statista的数据，智能家居用户数量预计到2028 年将达到 7.8516 亿，这凸显了互联系统的广泛采用。

IoT 网络通过允许设备自主通信、监控和执行任务来促进自动化，从而提高能源效率、安全性和便利性。从智能照明和安全系统到制造过程和环境监测，IoT 网络在现代应用中发挥着关键作用。

然而，这些网络的安全性和可靠性仍然是关键问题。随着连接设备数量的增加，与未经授权的访问、数据操纵和网络漏洞相关的风险也在增加。本研究通过提供解密的 Zigbee 网络流量数据，解决了 IoT 网络中的关键挑战之一——加密的 Zigbee 负载，以进行高级安全和性能评估。

Zigbee：关键的 IoT 通信协议

Zigbee 是一种广泛采用的低功耗无线通信协议，专为 IoT 网络设计，特别是在智能家居、工业自动化和医疗应用中。基于 IEEE 802.15.4 标准，Zigbee 实现了安全和可扩展的网状网络，允许多达 65,000 台设备在网络中高效通信。

Zigbee 的优势包括：

• 低功耗——专为电池供电的 IoT 设备设计，减少能源消耗。
• 网状网络能力——设备中继信号，确保即使在大规模部署中也能可靠通信。
• 双向通信——实现 IoT 设备之间的智能交互，确保高效自动化。
• 成本效益高——与 Wi-Fi 或蜂窝连接相比，Zigbee 提供低运营成本。

尽管有其优势，Zigbee 对网络负载进行加密，限制了设备通信模式和安全漏洞的可见性。理解设备在 IoT 网络中的交互方式需要解密这些数据——这是本研究成功解决的挑战。

IoT 网络安全的挑战：加密负载和流量分析的限制

在 IoT 网络中，安全性仍然是一个主要问题，尤其是在处理加密的设备通信时。Zigbee 使用加密来保护传感器读数、设备命令和自动化触发器，但这为以下方面带来了障碍：

• 安全测试——没有解密，很难分析 IoT 设备通信中的漏洞。
• 异常检测——加密流量阻止研究人员识别 IoT 网络中的可疑行为或网络攻击。
• 性能优化——理解流量模式需要分析真实的网络数据，而加密则掩盖了这些数据。

为了使 IoT 网络保持安全和高效，研究人员必须解密和分析网络流量，以发现弱点、优化设备性能并加强加密协议。

研究重点：解密 Zigbee 网络流量以进行安全和性能评估

本研究提出了ZigBeeNet，一个解密的 Zigbee IoT 网络流量数据集，收集自一个拥有 15 台 Zigbee 设备的真实智能家居，持续 20 天。研究人员提取了网络密钥，使他们能够：

• 分析实时 IoT 网络中的设备通信行为。
• 通过检查解密负载识别安全漏洞。
• 使用真实世界的流量模式优化 IoT 网络性能。

通过解密 Zigbee 流量，本研究为IoT 网络安全和效率提供了前所未有的见解，为高级安全模型、异常检测系统和优化的网络性能策略铺平了道路。

理解 IoT 网络和 Zigbee 通信

IoT 网络的定义及其在现代数字基础设施中的作用

IoT 网络是一个由智能设备组成的互联系统，能够自主通信，从而提高各个行业的自动化、监控和效率。这些网络实现了实时数据交换，使设备能够在无需人工干预的情况下无缝运行。IoT 网络在智能家居、工业自动化、医疗监控和环境传感中发挥着关键作用。

在智能家居的背景下，基于 Zigbee 的 IoT 网络为运动传感器、智能锁、照明系统和环境监测器等关键设备提供动力，确保低延迟、高能效的通信。与传统的网络解决方案不同，IoT 网络依赖于轻量级、可扩展的协议，这些协议专为电池供电和嵌入式设备优化。

主要 IoT 协议比较：Zigbee、Z-Wave、Wi-Fi、Bluetooth 和 Matter

多种通信协议满足IoT 网络需求，在范围、能耗、可扩展性和安全性方面有所不同。

Zigbee 因其低功耗、广泛的设备支持和网状网络能力，成为智能家居自动化中首选的 IoT 网络协议。

Zigbee 在 IoT 网络中的优势

Zigbee 的广泛采用得益于其在各种 IoT 应用中的效率和适应性。其关键优势包括：

• 可扩展性——支持多达 65,000 台设备，非常适合大规模 IoT 部署。
• 能源效率——在低功耗下运行，显著延长了传感器和开关等设备的电池寿命。
• 网状网络——通过允许设备中继信号，确保即使在大型基础设施中也能保持稳定连接。
• 安全通信——使用 AES 加密进行端到端数据保护，最大限度地降低安全风险。

本研究强调了 Zigbee 通过网状连接保持网络完整性的能力，确保在智能家居和工业环境中的一致数据传输。

加密和网络密钥在 Zigbee 安全中的作用

Zigbee 的安全框架采用多层加密协议，确保传输的数据保持机密性并免受未经授权的访问。

1. 网络密钥加密——使用 AES 128 位加密加密所有负载，防止拦截。
2. 链路密钥——在配对设备之间建立安全通信，限制对受信任实体的访问。
3. 消息完整性代码 (MICs)——通过验证每个传输的数据包来防止数据篡改。
4. 重放保护——防止攻击者重新发送捕获的数据包以破坏网络。

本研究提供的解密 Zigbee 网络流量数据集为设备通信模式、安全漏洞和网络性能提供了宝贵的见解，推动了IoT 安全模型的未来发展。

方法论：捕获和分析 Zigbee IoT 网络流量

数据收集过程

本研究使用 Texas Instruments CC2531 USB dongle捕获实时 Zigbee IoT 网络流量，这是一种常用的 Zigbee 数据包嗅探器。该 dongle 连接到 Raspberry Pi 3，作为数据收集平台。在 Raspberry Pi 上配置了Wireshark（一种流行的网络分析工具），用于从运行在 channel 11上的智能家居IoT 网络中捕获 Zigbee 数据包，确保精确的流量监控。

为了管理庞大的数据集，记录过程被结构化，使得每小时的网络流量被保存到一个单独的 pcap 文件中。还启用了对 Raspberry Pi 的远程访问，允许在数据收集期间进行实时监控和即时问题解决。

该研究连续捕获了20 天的 Zigbee IoT 网络流量，涵盖了 15 台支持 Zigbee 的智能家居设备。这些设备包括智能灯泡、运动传感器、调光开关和电源插座，形成了一个动态的家庭自动化网络。

表：Zigbee 网络流量收集概览

这种结构化方法实现了 IoT 流量模式的准确跟踪，对于评估设备通信、加密协议和安全漏洞至关重要。

在数据收集过程中，发现一些捕获的文件已损坏，显示出不完整的数据包捕获等错误。此问题源于 Wireshark 的限制，包括 Raspberry Pi 上的资源限制和数据记录期间的中断。

为了解决这些错误，实施了数据预处理管道：

1. 使用 Editcap 进行数据包修复 - 使用 editcap 工具处理损坏的文件，纠正格式错误的数据包以确保可用性。
2. 合并文件以进行全面分析 - 使用 mergecap 工具合并 pcap 文件，创建用于详细探索的单一数据集。
3. 基于时间分析的分割 - 为了保持可管理的文件大小，数据被分割成相等的一小时段，有助于时间序列流量评估。

这些预处理步骤确保了数据完整性，允许进行结构化的 Zigbee 网络流量分析，以进行安全评估和性能评估。

用于流量解密的网络密钥提取

Zigbee 采用多层加密来保护 IoT 通信：

• 传输密钥 - 公开已知，用于解密 Zigbee 数据包的头部，但不用于有效载荷数据。
• 网络密钥 - 在设备配对期间分发的私钥，对于解密 Zigbee 网络流量中的完整有效载荷至关重要。

虽然传输密钥允许有限的分析，但完全解密 Zigbee 流量需要提取网络密钥，本研究成功实现了这一点。

为了解密有效载荷，研究人员遵循了结构化的密钥提取过程：

1. 捕获设备配对数据 - 在数据包嗅探器监控流量交换的同时，向网络添加新的 Zigbee 设备。
2. 拦截网络密钥传输 - 在配对过程中，协调器将网络密钥传输给新设备。
3. 使用 Wireshark 提取密钥 - 在特殊的 Zigbee 数据帧中识别网络密钥，允许完全解密先前加密的有效载荷。
4. 将解密应用于捕获的流量 - 提取网络密钥后，研究人员解码 Zigbee 消息，揭示了详细的设备通信行为和数据交互。

解密 Zigbee IoT 网络流量有几个关键目的：

• 设备行为分析 - 了解 Zigbee 设备如何发送、接收和处理命令，有助于优化网络效率。
• 异常检测 - 识别异常网络活动，可能表明入侵、数据泄露或设备故障。
• 安全漏洞评估 - 检查加密弱点，允许改进 IoT 安全协议。

通过解密实时 Zigbee 流量，本研究为 IoT 网络安全提供了宝贵的见解，帮助研究人员加强加密机制并优化智能家居通信。

IoT 网络分析模型的工作原理

流量分析和分类

该数据集包含 24,679,823 个捕获的数据包，每个数据包都是在 20 天的监控期间记录的。研究人员分析了秒、分钟和小时的流量分布，识别了网络活动的波动。

表：跨时间间隔的数据包密度分析

图形分析显示数据包传输的突然增加，表明设备活动高峰期。该研究检查了这些流量激增的原因，揭示了设备触发器、环境因素和自动化例程之间的相关性。

不同的 IoT 设备在 Zigbee 网络中表现出不同的通信行为。该研究按设备类型对流量进行分类，跟踪以下设备之间的交互：

• 集线器 - 管理网络的集中式路由节点。
• 灯泡和灯 - 用于照明自动化的频繁发送者。
• 传感器 - 发送事件触发数据的运动检测器。
• 开关 - 生成命令信号的用户激活控制器。

表：Zigbee 设备流量分布

灯泡和灯主导 Zigbee 通信，为自动化发送持续更新。集线器处理高网络流量，确保无缝的设备协调。

Zigbee 网络依赖于两种传输类型：

• 单播数据包（78.1%） - 设备间的直接通信
• 广播数据包（21.9%） - 全网范围内的传输

研究表明高度依赖单播传输，表明设备间交互的高效性。然而，Mesh 网络需要广播数据包进行路由和同步，这影响了重传行为。

表：Zigbee 各层的广播流量分布

Zigbee 网络依赖广播消息进行设备同步，特别是在路由协议中。

重传确保了 IoT 网络中的数据包传输。分析显示：

• 52.3% 的流量来自设备
• 47.7% 为重传数据包
• 仅 22.2% 的数据包无需重传即可到达目的地

表：Zigbee 各层的数据包传输效率

重传增强了网络弹性，防止了因信号丢失导致的通信故障。

IoT 网络流量的安全影响

解密 Zigbee 流量可实现详细的安全评估。研究人员识别出异常的数据包传输模式，表明存在异常活动。广播流量的异常激增引发了对未经授权的设备交互的担忧。

解密暴露了 IoT 网络中的关键安全漏洞。攻击者可以分析流量模式，识别自动化例程的规律。如果没有适当的加密更新，恶意实体可以操纵设备行为，导致未经授权的访问和自动化控制绕过。

结果与性能评估

IoT 网络安全与性能的关键发现

传统 IoT 网络由于持续的设备交互而消耗过多能源。基于 Zigbee 的 Mesh 网络展示了节能行为，减少了不必要的重传。

表：IoT 网络模型的能效指标

解密支持流量建模，从而实现：

• 自适应数据包调度以减少网络拥塞
• 优化设备响应时间以实现节能
• 实时安全监控，更快地检测异常

研究人员发现了影响 Zigbee 网络的加密弱点。攻击者可能拦截配对过程，提取网络密钥。如果没有频繁的密钥轮换，设备将容易受到未经授权的访问

点击此处查看更多^[1]。

参考文献与许可

参考文献： Keleşoğlu, N.; Sobczak, Ł. (2024). ZigBeeNet：智能家居环境中的解密 Zigbee IoT 网络流量数据集. 应用科学，14, 10844. https://doi.org/10.3390/app142310844

许可： 本博客遵循知识共享署名 4.0 国际许可协议（CC BY 4.0），允许在注明原作者的情况下自由使用、分发和改编材料。

参考资料