Gotham Testbed

Gotham Testbed是一个可重现的物联网安全实验和数据集生成测试平台，由Ikerlan技术研究中心和巴斯克研究和科技联盟(BRTA)开发。该数据集包含100个模拟物联网设备，通过MQTT、CoAP和RTSP等协议进行通信，模拟了一个包含30个交换机和10个路由器的网络拓扑。数据集旨在解决物联网环境中机器学习安全系统的开发和测试问题，特别是在数据集稀缺和威胁环境不断演变的背景下。Gotham Testbed允许研究人员根据当前的物联网设置和威胁环境，利用和调整其他设备、最新攻击和拓扑结构，共享场景和数据集。Gotham Testbed is a reproducible testbed for IoT security experiments and dataset generation, developed by Ikerlan Technological Research Center and Basque Research and Technology Alliance (BRTA). This dataset includes 100 simulated IoT devices that communicate via protocols such as MQTT, CoAP and RTSP, and simulates a network topology composed of 30 switches and 10 routers. It is designed to address the challenges of developing and testing machine learning-based security systems in IoT environments, particularly in contexts where datasets are scarce and threat landscapes are continuously evolving. Gotham Testbed allows researchers to share experimental scenarios and datasets, while leveraging and adapting other devices, cutting-edge attacks and network topologies based on current IoT setups and threat environments.

搜集汇总

数据集介绍

构建方式

在物联网安全研究领域，构建高质量数据集面临设备异构性、攻击动态性及拓扑复杂性等多重挑战。Gotham Testbed采用基于GNS3网络仿真器的模块化架构，通过Docker容器与QEMU虚拟机技术实现设备与网络基础设施的仿真。其构建过程分为三层：边缘层部署100个仿真物联网设备，涵盖MQTT、CoAP、RTSP等协议；网络层通过30台交换机和10台路由器构建分层拓扑；云端层集成认证服务、流媒体服务器等基础设施。测试床通过可复现的配置脚本自动化部署，并引入真实恶意软件样本与红队工具，确保攻击行为的仿真保真度。

特点

该数据集的核心特征体现在多维度的仿真深度与可扩展性。在协议层面，其覆盖物联网主流通信协议，并支持明文、认证及加密等多种传输模式。攻击行为方面，不仅完整复现Mirai僵尸网络生命周期，还集成Merlin C&C框架及针对MQTT/CoAP的专项攻击工具，形成层次化威胁模型。拓扑结构采用城市、威胁与云端三层架构，模拟真实网络分段与路由复杂性。此外，测试床通过资源约束配置实现硬件异构性仿真，并内置流量整形与数据捕获机制，为生成多源安全数据提供基础设施支撑。

使用方法

研究人员可通过开源代码库部署完整测试床环境，利用拓扑构建器自定义设备配置与网络连接。在安全实验场景中，用户可通过场景生成器调度攻击序列，并在指定链路捕获原始网络流量及设备日志。生成的数据集适用于机器学习模型训练，特别是针对物联网协议异常检测与僵尸网络行为分析。测试床的模块化设计允许扩展新的设备模板或攻击向量，支持构建定制化数字孪生场景。此外，其隔离性设计保障恶意代码的安全执行，为联邦学习等分布式安全算法验证提供实验平台。

背景与挑战

背景概述

随着物联网技术的广泛应用，针对物联网设备的攻击事件显著增加，机器学习方法在入侵检测领域展现出巨大潜力。然而，现有物联网安全数据集的稀缺性严重制约了相关机器学习系统的研发。静态数据集因物联网架构与威胁态势的快速演变而迅速过时，且用于生成数据集的测试平台鲜有公开。在此背景下，Gotham Testbed应运而生，由Ikerlan技术研究中心与蒙德拉贡大学的研究团队于2023年正式提出。该测试平台基于GNS3网络仿真器构建，具备高度可复现性与可扩展性，能够灵活集成新型仿真设备、服务或攻击模块。其核心研究目标在于为物联网安全实验与数据集生成提供一个动态、可控且贴近真实网络环境的实验平台，从而推动机器学习在物联网安全领域的实际应用与学术研究。

当前挑战

Gotham Testbed所应对的核心领域挑战在于解决物联网入侵检测中高质量、时效性数据集的匮乏问题。具体而言，现有公开数据集普遍存在攻击行为异构性不足、缺乏真实僵尸网络恶意软件样本、对MQTT和CoAP等物联网协议的攻击覆盖有限，以及网络拓扑结构过于简化等问题，导致基于此类数据训练的机器学习模型难以有效应对现实世界中快速演进的物联网威胁。在平台构建过程中，研究团队面临多重技术挑战：一是需在仿真环境中高保真地复现包括Mirai僵尸网络完整生命周期在内的复杂攻击行为，同时确保恶意代码的封闭执行以避免外泄风险；二是需设计可扩展的架构以支持包含上百个节点、数十台交换机和路由器的复杂网络拓扑，并实现链路质量与硬件资源的精确仿真；三是需建立完整的可复现性机制，涵盖节点配置、攻击脚本与拓扑描述的标准化文档，以保障实验结果的可靠性与平台的可复用性。

常用场景

经典使用场景

在物联网安全研究领域，Gotham Testbed 作为可复现的仿真测试平台，其经典应用场景在于为机器学习驱动的入侵检测系统提供高质量、动态更新的训练与验证数据集。该平台通过构建包含100个仿真物联网设备的复杂网络拓扑，模拟真实世界中的MQTT、CoAP及RTSP协议通信，并集成包括完整Mirai僵尸网络生命周期在内的多种威胁模型，从而生成兼具协议多样性与攻击复杂性的网络流量数据。研究人员得以在此受控环境中，系统性地评估和优化安全算法在应对新兴物联网威胁时的性能与泛化能力。

解决学术问题

Gotham Testbed 有效应对了物联网安全研究中长期存在的关键挑战：静态数据集因物联网架构与威胁态势快速演变而过时，且生成这些数据集的测试平台往往缺乏可复现性与可扩展性。该平台通过提供开源、可灵活扩展的仿真环境，允许研究者自定义设备、服务与攻击向量，从而生成反映当前威胁格局的动态数据集。这不仅解决了机器学习模型在物联网场景下因数据稀缺而导致的性能瓶颈，也弥合了学术实验环境与真实部署场景之间的鸿沟，为开发鲁棒且适应性强的安全系统奠定了坚实基础。

衍生相关工作

Gotham Testbed 的提出，建立在对现有物联网安全数据集与测试平台（如N-BaIoT、Bot-IoT、TON_IoT等）的系统性分析之上，并针对其普遍存在的局限性——如攻击异质性不足、真实恶意软件缺失、拓扑结构过于简化以及平台不可复现——进行了针对性改进。其设计理念与架构也借鉴并融合了如MiniCPS、CPS Twinning等可复现测试平台的思想，但将焦点扩展至更广泛的物联网协议与更全面的威胁模型。该平台的发布，有望激励后续研究围绕其进行扩展，集成新的设备、攻击与拓扑，从而持续产生共享的、反映最新安全态势的场景与数据集。