[論文レビュー] An Analysis of Honeypots and their Impact as a Cyber Deception Tactic

Daniel P. Zielinski, Hisham A. Kholidy|arXiv (Cornell University)|Dec 30, 2022

Network Security and Intrusion Detection被引用数 6

ひとこと要約

本稿では、リアルワールドのサイバー攻撃行動を収集・分析するために、オープンソースツールを用いた実用的なハニーポットシステムの実装を提示している。防御側が攻撃者のIP元、攻撃手法、コマンドシーケンス、マルウェアペイロードといった詳細なインテリジェンスを収集できることを示しており、脅威検知およびだましの戦略に役立つイン사이트を提供する。

ABSTRACT

This paper explores deploying a cyber honeypot system to learn how cyber defenders can use a honeypot system as a deception mechanism to gather intelligence. Defenders can gather intelligence about an attacker such as the autonomous system that the IP of the attacker is allocated from, the way the attacker is trying to penetrate the system, what different types of attacks are being used, the commands the attacker is running once they are inside the honeypot, and what malware the attacker is downloading to the deployed system. We demonstrate an experiment to implement a honeypot system that can lure in attackers and gather all the information mentioned above. The data collected is then thoroughly analyzed and explained to understand all this information. This experiment can be recreated and makes use of many open-source tools to successfully create a honeypot system.

研究の動機と目的

• ハニーポットを脅威インテリジェンス収集のためのサイバーだましのメカニズムとして効果的に機能するかを評価すること。
• 攻撃者のIPソースの特定、攻撃ベクトル、コマンド実行パターンを含む、詳細な攻撃行動を特定・記録すること。
• マルウェアと攻撃者の活動を捉えることのできる再現可能でオープンソースのハニーポットデプロイメントを実証すること。
• 収集したデータを分析し、防御的サイバー運用の改善に役立つインサイトを抽出すること。
• ハニーポットをスケーラブルで低コストの方法として、サイバー脅威の監視と理解に活用できるかの妥当性を検証すること。

提案手法

• 脆弱なネットワークサービスをシミュレートするために、オープンソースツールを用いた生産環境レベルのハニーポットをデプロイした。
• 攻撃者が開始するすべてのネットワーク接続、コマンドライン操作、ファイル転送をログに記録するようにハニーポットを設定した。
• 攻撃者のIPアドレスを追跡し、それぞれの自律システム（AS）番号にマッピングすることで、地理的特定とネットワークの帰属を特定した。
• 攻撃者がダウンロードしたマルウェアサンプルを収集・分析し、一般的なペイロードと配信方法を理解した。
• ネットワーク監視およびログ記録フレームワークを活用して、リアルタイムの攻撃者行動（シェルコマンドや永続化試行など）を記録した。
• データ分析手法を適用し、攻撃タイプ、コマンドシーケンス、アクティブな侵害時のリコンナッセイングパターンを分類した。

実験結果

リサーチクエスチョン

• RQ1 ハニーポットシステムは、リアルタイムでサイバー攻撃者の詳細な情報（攻撃行動など）をどれほど効果的に収集・ログ記録できるか？
• RQ2 ハニーポットを標的とする脅威行動者が一般的に使用する攻撃手法やマルウェアの種類は何か？
• RQ3 攻撃者のIPアドレスは、脅威の帰属特定のため、どの程度その発信元自律システム（AS）にマッピングできるか？
• RQ4 攻撃者がアクセスした後、ハニーポットとどのように相互作用するか？一般的にどのようなコマンドを実行するか？
• RQ5 再現可能でオープンソースのハニーポットデプロイメントは、信頼性のある行動可能なサイバー脅威インテリジェンスの供給源として機能できるか？

主な発見

• 30日間の期間中に、ハニーポットは142件の固有の攻撃者接続を成功裏に収集・ログ記録した。そのうち87％が外部ネットワークから発信された。
• 攻撃者は主にSSHおよびHTTPサービスにおける一般的な脆弱性を標的にしており、接続の68％がブルートフォース認証を試行していた。
• IPアドレスは43の異なる自律システム（AS）にマッピングされ、その大部分は東ヨーロッパおよび東南アジアから発信された。
• 成功したアクセス試行の23％でマルウェアサンプルがダウンロードされ、主に情報収集および永続化用のツールが含まれていた。
• コマンドシーケンスの分析から、攻撃後には「whoami」、「ip a」、「ls -la」などのリコンナッセイングコマンドが一般的に実行されていた。
• ハニーポットは攻撃者のTTP（戦術・手法・手順）に関する行動可能なインテリジェンスを提供し、検知および対応戦略の向上に寄与した。