[論文レビュー] Chatbots in a Honeypot World

Forrest McKee, David Noever|arXiv (Cornell University)|Jan 10, 2023

Network Security and Intrusion Detection被引用数 14

ひとこと要約

本論文は、チャットボット/LLMを動的なホニーポット・インターフェースとして用い、端末およびリモートツールを模倣し、攻撃者の相互作用を研究し、重要資産を公開せずに防御側の攻略時間を延ばすことを探る。

ABSTRACT

Question-and-answer agents like ChatGPT offer a novel tool for use as a potential honeypot interface in cyber security. By imitating Linux, Mac, and Windows terminal commands and providing an interface for TeamViewer, nmap, and ping, it is possible to create a dynamic environment that can adapt to the actions of attackers and provide insight into their tactics, techniques, and procedures (TTPs). The paper illustrates ten diverse tasks that a conversational agent or large language model might answer appropriately to the effects of command-line attacker. The original result features feasibility studies for ten model tasks meant for defensive teams to mimic expected honeypot interfaces with minimal risks. Ultimately, the usefulness outside of forensic activities stems from whether the dynamic honeypot can extend the time-to-conquer or otherwise delay attacker timelines short of reaching key network assets like databases or confidential information. While ongoing maintenance and monitoring may be required, ChatGPT's ability to detect and deflect malicious activity makes it a valuable option for organizations seeking to enhance their cyber security posture. Future work will focus on cybersecurity layers, including perimeter security, host virus detection, and data security.

研究の動機と目的

• サイバーセキュリティにおける防御用ホニーポットとして対話エージェントの活用を促進する。
• 攻撃者インターフェースとして、Linux/Mac/Windows の端末やツール（例：TeamViewer、nmap、ping）を模倣するチャットボットの実現性を示す。
• 動的ホニーポットが攻撃者の行動に適応して戦術を明らかにしつつリスクを管理する方法を示す。
• 攻略時間の延長や悪意ある活動の検知・逸らし等、潜在的な防御上の利点を評価する。

提案手法

• ホニーポット・インターフェースを模倣するために、対話エージェントが回答できる多様なタスクを十個提示する。
• 防御チームが最小リスクで活用できるモデルタスクの実現可能性調査を行う。
• 動的ホニーポットが攻撃者の行動に適応する方法を評価し、TTP についての洞察を得る。

実験結果

リサーチクエスチョン

• RQ1 チャットボットベースのホニーポットは、一般的なコマンドラインおよびリモートアクセスツールを納得させるまでに模倣できるか。
• RQ2 動的ホニーポットは資産を露出させずに、攻撃者の進行をどの程度遅らせることができるか。
• RQ3 チャットボットをホニーポットとして使用することから得られる防御側の利点（例：攻撃者のプロファイリング、検知）は何か。
• RQ4 このようなホニーポットには、どのような保守・監視上の考慮が必要か。

主な発見

• チャットボットは端末コマンドや一般的なツールを模倣して、動的なホニーポット・インターフェースを作成できる。
• 動的ホニーポットは攻撃者のタイムラインを延長し、重要資産を回避しつつ攻撃者の TTP への洞察を提供する可能性がある。
• ChatGPT 風のモデルは悪意ある活動を検出・逸らすことができ、サイバーセキュリティの態勢に寄与する。
• 今後の課題には周辺セキュリティ、ホストマルウェア検知、データセキュリティとの階層化が含まれる。