[論文レビュー] Gotta catch 'em all: a Multistage Framework for honeypot fingerprinting

Shreyas Srinivasa, Jens Myrup Pedersen+1 more|arXiv (Cornell University)|Sep 22, 2021

Network Security and Intrusion Detection被引用数 4

ひとこと要約

本論文は、アクティブなフォトニクス技術と第三者スキャナからのパasiveデータを組み合わせた、プローブベースのマルチステージフレームワークを提示する。このフレームワークにより、IPv4インターネット全体において21,855のハニーポットインスタンスを同定した。プローブベース手法は100%のハニーポットを検出するが、第三者のメタスキャン手法は全体の33.9%しか検出できず、顕著に優れていることが示された。

ABSTRACT

Honeypots are decoy systems that lure attackers by presenting them with a seemingly vulnerable system. They provide an early detection mechanism as well as a method for learning how adversaries work and think. However, over the last years, a number of researchers have shown methods for fingerprinting honeypots. This significantly decreases the value of a honeypot; if an attacker is able to recognize the existence of such a system, they can evade it. In this article, we revisit the honeypot identification field, by providing a holistic framework that includes state of the art and novel fingerprinting components. We decrease the probability of false positives by proposing a rigid multi-step approach for labeling a system as a honeypot. We perform extensive scans covering 2.9 billion addresses of the IPv4 space and identify a total of 21,855 honeypot instances. Moreover, we present a number of interesting side-findings such as the identification of more than 354,431 non-honeypot systems that represent potentially vulnerable servers (e.g. SSH servers with default password configurations and vulnerable versions). Lastly, we discuss countermeasures against honeypot fingerprinting techniques.

研究の動機と目的

• 誤検出を最小限に抑えた包括的で多層的なハニーポット検出フレームワークの開発。
• プローブベースのフォトニクス技術と、パasiveな第三者メタスキャン手法の有効性を比較評価すること。
• デフォルトパスワードや既知の脆弱性を有する高リスク設定の非ハニーポットシステムを同定・特徴づけること。
• フォトニクスのリスクについてハニーポット開発者および管理者に啓発を促し、対策を提言すること。
• 公開インターネット上のハニーポットの存在とシステムの露出状況を大規模かつ再現可能にスキャンし、セキュリティコミュニティに貢献すること。

提案手法

• 誤検出を低減するため、アクティブプローブとパasiveデータ分析を組み合わせたマルチステージのフォトニクスパイプラインを設計する。
• SSH、Telnet、HTTP、FTP、その他の一般的なサービスにおける応答の異常を検出するため、プロトコルハンドシェイクフォトニクスを実装する。
• 非ランダムまたは予測可能な証明書パターンに基づいてハニーポットを同定する静的TLS証明書分析手法を導入する。
• 完全修飾ドメインネーム（FQDN）のチェックを適用し、ハニーポット展開に起因する不一致を検出する。
• スキャンプロバイダー（例：Shodan）からの第三者データを統合し、結果の妥当性を検証および相互確認する。
• 複数の独立したチェックに合格した場合にのみ、システムをハニーポットとラベル付ける、厳密な複数ステップの意思決定プロセスを適用する。

実験結果

リサーチクエスチョン

• RQ1 プローブベースのフォトニクス技術は、パasiveな第三者メタスキャン手法と比較して、ハニーポット同定にどの程度有効であるか？
• RQ2 公開IPv4空間におけるハニーポット展開の実際の規模はどの程度で、異なるハニーポット実装ごとにどのように変動するか？
• RQ3 誤検出を最小限に抑えつつ高い検出精度を維持するため、どのフォトニクス技術が最も信頼性が高いか？
• RQ4 非ハニーポットと同定されたシステムのうち、デフォルトパスワードや既知の深刻な脆弱性を有する割合はどの程度か？
• RQ5 進化するマルウェア行動を踏まえた場合、フォトニクスに対する防御を実現する実用的な対策は何か？

主な発見

• マルチステージの検証プロセスのおかげで、誤検出率が著しく低減された。2.9億のIPv4アドレスにわたる範囲で21,855のユニークなハニーポットインスタンスが同定された。
• プローブベースのフォトニクス技術は100%のハニーポットを検出できたが、第三者のメタスキャン手法は全体のハニーポットの33.9%しか検出できなかった。
• 354,431件を超える非ハニーポットシステムが、デフォルトパスワードや深刻な脆弱性を有する可能性があると特定された。特にSSHおよびFTPサーバーが該当した。
• 本研究は、広く使われているオープンソースハニーポットが、単純で再現可能なフォトニクス技術によって依然として検出可能であることを確認した。これは継続的なセキュリティリスクを示している。
• 本研究の結果は、パasiveデータに依存する既存のハニーポット検出手法が不十分であり、包括的な検出にはアクティブプローブが不可欠であることを示している。
• 著者らはハニーポット開発者および管理者にリスクについて啓発を図ったが、これらのシステムの複雑さと保守負荷の高さを踏まえ、広範なパッチ適用の可能性については低いと見なしている。