[논문 리뷰] Chatbots in a Honeypot World

Forrest McKee, David Noever|arXiv (Cornell University)|2023. 01. 10.

Network Security and Intrusion Detection인용 수 14

한 줄 요약

이 논문은 챗봇/대형언어모델(LLM)을 동적인 허니팟 인터페이스로 활용하여 터미널과 원격 도구를 흉내 내고 공격자 상호작용을 연구하며 중요한 자산을 노출하지 않으면서 방어자의 정복 시간(TTC)을 연장하는 방법을 탐구한다.

ABSTRACT

Question-and-answer agents like ChatGPT offer a novel tool for use as a potential honeypot interface in cyber security. By imitating Linux, Mac, and Windows terminal commands and providing an interface for TeamViewer, nmap, and ping, it is possible to create a dynamic environment that can adapt to the actions of attackers and provide insight into their tactics, techniques, and procedures (TTPs). The paper illustrates ten diverse tasks that a conversational agent or large language model might answer appropriately to the effects of command-line attacker. The original result features feasibility studies for ten model tasks meant for defensive teams to mimic expected honeypot interfaces with minimal risks. Ultimately, the usefulness outside of forensic activities stems from whether the dynamic honeypot can extend the time-to-conquer or otherwise delay attacker timelines short of reaching key network assets like databases or confidential information. While ongoing maintenance and monitoring may be required, ChatGPT's ability to detect and deflect malicious activity makes it a valuable option for organizations seeking to enhance their cyber security posture. Future work will focus on cybersecurity layers, including perimeter security, host virus detection, and data security.

연구 동기 및 목표

• 사이버 보안에서 대화형 에이전트를 방어용 허니팟으로 활용하도록 동기를 부여한다.
• 리눅스/맥/윈도우 터미널 및 도구(예: TeamViewer, nmap, ping)를 공격자 인터페이스로 흉내 내는 챗봇의 가능성을 입증한다.
• 동적인 허니팟이 공격자 행동에 적응하여 전술을 드러내되 위험을 관리하는 방법을 보인다.
• 연장된 정복 시간 및 악의적 활동의 탐지/방향 전환과 같은 잠재적 방어 이점을 평가한다.

제안 방법

• 허니팟 인터페이스를 시뮬레이션하기 위해 대화형 에이전트가 답할 수 있는 10가지 다양한 작업을 제시한다.
• 방어 팀이 최소한의 위험으로 사용할 수 있는 모델 작업에 대한 실현 가능성 연구를 수행한다.
• 동적 허니팟이 공격자 행동에 어떻게 적응하고 TTP에 대한 통찰을 수집할 수 있는지 평가한다.

실험 결과

연구 질문

• RQ1 챗봇 기반 허니팟이 일반적인 명령줄 도구와 원격 접근 도구를 설득력 있게 흉내 낼 수 있는가?
• RQ2 자산을 노출하지 않고 동적 허니팟이 공격자의 진행 속도를 어느 정도 지연시킬 수 있는가?
• RQ3 챗봇을 허니팟으로 사용할 때 얻는 방어자 이점(예: 공격자 프로파일링, 탐지)은 무엇인가?
• RQ4 이러한 허니팟에 필요한 유지보수 및 모니터링 고려사항은 무엇인가?

주요 결과

• 챗봇은 터미널 명령과 일반 도구를 흉내 내어 동적 허니팟 인터페이스를 만들 수 있다.
• 동적 허니팟은 주요 자산을 피하면서 공격자의 시간표를 연장하고 공격자 TTP에 대한 통찰을 제공할 수 있다.
• ChatGPT와 유사한 모델은 악의적 활동을 탐지하고 회피할 수 있어 사이버 보안 자세에 기여한다.
• 향후 연구는 경계 보안과 계층화, 호스트 악성 코드 탐지 및 데이터 보안을 포함한다.