[논문 리뷰] A Survey on Honeypot Software and Data Analysis

Marcin Nawrocki, Matthias Wählisch외 3명|arXiv (Cornell University)|2016. 08. 22.

Network Security and Intrusion Detection참고 문헌 61인용 수 127

한 줄 요약

이 설문은 honeypot 소프트웨어 및 데이터 분석 방법에 대한 포괄적인 개요를 제공하며, 분류 체계, 배포 고려사항, 윤리적 측면을 포함하여 실무자들이 honeypot를 선택하고 분석하는 데 안내를 제공합니다.

ABSTRACT

In this survey, we give an extensive overview on honeypots. This includes not only honeypot software but also methodologies to analyse honeypot data.

연구 동기 및 목표

• honeypot 소프트웨어와 그 배치 맥락에 대한 광범위한 개요를 제공합니다.
• honeypot 데이터 분석 및 로깅 관행을 조사하는 방법론.
• honeypot 사용과 관련된 윤리적·법적 문제를 명확히 밝힙니다.
• 목표와 상호작용 수준에 따라 honeypot 유형을 선택하는 실무적 지침을 제공합니다.

제안 방법

• 생산용 대 연구용 및 상호작용 수준(낮음/중간/높음)에 따라 honeypot를 분류합니다.
• 서버형 대 클라이언트 honeypot 및 물리적 대 가상 구현을 설명합니다.
• 역사적 및 상업용 honeypot 소프트웨어와 그 기능을 요약합니다.
• honeypot의 장단점과 예방, 탐지 및 대응에서의 역할에 대해 논의합니다.
• honeypot와 관련된 데이터 분석 접근법 및 로그 구조를 개략합니다.

실험 결과

연구 질문

• RQ1 배포를 위해 이용 가능한 honeypot 소프트웨어의 주요 유형과 특징은 무엇인가요?
• RQ2 실행 가능한 보안 인사이트를 제공하기 위해 honeypot의 로그 데이터를 어떻게 분석해야 하나요?
• RQ3 다양한 honeypot 상호작용 수준과 배포 맥락 간의 트레이드오프는 무엇인가요?
• RQ4 보안 연구 및 방어를 위한 honeypot 사용에 관한 윤리적 및 법적 고려사항은 무엇인가요?
• RQ5 감지 및 대응에서 honeypots가 전통적인 보안 메커니즘(방화벽, IDS, AV)을 보완할 수 있는 방법은 무엇인가요?

주요 결과

• Honeypots는 생산 활동으로 오염되지 않은 데이터를 제공하여 노이즈를 줄인 집중 분석에 도움을 줍니다.
• 그들은 자신에게 향한 공격에 노출되어 비정상적이거나 제로데이 활동을 탐지할 수 있게 해줍니다.
• 분류체계는 생산용 대 연구용 honeypots와 낮음/중간/높음 상호작용 수준은 물론 서버 대 클라이언트 및 물리적 대 가상 형태를 구분합니다.
• 고상호작용 honeypots는 풍부한 공격 로그를 제공하지만 배포 및 유지 관리가 더 복잡한 반면, 저상호작용 honeypots는 배포가 더 쉽지만 자세한 데이터는 적게 생성합니다.
• Honeypots는 예방 및 탐지 도구를 보완하는 데 가장 적합하며, 오프라인/로그 중심의 검토로 대응 및 포렌식 분석에서 강력한 역량을 발휘합니다.