[論文レビュー] A Taxonomy for Dynamic Honeypot Measures of Effectiveness

Jason M. Pittman, Kyle Hoffpauir+2 more|arXiv (Cornell University)|May 26, 2020

Complex Systems and Time Series Analysis参考文献 10被引用数 5

ひとこと要約

本稿では、動的ハイブリッドハニーポットの効果的指標の包括的分類を提案し、環境のファーザープrint（指紋）抽出、攻撃者の活動の把握、攻撃者をだます能力、自己監視の各分野における定量的評価を可能にする。このフレームワークは、実装の質と効果性を評価する構造的メトリクスを提供し、ハイブリッドハニーポット研究における重要な空白を埋め、導入の信頼性とセキュリティ価値を向上させる。

ABSTRACT

Honeypots are computing systems used to capture unauthorized, often malicious, activity. While honeypots can take on a variety of forms, researchers agree the technology is useful for studying adversary behavior, tools, and techniques. Unfortunately, researchers also agree honeypots are difficult to implement and maintain. A lack of measures of effectiveness compounds the implementation issues specifically. In other words, existing research does not provide a set of measures to determine if a honeypot is effective in its implementation. This is problematic because an ineffective implementation may lead to poor performance, inadequate emulation of legitimate services, or even premature discovery by an adversary. Accordingly, we have developed a taxonomy for measures of effectiveness in dynamic honeypot implementations. Our aim is for these measures to be used to quantify a dynamic honeypot's effectiveness in fingerprinting its environment, capturing valid data from adversaries, deceiving adversaries, and intelligently monitoring itself and its surroundings.

研究の動機と目的

• 動的ハイブリッドハニーポットの効果を評価するための標準化されたメトリクスの欠如に対処すること。
• 現在測定されていない、あるいは一貫性のない測定がなされているハイブリッドハニーポット性能の重要な次元を特定すること。
• 動的ハイブリッドハニーポットの成功を測定可能な指標として体系的かつ拡張可能な分類法を構築すること。
• データドリブンな評価を通じて、ハイブリッドハニーポットの設計、導入、保守を改善すること。
• 現実世界の脅威インテリジェンスとサイバーセキュリティ研究におけるハイブリッドハニーポットの信頼性と実用性を高めること。

提案手法

• 著者らは、4つの核心的効果的次元（環境のファーザープリント、敵対者データの収集、だます効果、自己監視）を定義する。
• 各次元について、検出遅延、データの忠実度、誤検出率といった具体的で測定可能な属性を特定する。
• 定量的および定性的な評価を可能にする、測定可能なサブメトリクスを備えた階層的分類法を提唱する。
• このフレームワークは拡張可能に設計されており、既存のハイブリッドハニーポットシステムや将来の脅威モデリングへの統合を可能にする。
• メトリクスは、パフォーマンスのオーバーヘッドや攻撃者による検出に対する耐性といった、現実の運用制約に基づいている。
• 既存のハイブリッドハニーポットの文献および実装パターンの分析を通じて、分類法の妥当性を検証する。

実験結果

リサーチクエスチョン

• RQ1 動的ハイブリッドハニーポットの効果は、主な運用次元にわたって体系的にどのように測定可能か？
• RQ2 環境のファーザープリントを正確に把握できる能力を評価するために、どのような具体的なメトリクスが必要か？
• RQ3 敵対者の関与と行動の操作という観点から、だます効果はどの程度定量的に測定可能か？
• RQ4 長期的な運用のレジリエンスを確保するために、自己監視とシステム整合性はどのように測定可能か？
• RQ5 現在のハイブリッドハニーポット研究において欠落している共通のメトリクスは何か？それらが導入と評価の改善に寄与するか？

主な発見

• 分類法は、環境のファーザープリント、データ収集、だます、自己監視の4つの主要分野にわたる、体系的かつ多次元的なフレームワークを提供する。
• 著者らは4つの次元にわたって22の異なるメトリクスを同定し、標準化された評価の基盤を提供する。
• このフレームワークは、ハイブリッドハニーポット実装の定性的な評価と定量的ベンチマークの両方を可能にする。
• 分類法は、サービスエミュレーションの質の低さや高い誤検出率といった、実装上の欠陥の早期検出を支援する。
• 本研究では、既存の研究における顕著な空白が明らかになった：効果的指標の測定に関する合意形成や標準化の欠如。
• 提案された分類法は拡張可能で、進化するハイブリッドハニーポットアーキテクチャと脅威環境に適応可能である。