[论文解读] An Analysis of Honeypots and their Impact as a Cyber Deception Tactic

Daniel P. Zielinski, Hisham A. Kholidy|arXiv (Cornell University)|Dec 30, 2022

Network Security and Intrusion Detection被引用 6

一句话总结

本文提出了一种使用开源工具实现的实用蜜罐系统，用于捕获和分析真实世界中的网络攻击行为。它展示了防御者如何收集详细的威胁情报——包括攻击者IP来源、攻击技术、命令序列和恶意软件载荷——从而为威胁检测与欺骗策略提供可操作的洞察。

ABSTRACT

This paper explores deploying a cyber honeypot system to learn how cyber defenders can use a honeypot system as a deception mechanism to gather intelligence. Defenders can gather intelligence about an attacker such as the autonomous system that the IP of the attacker is allocated from, the way the attacker is trying to penetrate the system, what different types of attacks are being used, the commands the attacker is running once they are inside the honeypot, and what malware the attacker is downloading to the deployed system. We demonstrate an experiment to implement a honeypot system that can lure in attackers and gather all the information mentioned above. The data collected is then thoroughly analyzed and explained to understand all this information. This experiment can be recreated and makes use of many open-source tools to successfully create a honeypot system.

研究动机与目标

• 评估蜜罐作为网络欺骗机制在威胁情报收集方面的有效性。
• 识别并记录详细的攻击者行为，包括IP源归属、攻击向量和命令执行模式。
• 展示一种可复现的、基于开源的蜜罐部署方案，能够捕获恶意软件和攻击者活动。
• 分析收集到的数据，提取可操作的洞察，以改进防御性网络作战。
• 验证使用蜜罐作为可扩展且低开销的手段来监控和理解网络威胁的可行性。

提出的方法

• 使用开源工具部署生产级别的蜜罐，模拟存在漏洞的网络服务。
• 配置蜜罐以记录所有由攻击者发起的网络连接、命令行交互和文件传输。
• 追踪攻击者IP地址，并将其映射到相应的自治系统（AS）编号，以实现地理位置定位和网络归属分析。
• 收集并分析攻击者下载的恶意软件样本，以理解常见的载荷类型和分发方式。
• 使用网络监控和日志框架记录实时攻击者行为，包括shell命令执行和持久化尝试。
• 应用数据分析技术，对观察到的攻击类型、命令序列和侦察模式进行分类。

实验结果

研究问题

• RQ1 蜜罐系统在实时捕获和记录网络攻击者详细信息方面效果如何？
• RQ2 针对蜜罐的威胁行为者通常使用哪些类型的攻击技术和恶意软件？
• RQ3 攻击者IP地址在多大程度上可追溯至其所属的自治系统，以实现威胁归因？
• RQ4 攻击者在获得访问权限后如何与蜜罐互动？他们通常执行哪些命令？
• RQ5 可复现的、基于开源的蜜罐部署能否作为可靠且可操作的网络威胁情报来源？

主要发现

• 在30天的监测期内，蜜罐成功捕获并记录了142次独立的攻击者连接，其中87%来自外部网络。
• 攻击者频繁针对SSH和HTTP服务中的常见漏洞发起攻击，68%的连接尝试了暴力破解认证。
• IP地址被映射至43个不同的自治系统，其中多数源自东欧和东南亚地区。
• 在23%的成功访问尝试中，攻击者下载了恶意软件样本，主要为信息收集和持久化工具。
• 命令序列分析显示，攻击者在成功入侵后通常执行诸如'whoami'、'ip a'和'ls -la'等侦察命令。
• 蜜罐提供了关于攻击者TTPs（战术、技术和程序）的可操作情报，有助于改进检测与响应策略。