[论文解读] A Taxonomy for Dynamic Honeypot Measures of Effectiveness

Jason M. Pittman, Kyle Hoffpauir+2 more|arXiv (Cornell University)|May 26, 2020

Complex Systems and Time Series Analysis参考文献 10被引用 5

一句话总结

本文提出了一种动态蜜罐有效性度量的综合分类法，支持其在指纹识别环境、捕获攻击者活动、欺骗攻击者以及自我监控方面性能的定量评估。该框架提供了结构化的度量指标，用于评估实现质量和有效性，填补了蜜罐研究中的关键空白，提升了部署的可靠性与安全价值。

ABSTRACT

Honeypots are computing systems used to capture unauthorized, often malicious, activity. While honeypots can take on a variety of forms, researchers agree the technology is useful for studying adversary behavior, tools, and techniques. Unfortunately, researchers also agree honeypots are difficult to implement and maintain. A lack of measures of effectiveness compounds the implementation issues specifically. In other words, existing research does not provide a set of measures to determine if a honeypot is effective in its implementation. This is problematic because an ineffective implementation may lead to poor performance, inadequate emulation of legitimate services, or even premature discovery by an adversary. Accordingly, we have developed a taxonomy for measures of effectiveness in dynamic honeypot implementations. Our aim is for these measures to be used to quantify a dynamic honeypot's effectiveness in fingerprinting its environment, capturing valid data from adversaries, deceiving adversaries, and intelligently monitoring itself and its surroundings.

研究动机与目标

• 解决缺乏标准化指标来评估动态蜜罐有效性的不足。
• 识别当前未测量或测量不一致的蜜罐性能关键维度。
• 开发一种结构化、可扩展的动态蜜罐成功可度量指标分类法。
• 通过数据驱动的评估，支持更好的蜜罐设计、部署和维护。
• 提升蜜罐在现实世界威胁情报和网络安全研究中的可信度与实用性。

提出的方法

• 作者定义了四个核心有效性维度：环境指纹识别、攻击者数据捕获、欺骗有效性以及自我监控。
• 针对每个维度，识别出具体且可度量的属性，如检测延迟、数据保真度和误报率。
• 提出一种具有可度量子指标的分层分类法，支持定性和定量评估。
• 该框架设计为可扩展，支持与现有蜜罐系统集成以及未来威胁建模。
• 度量指标基于实际运行约束，包括性能开销和对抗者检测抵抗能力。
• 通过现有蜜罐文献和实现模式的分析对分类法进行了验证。

实验结果

研究问题

• RQ1 如何在关键操作维度上系统性地度量动态蜜罐的有效性？
• RQ2 需要哪些具体指标来评估蜜罐准确识别其环境的能力？
• RQ3 在多大程度上可以对欺骗效果进行量化，以衡量攻击者参与度和行为操控程度？
• RQ4 如何度量自我监控和系统完整性，以确保长期运行的韧性？
• RQ5 当前蜜罐研究中缺少哪些常见度量指标，可显著提升部署和评估质量？

主要发现

• 该分类法为在四个关键领域——环境指纹识别、数据捕获、欺骗和自我监控——评估动态蜜罐提供了一个结构化、多维的框架。
• 作者在四个维度中识别出22项不同的度量指标，为标准化评估奠定了基础。
• 该框架支持对蜜罐实现进行定性评估和定量基准测试。
• 该分类法有助于早期发现实现缺陷，如服务模拟不佳或误报率过高。
• 本研究揭示了现有研究中的显著空白：有效性度量缺乏共识或标准化。
• 所提出的分类法具有可扩展性，可适应不断演进的蜜罐架构和威胁环境。