[论文解读] Gotta catch 'em all: a Multistage Framework for honeypot fingerprinting

Shreyas Srinivasa, Jens Myrup Pedersen+1 more|arXiv (Cornell University)|Sep 22, 2021

Network Security and Intrusion Detection被引用 4

一句话总结

本文提出了一种多阶段、基于探测的框架，通过结合主动指纹识别技术与第三方扫描器的被动数据，对IPv4互联网中的蜜罐进行识别。该研究在29亿个IP地址中识别出21,855个蜜罐实例，表明基于探测的方法可100%检测到蜜罐，显著优于仅检测到33.9%蜜罐总数的第三方元扫描技术。

ABSTRACT

Honeypots are decoy systems that lure attackers by presenting them with a seemingly vulnerable system. They provide an early detection mechanism as well as a method for learning how adversaries work and think. However, over the last years, a number of researchers have shown methods for fingerprinting honeypots. This significantly decreases the value of a honeypot; if an attacker is able to recognize the existence of such a system, they can evade it. In this article, we revisit the honeypot identification field, by providing a holistic framework that includes state of the art and novel fingerprinting components. We decrease the probability of false positives by proposing a rigid multi-step approach for labeling a system as a honeypot. We perform extensive scans covering 2.9 billion addresses of the IPv4 space and identify a total of 21,855 honeypot instances. Moreover, we present a number of interesting side-findings such as the identification of more than 354,431 non-honeypot systems that represent potentially vulnerable servers (e.g. SSH servers with default password configurations and vulnerable versions). Lastly, we discuss countermeasures against honeypot fingerprinting techniques.

研究动机与目标

• 开发一种全面、多层的框架，以最小化误报率检测蜜罐。
• 评估基于探测的指纹识别技术与被动的第三方元扫描方法的有效性。
• 识别并表征具有高风险配置（如默认密码和已知漏洞）的非蜜罐系统。
• 提高蜜罐开发者和管理员对指纹识别风险的认识，并提出对策建议。
• 通过提供可复现的大规模蜜罐存在性及公共互联网系统暴露情况扫描，为安全社区做出贡献。

提出的方法

• 设计一种结合主动探测与被动数据分析的多阶段指纹识别流程，以降低误报率。
• 实现协议握手指纹识别，检测SSH、Telnet、HTTP、FTP及其他常见服务响应中的异常。
• 引入静态TLS证书分析方法，基于非随机或可预测的证书模式识别蜜罐。
• 实施完全限定域名（FQDN）检查，检测表明蜜罐部署的不一致情况。
• 整合来自大规模扫描服务提供商（如Shodan）的第三方数据，以验证和交叉参照结果。
• 采用严格、多步骤的决策流程，仅在通过多个独立检查后才将系统标记为蜜罐。

实验结果

研究问题

• RQ1 与被动的第三方元扫描方法相比，基于探测的指纹识别技术在识别蜜罐方面的有效性如何？
• RQ2 公共IPv4空间中蜜罐部署的真实规模是多少？不同蜜罐实现之间的差异如何？
• RQ3 哪些指纹识别技术在最小化误报率的同时，仍能保持高检测准确率？
• RQ4 被识别为非蜜罐的系统中，有多少比例表现出高风险配置（如默认密码或已知漏洞）？
• RQ5 可实施哪些实际对策来防御蜜罐的指纹识别，特别是在恶意软件行为不断演变的背景下？

主要发现

• 该框架在29亿个IPv4地址中识别出21,855个唯一的蜜罐实例，由于多阶段验证流程，误报率显著降低。
• 基于探测的指纹识别技术检测到了100%的蜜罐，而第三方元扫描方法仅检测到总数的33.9%。
• 超过354,431个非蜜罐系统被识别为可能存在漏洞，包括使用默认密码或存在已知高危漏洞的SSH和FTP服务器。
• 研究证实，许多广泛使用的开源蜜罐仍可通过简单、可复现的指纹识别技术被检测到，凸显持续存在的安全风险。
• 结果表明，依赖被动数据的现有蜜罐检测方法不足，主动探测对于全面检测至关重要。
• 作者已联系蜜罐开发者和管理员以提高警觉性，但对因系统复杂性和维护负担而广泛修复持较低信心。