[论文解读] Security Orchestration, Automation, and Response Engine for Deployment of Behavioural Honeypots

Upendra Bartwal, Subhasis Mukhopadhyay+2 more|arXiv (Cornell University)|Jan 14, 2022

Network Security and Intrusion Detection参考文献 9被引用 40

一句话总结

本文提出了一种安全编排、自动化与响应（SOAR）引擎，通过基于规则和机器学习的技术，动态部署行为型蜜罐以应对攻击者的侦察行为，检测僵尸网络、DDoS和恶意软件流量。在四天的实时部署中，该系统将平均攻击者参与时间从静态蜜罐的102秒提升至3,148秒，同时将CPU使用率降低89%，捕获了7,823次攻击、965个DDoS数据包以及三个恶意样本。

ABSTRACT

Cyber Security is a critical topic for organizations with IT/OT networks as they are always susceptible to attack, whether insider or outsider. Since the cyber landscape is an ever-evolving scenario, one must keep upgrading its security systems to enhance the security of the infrastructure. Tools like Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR), Threat Intelligence Platform (TIP), Information Technology Service Management (ITSM), along with other defensive techniques like Intrusion Detection System (IDS), Intrusion Protection System (IPS), and many others enhance the cyber security posture of the infrastructure. However, the proposed protection mechanisms have their limitations, they are insufficient to ensure security, and the attacker penetrates the network. Deception technology, along with Honeypots, provides a false sense of vulnerability in the target systems to the attackers. The attacker deceived reveals threat intel about their modus operandi. We have developed a Security Orchestration, Automation, and Response (SOAR) Engine that dynamically deploys custom honeypots inside the internal network infrastructure based on the attacker's behavior. The architecture is robust enough to support multiple VLANs connected to the system and used for orchestration. The presence of botnet traffic and DDOS attacks on the honeypots in the network is detected, along with a malware collection system. After being exposed to live traffic for four days, our engine dynamically orchestrated the honeypots 40 times, detected 7823 attacks, 965 DDOS attack packets, and three malicious samples. While our experiments with static honeypots show an average attacker engagement time of 102 seconds per instance, our SOAR Engine-based dynamic honeypots engage attackers on average 3148 seconds.

研究动机与目标

• 为解决静态蜜罐随时间推移效果下降且难以应对复杂攻击者（尤其是内部人员）的局限性。
• 开发一种动态、以行为驱动的蜜罐部署系统，能够对实时的攻击者侦察和横向移动行为作出响应。
• 通过延长攻击者参与时间，提升威胁情报收集能力，改善对DDoS和僵尸网络活动等恶意流量的检测。
• 通过仅在需要时基于行为触发条件部署蜜罐，而非持续运行，从而降低资源开销。
• 构建可扩展、面向组织的欺骗框架，与现有安全工具（如SIEM和EDR）集成，以提升事件响应能力。

提出的方法

• SOAR引擎监控网络流量中的侦察活动（如端口扫描和IP探测），以检测潜在的攻击者存在。
• 在检测到攻击行为后，引擎会自动从预定义的IP池中选择一个未使用的IP，并部署一个轻量级、高交互性的蜜罐实例。
• 系统使用基于CTU-13（僵尸网络）、CIC-IDS 2017（DDoS）以及ECML/PKDD与HTTP CSIC数据集（XSS、SQLi、OSC）联合训练的机器学习模型，对恶意流量进行分类并作出响应。
• 通过容器化技术（如Docker）实现蜜罐镜像的动态部署与删除，交替使用两个镜像以避免可预测性。
• 引擎与网络基础设施集成，支持多VLAN环境，并使用基于规则的逻辑，根据攻击者的行为模式优先级决定部署策略。
• 恶意软件收集系统用于存储和分析攻击者交互过程中捕获的恶意样本，支持进一步的威胁情报提取。

实验结果

研究问题

• RQ1 基于SOAR的系统能否根据攻击者的行为动态部署蜜罐，相较于静态蜜罐显著提升参与时间？
• RQ2 SOAR引擎在检测和响应真实世界攻击类型（如DDoS、僵尸网络及Web漏洞利用（XSS、SQLi、OSC））方面的有效性如何？
• RQ3 动态蜜罐部署在提升威胁情报收集能力的同时，能在多大程度上降低资源消耗？
• RQ4 系统的响应时间与IP选择策略如何影响成功吸引攻击者的可能性？
• RQ5 将机器学习模型与基于规则的编排相结合，能否在真实网络环境中提升检测准确率和系统韧性？

主要发现

• 在四天的实时网络运行中，SOAR引擎动态编排了40次蜜罐部署，显著优于静态蜜罐的攻击者参与表现。
• 平均攻击者参与时间从静态蜜罐的102秒提升至SOAR部署蜜罐的3,148秒，表明欺骗有效性提升约30倍。
• 系统共检测到7,823次总攻击，包括965个DDoS数据包和三个恶意软件样本，展现出强大的检测能力。
• 与持续运行的静态蜜罐相比，CPU使用率降低了约89%，证实了资源效率。
• 动态部署模型在两个轮换的蜜罐镜像中捕获了7,555次攻击，优于66个静态Web服务器蜜罐共同捕获的63,108次攻击。
• SOAR引擎在检测到侦察行为后，平均约6秒内即可准备响应，且具备30秒的延迟，足以在攻击者到达前安全完成部署。