Tool zur Priorisierung von Angreifer-IPs (AIP)

Das Attacker IP Prioritization (AIP) ist ein Tool zur Erstellung effizienter und wirtschaftlicher IP-Blocklisten basierend auf Netzwerkverkehr, der von Honeypot-Netzwerken erfasst wird.

Mit dem Aufkommen von 5G sind IoT-Geräte oft direkt ohne Firewall-Schutz verbunden. Daher benötigen wir Blocklisten, die klein, effizient und wirtschaftlich sind. Die AIP-Struktur ist unten dargestellt.

AIP-Modelle

Jedes AIP-Modell erzeugt seine eigene Blockliste basierend auf einem bestimmten Kriterium. Die Hauptmodelle sind:

1. Prioritize New (PN)
   • Konzentriert sich auf IPs, die neu sind oder in früheren Daten nicht häufig gesehen wurden.
   • Nützlich, um aufkommende Angreifer zu identifizieren, die beginnen, ein Netzwerk anzugreifen.
2. Prioritize Consistent (PC)
   • Konzentriert sich auf IPs, die in früheren Daten über einen längeren Zeitraum hinweg konsistent angegriffen haben.
   • Nützlich, um beständige Angreifer zu identifizieren, die kontinuierlich ein Netzwerk angreifen.
3. Alpha
   • Bietet eine Basislinie, die alle in den letzten 24 Stunden gesehenen Angreifer identifiziert.
   • Nützlich, um die Wirksamkeit anderer Modelle zu vergleichen.
4. Alpha7
   • Bietet eine Basislinie, die alle in den letzten 7 Tagen gesehenen Angreifer identifiziert.
   • Nützlich, um die Wirksamkeit anderer Modelle weiter zu vergleichen.
5. Random Forest
   • Konzentriert sich auf IPs, die mit höherer Wahrscheinlichkeit in Zukunft angreifen werden.
   • Ein eher experimenteller Ansatz zur Steigerung der Effizienz von Blocklisten.

AIP Docker

Der beste Weg, AIP derzeit auszuführen, ist die Verwendung von Docker.

Verwendung

AIP versucht automatisch, alle Modelle mit den verfügbaren Daten auszuführen. Angenommen, die Zeek-Daten befinden sich an ihrem üblichen Speicherort:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

Um AIP für einen bestimmten Tag auszuführen:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

Lizenz

Das Stratosphere AIP-Tool ist lizenziert unter der GNU General Public License v3.0.

Über

Dieses Tool wurde im Stratosphere Laboratory an der Tschechischen Technischen Universität Prag entwickelt. Es ist Teil des Stratosphere blocklist generation project.

Dieses Tool entstand ursprünglich aus der Bachelorarbeit von Thomas O'Hara, The Attacker IP Prioritizer: An IoT Optimized Blacklisting Algorithm (2021).