Herramienta de Priorización de IP de Atacantes (AIP)

La Priorización de IP de Atacantes (AIP) es una herramienta para generar listas de bloqueo de IP eficientes y económicas basadas en el tráfico de red capturado de redes de honeypots.

Con la llegada del 5G, los dispositivos IoT están conectados directamente, a menudo sin protección de firewall. Por lo tanto, necesitamos listas de bloqueo que sean pequeñas, eficientes y económicas. La estructura de AIP se muestra a continuación.

Modelos de AIP

Cada modelo de AIP genera su propia lista de bloqueo basada en un criterio específico. Los modelos principales son:

1. Priorizar Nuevos (PN)
   • Se centra en IPs que son nuevas o que no se han visto con frecuencia en datos anteriores.
   • Útil para identificar atacantes emergentes que están comenzando a atacar una red.
2. Priorizar Consistentes (PC)
   • Se centra en IPs que han atacado de forma consistente a lo largo del tiempo en datos anteriores.
   • Útil para identificar atacantes persistentes que atacan continuamente una red.
3. Alpha
   • Proporciona una línea base que identifica a todos los atacantes vistos en las últimas 24 horas.
   • Útil para comparar la efectividad de otros modelos.
4. Alpha7
   • Proporciona una línea base que identifica a todos los atacantes vistos en los últimos 7 días.
   • Útil para comparar más a fondo la efectividad de otros modelos.
5. Random Forest
   • Se centra en IPs que tienen más probabilidades de atacar en el futuro.
   • Un enfoque más experimental para aumentar la eficiencia de la lista de bloqueo.

Configuración

AIP puede ejecutarse con Docker (recomendado) o directamente con Python. De cualquier manera, necesita dos cosas:

1. Registros de Zeek en data/raw/, una carpeta por día (por ejemplo data/raw/2024-10-22/conn.*). Con Docker puedes apuntar AIP a tu carpeta de registros de Zeek en lugar de copiarlos.

2. Tus IPs de honeypot en data/external/. Copia los archivos de ejemplo y edítalos:

   cp data/external/honeypots_public_ips_example.csv data/external/honeypots_public_ips.csv
   cp data/external/do_not_block_these_ips_example.csv data/external/do_not_block_these_ips.csv
   

   • honeypots_public_ips.csv (obligatorio): las IPs públicas de tus honeypots. AIP solo examina el tráfico enviado a estas IPs.
   • do_not_block_these_ips.csv (opcional): IPs que nunca deben aparecer en una lista de bloqueo.

Ejecutar con Docker

Desde la carpeta de AIP, asumiendo que tus registros de Zeek están en /opt/zeek/logs/:

docker run --rm \
  -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro \
  -v ${PWD}/data/:/home/aip/AIP/data/:rw \
  --name aip stratosphereips/aip:latest bin/aip

Esto ejecuta todos los modelos para hoy. Para usar cualquiera de los comandos a continuación, escríbelos después de bin/aip. Por ejemplo, para ejecutar todos los modelos para un día:

docker run --rm \
  -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro \
  -v ${PWD}/data/:/home/aip/AIP/data/:rw \
  --name aip stratosphereips/aip:latest bin/aip run-models --start-date 2026-10-12 --end-date 2026-10-12

Para construir la imagen tú mismo, consulta la guía de Docker.

Ejecutar con Python

git clone https://github.com/stratosphereips/AIP.git ~/AIP
cd ~/AIP
python3 -m venv aip-venv
source aip-venv/bin/activate
pip install -r requirements.txt
export PYTHONPATH=$(pwd)/lib
bin/aip --help

Ejecuta source aip-venv/bin/activate y la línea export PYTHONPATH de nuevo cada vez que abras una nueva terminal.

Comandos

Lo que quieres	Comando
Ejecutar todos los modelos para hoy	bin/aip
Ejecutar todos los modelos para un día	bin/aip run-models --start-date 2026-10-02 --end-date 2026-10-02
Ejecutar todos los modelos para varios días	bin/aip run-models --start-date 2026-10-01 --end-date 2026-10-12
Ejecutar solo un modelo	Añade --model con Alpha, Alpha7, Prioritize_New, Prioritize_Consistent o Random_Forest
Reconstruir el historial de atacantes desde una fecha hasta ayer	bin/aip rebuild-kb --start-date 2026-10-01

Cosas que debes saber:

• Si omites --end-date, se usa la fecha de hoy. Así que --start-date por sí solo ejecuta cada día desde esa fecha hasta hoy.
• La lista de bloqueo de un día se construye a partir de los ataques vistos en los días anteriores a este.
• Las listas de bloqueo se guardan en data/output/<model name>/.
• El historial de atacantes es de lo que aprenden los modelos Prioritize y Random Forest. AIP lo construye por sí solo a medida que se ejecuta.
• Para ver qué está haciendo AIP, añade -v (progreso) o -d (detalle completo) justo después de bin/aip, por ejemplo bin/aip -v run-models.
• Consulta todas las opciones con bin/aip --help.

Licencia

La herramienta Stratosphere AIP está licenciada bajo GNU General Public License v3.0.

Acerca de

Esta herramienta fue desarrollada en el Laboratorio Stratosphere de la Universidad Técnica Checa en Praga. Esto es parte del proyecto de generación de listas de bloqueo de Stratosphere.

Esta herramienta nació originalmente de la tesis de licenciatura de Thomas O'Hara, The Attacker IP Prioritizer: An IoT Optimized Blacklisting Algorithm (2021).