Herramienta de Priorización de IPs de Atacantes (AIP)

La Priorización de IPs de Atacantes (AIP) es una herramienta para generar listas de bloqueo de IPs eficientes y económicas basadas en el tráfico de red capturado de redes honeypot.

Con la llegada del 5G, los dispositivos IoT están conectados directamente, a menudo sin protección de firewall. Por lo tanto, necesitamos listas de bloqueo que sean pequeñas, eficientes y económicas. La estructura de AIP se muestra a continuación.

Modelos de AIP

Cada modelo de AIP genera su propia lista de bloqueo basada en un criterio específico. Los modelos principales son:

1. Prioritize New (PN)
   • Se centra en IPs que son nuevas o que no se han visto con frecuencia en datos anteriores.
   • Útil para identificar atacantes emergentes que están comenzando a atacar una red.
2. Prioritize Consistent (PC)
   • Se centra en IPs que han atacado de manera consistente a lo largo del tiempo en datos anteriores.
   • Útil para identificar atacantes persistentes que atacan continuamente una red.
3. Alpha
   • Proporciona una línea base que identifica a todos los atacantes vistos en las últimas 24 horas.
   • Útil para comparar la efectividad de otros modelos.
4. Alpha7
   • Proporciona una línea base que identifica a todos los atacantes vistos en los últimos 7 días.
   • Útil para comparar aún más la efectividad de otros modelos.
5. Random Forest
   • Se centra en IPs que tienen más probabilidades de atacar en el futuro.
   • Un enfoque más experimental para aumentar la eficiencia de las listas de bloqueo.

AIP Docker

Actualmente, la mejor forma de ejecutar AIP es usando Docker.

Uso

AIP intentará ejecutar automáticamente todos los modelos utilizando los datos disponibles. Suponiendo que los datos de Zeek se encuentran en su ubicación habitual:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

Para ejecutar AIP para un día específico:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

Licencia

La herramienta Stratosphere AIP está licenciada bajo la GNU General Public License v3.0.

Acerca de

Esta herramienta fue desarrollada en el Laboratorio Stratosphere de la Universidad Técnica Checa en Praga. Esto es parte del proyecto de generación de listas de bloqueo de Stratosphere.

Esta herramienta nació originalmente de la tesis de licenciatura de Thomas O'Hara, The Attacker IP Prioritizer: An IoT Optimized Blacklisting Algorithm (2021).