Attacker IP Prioritization (AIP) Tool

L'outil Attacker IP Prioritization (AIP) est un outil permettant de générer des listes noires d'adresses IP efficaces et économiques à partir du trafic réseau capturé par des réseaux de honeypots.

Avec l'avènement de la 5G, les appareils IoT sont directement connectés, souvent sans protection de pare-feu. Nous avons donc besoin de listes noires qui soient petites, efficaces et économiques. La structure d'AIP est présentée ci-dessous.

Modèles AIP

Chaque modèle AIP génère sa propre liste noire en fonction d'un critère spécifique. Les principaux modèles sont :

1. Prioritize New (PN)
   • Se concentre sur les adresses IP qui sont nouvelles ou qui n'ont pas été vues fréquemment dans les données précédentes.
   • Utile pour identifier les attaquants émergents qui commencent à cibler un réseau.
2. Prioritize Consistent (PC)
   • Se concentre sur les adresses IP qui ont attaqué de manière constante au fil du temps dans les données précédentes.
   • Utile pour identifier les attaquants persistants qui ciblent continuellement un réseau.
3. Alpha
   • Fournit une référence identifiant tous les attaquants vus au cours des dernières 24 heures.
   • Utile pour comparer l'efficacité des autres modèles.
4. Alpha7
   • Fournit une référence identifiant tous les attaquants vus au cours des 7 derniers jours.
   • Utile pour approfondir la comparaison de l'efficacité des autres modèles.
5. Random Forest
   • Se concentre sur les adresses IP les plus susceptibles d'attaquer à l'avenir.
   • Une approche plus expérimentale pour accroître l'efficacité des listes noires.

AIP Docker

La meilleure façon d'exécuter AIP actuellement est d'utiliser Docker.

Utilisation

AIP tentera automatiquement d'exécuter tous les modèles en utilisant les données disponibles. En supposant que les données Zeek se trouvent à leur emplacement habituel :

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

Pour exécuter AIP pour un jour spécifique :

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

Licence

L'outil Stratosphere AIP est sous licence GNU General Public License v3.0.

À propos

Cet outil a été développé au laboratoire Stratosphere de l'Université technique tchèque de Prague. Il fait partie du projet de génération de listes noires Stratosphere.

Cet outil est né du mémoire de bachelor de Thomas O'Hara, The Attacker IP Prioritizer: An IoT Optimized Blacklisting Algorithm (2021).