Strumento di Prioritizzazione degli IP degli Attaccanti (AIP)

L'Attacker IP Prioritization (AIP) è uno strumento per generare blocklist IP efficienti ed economiche basate sul traffico di rete catturato da reti honeypot.

Con l'avvento del 5G, i dispositivi IoT sono spesso connessi direttamente, senza protezione firewall. Pertanto abbiamo bisogno di blocklist piccole, efficienti ed economiche. La struttura dell'AIP è mostrata di seguito.

Modelli AIP

Ogni modello AIP genera la propria blocklist basandosi su criteri specifici. I modelli principali sono:

1. Prioritize New (PN)
   • Si concentra sugli IP nuovi o che non sono stati visti frequentemente nei dati precedenti.
   • Utile per identificare gli attaccanti emergenti che stanno iniziando a prendere di mira una rete.
2. Prioritize Consistent (PC)
   • Si concentra sugli IP che hanno attaccato costantemente nel tempo nei dati precedenti.
   • Utile per identificare gli attaccanti persistenti che prendono di mira continuamente una rete.
3. Alpha
   • Fornisce una baseline che identifica tutti gli attaccanti visti nelle ultime 24 ore.
   • Utile per confrontare l'efficacia degli altri modelli.
4. Alpha7
   • Fornisce una baseline che identifica tutti gli attaccanti visti negli ultimi 7 giorni.
   • Utile per confrontare ulteriormente l'efficacia degli altri modelli.
5. Random Forest
   • Si concentra sugli IP che hanno maggiori probabilità di attaccare in futuro.
   • Un approccio più sperimentale per aumentare l'efficienza della blocklist.

AIP Docker

Il modo migliore per eseguire AIP al momento è utilizzare Docker.

Utilizzo

AIP tenterà automaticamente di eseguire tutti i modelli utilizzando i dati disponibili. Supponendo che i dati Zeek si trovino nella loro posizione abituale:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

Per eseguire AIP per un giorno specifico:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

Licenza

Lo strumento Stratosphere AIP è concesso in licenza sotto GNU General Public License v3.0.

Informazioni

Questo strumento è stato sviluppato presso il Laboratorio Stratosphere dell'Università Tecnica Ceca di Praga. Fa parte del progetto di generazione delle blocklist Stratosphere.

Questo strumento è nato originariamente dalla tesi di laurea triennale di Thomas O'Hara, The Attacker IP Prioritizer: An IoT Optimized Blacklisting Algorithm (2021).