攻撃者IP優先順位付け（AIP）ツール

Attacker IP Prioritization（AIP）は、ハニーポットネットワークからキャプチャされたネットワークトラフィックに基づいて、効率的かつ経済的なIPブロックリストを生成するツールです。

5Gの登場により、IoTデバイスはファイアウォール保護なしで直接接続されることがよくあります。そのため、小さく、効率的で、経済的なブロックリストが必要です。AIPの構造を以下に示します。

AIPモデル

各AIPモデルは、特定の基準に基づいて独自のブロックリストを生成します。主なモデルは以下の通りです：

1. Prioritize New (PN)
   • 新規である、または以前のデータで頻繁に確認されていないIPに焦点を当てます。
   • ネットワークを標的にし始めた新たな攻撃者を特定するのに役立ちます。
2. Prioritize Consistent (PC)
   • 以前のデータで長期間にわたり一貫して攻撃してきたIPに焦点を当てます。
   • ネットワークを継続的に標的にする持続的な攻撃者を特定するのに役立ちます。
3. Alpha
   • 過去24時間に確認されたすべての攻撃者を特定するベースラインを提供します。
   • 他のモデルの有効性を比較するのに役立ちます。
4. Alpha7
   • 過去7日間に確認されたすべての攻撃者を特定するベースラインを提供します。
   • 他のモデルの有効性をさらに比較するのに役立ちます。
5. Random Forest
   • 将来攻撃する可能性が高いIPに焦点を当てます。
   • ブロックリストの効率を高めるための、より実験的なアプローチです。

セットアップ

AIPはDocker（推奨）またはPythonで直接実行できます。いずれの場合も、次の2つが必要です：

1. Zeekログをdata/raw/に、1日1フォルダ（例：data/raw/2024-10-22/conn.*）で配置します。Dockerを使用する場合は、Zeekログをコピーする代わりに、AIPをZeekログフォルダに向けることができます。

2. ハニーポットのIPをdata/external/に配置します。サンプルファイルをコピーして編集してください：

   cp data/external/honeypots_public_ips_example.csv data/external/honeypots_public_ips.csv
   cp data/external/do_not_block_these_ips_example.csv data/external/do_not_block_these_ips.csv
   

   • honeypots_public_ips.csv（必須）：ハニーポットのパブリックIP。AIPはこれらのIPに送信されたトラフィックのみを対象とします。
   • do_not_block_these_ips.csv（任意）：ブロックリストに絶対に含めてはならないIP。

Dockerで実行する

AIPフォルダから、Zeekログが/opt/zeek/logs/にあると仮定して：

docker run --rm \
  -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro \
  -v ${PWD}/data/:/home/aip/AIP/data/:rw \
  --name aip stratosphereips/aip:latest bin/aip

これは今日のすべてのモデルを実行します。以下のコマンドのいずれかを使用するには、bin/aipの後に記述します。たとえば、1日分のすべてのモデルを実行するには：

docker run --rm \
  -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro \
  -v ${PWD}/data/:/home/aip/AIP/data/:rw \
  --name aip stratosphereips/aip:latest bin/aip run-models --start-date 2026-10-12 --end-date 2026-10-12

イメージを自分でビルドするには、Dockerガイドを参照してください。

Pythonで実行する

git clone https://github.com/stratosphereips/AIP.git ~/AIP
cd ~/AIP
python3 -m venv aip-venv
source aip-venv/bin/activate
pip install -r requirements.txt
export PYTHONPATH=$(pwd)/lib
bin/aip --help

新しいターミナルを開くたびに、source aip-venv/bin/activateとexport PYTHONPATHの行を再度実行してください。

コマンド

やりたいこと	コマンド
今日のすべてのモデルを実行	bin/aip
1日分のすべてのモデルを実行	bin/aip run-models --start-date 2026-10-02 --end-date 2026-10-02
複数日分のすべてのモデルを実行	bin/aip run-models --start-date 2026-10-01 --end-date 2026-10-12
1つのモデルのみを実行	--modelにAlpha、Alpha7、Prioritize_New、Prioritize_Consistent、またはRandom_Forestを追加
ある日から昨日までの攻撃者履歴を再構築	bin/aip rebuild-kb --start-date 2026-10-01

知っておくべきこと：

• --end-dateを省略した場合、今日になります。つまり、--start-dateのみを指定すると、その日から今日までの毎日が実行されます。
• ある日のブロックリストは、その前の日に確認された攻撃から構築されます。
• ブロックリストはdata/output/<model name>/に保存されます。
• 攻撃者履歴は、PrioritizeモデルとRandom Forestモデルが学習する対象です。AIPは実行中に自動的に構築します。
• AIPが何をしているかを確認するには、bin/aipの直後に-v（進捗）または-d（詳細）を追加します。たとえばbin/aip -v run-modelsのようにします。
• すべてのオプションはbin/aip --helpで確認できます。

ライセンス

Stratosphere AIPツールは、GNU General Public License v3.0の下でライセンスされています。

概要

このツールは、プラハにあるチェコ工科大学のStratosphere Laboratoryで開発されました。これはStratosphereブロックリスト生成プロジェクトの一部です。

このツールはもともと、Thomas O'Haraの学士論文The Attacker IP Prioritizer: An IoT Optimized Blacklisting Algorithm (2021)から生まれました。