攻撃者IP優先順位付け (AIP) ツール

攻撃者IP優先順位付け（AIP）は、ハニーポットネットワークから取得したネットワークトラフィックに基づいて、効率的かつ経済的なIPブロックリストを生成するツールです。

5Gの到来により、IoTデバイスはファイアウォールの保護なしで直接接続されることが多くなっています。そのため、小型で効率的かつ経済的なブロックリストが必要です。AIPの構造を以下に示します。

AIPモデル

各AIPモデルは、特定の基準に基づいて独自のブロックリストを生成します。主なモデルは以下の通りです。

1. 新規優先（PN）
   • 以前のデータで頻繁に確認されていない、新しいIPに焦点を当てます。
   • ネットワークを標的にし始めた新興攻撃者を特定するのに有用です。
2. 継続優先（PC）
   • 以前のデータで一貫して攻撃してきたIPに焦点を当てます。
   • ネットワークを継続的に標的とする永続的な攻撃者を特定するのに有用です。
3. Alpha
   • 過去24時間に確認されたすべての攻撃者を特定するベースラインを提供します。
   • 他のモデルの効果を比較するのに有用です。
4. Alpha7
   • 過去7日間に確認されたすべての攻撃者を特定するベースラインを提供します。
   • 他のモデルの効果をさらに比較するのに有用です。
5. ランダムフォレスト
   • 将来攻撃する可能性が高いIPに焦点を当てます。
   • ブロックリストの効率を高めるためのより実験的なアプローチです。

AIP Docker

現在AIPを実行する最良の方法は、Docker を使用することです。

使用方法

AIPは、利用可能なデータを使用してすべてのモデルを自動的に実行しようとします。Zeekデータが通常の場所にあると仮定します：

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

特定の日のAIPを実行するには：

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

ライセンス

Stratosphere AIPツールは、GNU General Public License v3.0 の下でライセンスされています。

概要

このツールは、プラハのチェコ工科大学のStratosphere Laboratoryで開発されました。これは、Stratosphereブロックリスト生成プロジェクト の一部です。

このツールは元々、Thomas O'Haraの学士論文『攻撃者IP優先順位付け装置：IoT最適化ブラックリストアルゴリズム（2021）』(https://dspace.cvut.cz/handle/10467/96722) から生まれました。