공격자 IP 우선순위 지정 (AIP) 도구

공격자 IP 우선순위 지정(Attacker IP Prioritization, AIP)은 허니팟 네트워크에서 수집된 네트워크 트래픽을 기반으로 효율적이고 경제적인 IP 차단 목록(blocklist)을 생성하는 도구입니다.

5G의 등장으로 IoT 기기는 종종 방화벽 보호 없이 직접 연결됩니다. 따라서 작고 효율적이며 경제적인 차단 목록이 필요합니다. AIP 구조는 아래와 같습니다.

AIP 모델

각 AIP 모델은 특정 기준에 따라 고유한 차단 목록을 생성합니다. 주요 모델은 다음과 같습니다.

1. 신규 IP 우선 (PN)
   • 이전 데이터에서 새로 등장했거나 자주 관찰되지 않은 IP에 중점을 둡니다.
   • 네트워크를 공격하기 시작하는 신흥 공격자를 식별하는 데 유용합니다.
2. 지속 공격 IP 우선 (PC)
   • 이전 데이터에서 시간이 지남에 따라 지속적으로 공격해 온 IP에 중점을 둡니다.
   • 네트워크를 끊임없이 표적으로 삼는 지속적인 공격자를 식별하는 데 유용합니다.
3. Alpha
   • 지난 24시간 동안 관찰된 모든 공격자를 식별하는 기준선을 제공합니다.
   • 다른 모델의 효율성을 비교하는 데 유용합니다.
4. Alpha7
   • 지난 7일 동안 관찰된 모든 공격자를 식별하는 기준선을 제공합니다.
   • 다른 모델의 효율성을 더 자세히 비교하는 데 유용합니다.
5. Random Forest
   • 향후 공격할 가능성이 더 높은 IP에 중점을 둡니다.
   • 차단 목록 효율성을 높이기 위한 보다 실험적인 접근 방식입니다.

AIP Docker

현재 AIP를 실행하는 가장 좋은 방법은 Docker를 사용하는 것입니다.

사용법

AIP는 사용 가능한 데이터를 사용하여 모든 모델을 자동으로 실행하려고 시도합니다. Zeek 데이터가 일반적인 위치에 있다고 가정합니다:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

특정 날짜에 대해 AIP를 실행하려면:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

라이선스

Stratosphere AIP 도구는 GNU General Public License v3.0에 따라 라이선스가 부여됩니다.

소개

이 도구는 프라하에 있는 체코 공과대학교(Czech Technical University)의 Stratosphere 연구소에서 개발되었습니다. 이 도구는 Stratosphere 차단 목록 생성 프로젝트의 일부입니다.

이 도구는 원래 Thomas O'Hara의 학사 논문 공격자 IP 우선순위 지정기: IoT 최적화 차단 알고리즘 (2021)에서 탄생했습니다.