Ferramenta de Priorização de IPs de Atacantes (AIP)

O Priorizador de IPs de Atacantes (AIP) é uma ferramenta para gerar listas de bloqueio de IP eficientes e econômicas com base no tráfego de rede capturado de redes honeypot.

Com o advento do 5G, dispositivos IoT são frequentemente conectados diretamente sem proteção de firewall. Portanto, precisamos de listas de bloqueio que sejam pequenas, eficientes e econômicas. A estrutura do AIP é mostrada abaixo.

Modelos AIP

Cada modelo AIP gera sua própria lista de bloqueio com base em critérios específicos. Os principais modelos são:

1. Priorizar Novos (PN)
   • Foca em IPs que são novos ou não foram vistos com frequência em dados anteriores.
   • Útil para identificar atacantes emergentes que estão começando a mirar uma rede.
2. Priorizar Consistentes (PC)
   • Foca em IPs que atacaram consistentemente ao longo do tempo em dados anteriores.
   • Útil para identificar atacantes persistentes que miram continuamente uma rede.
3. Alfa
   • Fornece uma linha de base identificando todos os atacantes vistos nas últimas 24 horas.
   • Útil para comparar a eficácia de outros modelos.
4. Alfa7
   • Fornece uma linha de base identificando todos os atacantes vistos nos últimos 7 dias.
   • Útil para comparar ainda mais a eficácia de outros modelos.
5. Floresta Aleatória
   • Foca em IPs com maior probabilidade de atacar no futuro.
   • Uma abordagem mais experimental para aumentar a eficiência da lista de bloqueio.

Docker AIP

A melhor maneira de executar o AIP atualmente é usando Docker.

Uso

O AIP tentará automaticamente executar todos os modelos usando os dados disponíveis. Supondo que os dados do Zeek estejam localizados em seu local usual:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

Para executar o AIP para um dia específico:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

Licença

A ferramenta AIP do Stratosphere é licenciada sob a GNU General Public License v3.0.

Sobre

Esta ferramenta foi desenvolvida no Laboratório Stratosphere da Universidade Técnica Tcheca em Praga. Isso faz parte do projeto de geração de listas de bloqueio do Stratosphere.

Esta ferramenta foi originalmente originada da tese de graduação de Thomas O'Hara, The Attacker IP Prioritizer: An IoT Optimized Blacklisting Algorithm (2021).