Инструмент приоритизации IP-адресов атакующих (AIP)

Инструмент приоритизации IP-адресов атакующих (AIP) предназначен для создания эффективных и экономичных списков блокировки IP-адресов на основе сетевого трафика, собранного с сетей honeypot.

С появлением 5G устройства IoT часто подключаются напрямую, без защиты брандмауэра. Поэтому нам нужны небольшие, эффективные и экономичные списки блокировки. Структура AIP показана ниже.

Модели AIP

Каждая модель AIP генерирует собственный список блокировки на основе определённого критерия. Основные модели:

1. Приоритизация новых (PN)
   • Фокусируется на IP-адресах, которые являются новыми или редко встречались в предыдущих данных.
   • Полезна для выявления новых атакующих, начинающих атаковать сеть.
2. Приоритизация постоянных (PC)
   • Фокусируется на IP-адресах, которые постоянно атаковали сеть в предыдущих данных.
   • Полезна для выявления постоянных атакующих, которые непрерывно атакуют сеть.
3. Alpha
   • Обеспечивает базовый уровень, идентифицируя всех атакующих, замеченных за последние 24 часа.
   • Полезна для сравнения эффективности других моделей.
4. Alpha7
   • Обеспечивает базовый уровень, идентифицируя всех атакующих, замеченных за последние 7 дней.
   • Полезна для дальнейшего сравнения эффективности других моделей.
5. Random Forest
   • Фокусируется на IP-адресах, с наибольшей вероятностью атакующих в будущем.
   • Более экспериментальный подход для повышения эффективности списков блокировки.

AIP Docker

Лучший способ запустить AIP на данный момент — использовать Docker.

Использование

AIP автоматически попытается запустить все модели на доступных данных. Предполагая, что данные Zeek находятся в обычном расположении:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

Для запуска AIP на определённый день:

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

Лицензия

Инструмент Stratosphere AIP распространяется под лицензией GNU General Public License v3.0.

О проекте

Этот инструмент был разработан в лаборатории Stratosphere при Чешском техническом университете в Праге. Он является частью проекта по созданию списков блокировки Stratosphere.

Инструмент первоначально возник из бакалаврской работы Томаса О'Хара, The Attacker IP Prioritizer: An IoT Optimized Blacklisting Algorithm (2021).