攻击者IP优先级排序（AIP）工具

攻击者IP优先级排序（AIP）是一个工具，用于根据从蜜罐网络捕获的网络流量，生成高效且经济的IP黑名单。

随着5G的到来，物联网设备通常在没有防火墙保护的情况下直接连接。因此，我们需要小型、高效且经济的黑名单。AIP的结构如下所示。

AIP模型

每个AIP模型根据特定标准生成自己的黑名单。主要模型有：

1. 优先新IP（PN）
   • 关注在先前数据中不常见或未见过的新IP。
   • 有助于识别开始针对网络的新型攻击者。
2. 优先持续性IP（PC）
   • 关注在先前数据中持续攻击的IP。
   • 有助于识别持续针对网络的持久性攻击者。
3. Alpha
   • 提供一个基线，识别过去24小时内发现的所有攻击者。
   • 有助于比较其他模型的有效性。
4. Alpha7
   • 提供一个基线，识别过去7天内发现的所有攻击者。
   • 有助于进一步比较其他模型的有效性。
5. 随机森林
   • 关注未来更可能攻击的IP。
   • 一种更实验性的方法，以提高黑名单效率。

AIP Docker

目前运行AIP的最佳方式是使用Docker。

用法

AIP将自动尝试使用可用数据运行所有模型。假设Zeek数据位于其常规位置：

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip

要对特定日期运行AIP：

:~$ cd AIP
:~$ docker run --rm -v /opt/zeek/logs/:/home/aip/AIP/data/raw:ro -v ${PWD}/data/:/home/aip/AIP/data/:rw --name aip stratosphereips/aip:latest bin/aip YYYY-MM-DD

许可证

Stratosphere AIP工具采用GNU通用公共许可证v3.0授权。

关于

本工具由布拉格捷克理工大学Stratosphere实验室开发。这是Stratosphere黑名单生成项目的一部分。

本工具最初源自Thomas O'Hara的学士论文《攻击者IP优先级排序器：一种物联网优化的黑名单算法》（2021年）论文链接。