ハニーポット（コンピューティング）

コンピュータ用語では、ハニーポットとは、情報システムの不正使用の試みを検出、そらす、または何らかの方法で対抗するために設定されたコンピュータセキュリティメカニズムです。一般的に、ハニーポットは、攻撃者にとって価値のある情報やリソースを含む、サイトの正当な部分のように見えるデータ（たとえば、ネットワークサイト内）で構成されます。実際には、ハニーポットは隔離され、監視されており、攻撃者をブロックまたは分析することができます。これは、口語で容疑者を「おとり捜査」する警察のおとり捜査に似ています。^[1]

このネットワーク デコイの主な用途は、実際のネットワーク上のより重要な情報やマシンから潜在的な攻撃者の注意をそらし、攻撃者が受ける可能性のある攻撃の形態を把握し、ハニーポットの悪用中および悪用後にそのような攻撃を調査することです。これにより、特定のネットワーク システムの脆弱性を防止および確認する方法が提供されます。ハニーポットは、現在または将来の攻撃からネットワークを保護するために使用されるデコイです。^{[2] [3]}ハニーポットは、攻撃者が使用することで価値が生まれます。ハニーポットとやり取りしなければ、ほとんど価値がありません。ハニーポットは、自動化された攻撃の減速または停止、新しいエクスプロイトの捕捉、新たな脅威に関する情報の収集、早期警告および予測など、あらゆる用途に使用できます。^[4]

ハニーポットは、物理的なものか仮想的なものかによって区別できる。^{[2] [3]}

• 物理ハニーポット: 独自の IP アドレスを持つ実際のマシン。このマシンはシステムによってモデル化された動作をシミュレートします。多くの場合、この方法は、新しいマシンの取得にかかる費用の高さ、メンテナンス、特殊なハードウェアの構成に伴う複雑さのため、あまり使用されません^{[2] [3]}
• 仮想ハニーポット: このタイプのハニーポットを使用すると、ネットワーク上のさまざまなオペレーティングシステムのホストをインストールしてシミュレートできますが、そのためには、ターゲットオペレーティングシステムのTCP/IPをシミュレートする必要があります。このモダリティはより一般的です。^{[2] [3]}

ハニーポットは、その配置（使用/アクション）と関与レベルに基づいて分類できます。配置に基づいて、ハニーポットは次のように分類できます。^[5]

• 生産用ハニーポット
• 研究ハニーポット

実稼働用ハニーポットは使いやすく、限られた情報しか取得できず、主に企業で使用されています。実稼働用ハニーポットは、組織全体のセキュリティ状態を向上させるために、他の実稼働サーバーとともに実稼働ネットワーク内に配置されます。通常、実稼働用ハニーポットは低インタラクションのハニーポットであり、導入が容易です。研究用ハニーポットよりも、攻撃や攻撃者に関する情報は少なくなります。^[5]

研究用ハニーポットは、さまざまなネットワークを標的とするブラックハットコミュニティの動機と戦術に関する情報を収集するために実行されます。これらのハニーポットは特定の組織に直接的な価値をもたらすものではなく、組織が直面する脅威を調査し、それらの脅威からより効果的に保護する方法を学ぶために使用されます。 ^[6]研究用ハニーポットは、展開と維持が複雑で、広範な情報を収集し、主に研究機関、軍事機関、政府機関によって使用されます。^[7]

設計基準に基づいて、ハニーポットは次のように分類されます。^[5]

• 純粋なハニーポット
• 高インタラクションハニーポット
• 低インタラクションハニーポット

純粋なハニーポットは、本格的な実稼働システムです。攻撃者の活動は、ハニーポットのネットワーク リンクにインストールされたバグ タップを使用して監視されます。他のソフトウェアをインストールする必要はありません。純粋なハニーポットは便利ですが、防御メカニズムのステルス性は、より制御されたメカニズムによって確保できます。

高対話型ハニーポットは、さまざまなサービスをホストする実稼働システムのアクティビティを模倣するため、攻撃者は多くのサービスを利用して時間を無駄にすることができます。仮想マシンを使用することで、1 台の物理マシンで複数のハニーポットをホストできます。そのため、ハニーポットが侵害された場合でも、より迅速に復旧できます。 一般に、高対話型ハニーポットは検出が困難であるためセキュリティが強化されますが、維持費が高くなります。 仮想マシンが利用できない場合は、ハニーポットごとに 1 台の物理コンピューターを維持する必要があり、非常に高価になる可能性があります。 例: Honeynet。

低インタラクションハニーポットは、攻撃者が頻繁に要求するサービスのみをシミュレートします。^[8]比較的少ないリソースしか消費しないため、1つの物理システムで複数の仮想マシンを簡単にホストでき、仮想システムの応答時間が短く、必要なコードが少なくなり、仮想システムのセキュリティの複雑さが軽減されます。例：Honeyd。このタイプのハニーポットは、90年代後半に最初に作成されたタイプの1つであり、主に攻撃の調査ではなく検出に使用されました。^[9]

Sugarcane はオープンプロキシを装うハニーポットの一種です。^[10]多くの場合、誤って設定された HTTP プロキシのように見えるように設計されたサーバーとして機能します。^[11]おそらく最も有名なオープンプロキシは、任意の宛先との間で電子メールを転送する sendmail (1998 年のバージョン 8.9.0 以前) のデフォルト設定です。^[12]

最近、基本的なハニーポット技術に高度な自動化を加えた、デセプション技術と呼ばれる新しい市場セグメントが登場しました。デセプション技術は、大規模な商業企業や政府機関にハニーポットリソースを自動的に展開する技術です。^[13]

マルウェアハニーポットは、悪意のあるソフトウェアを意図的に誘い込むために設計されたおとりです。これは、Webサーバーなどの脆弱なシステムやネットワークを模倣することで行われます。ハニーポットは、これらのマルウェア攻撃を誘い込むように意図的にセキュリティ上の欠陥が設けられています。攻撃を受けたITチームは、マルウェアを分析して、その出所や動作をより深く理解することができます。^[14]

スパマーは、オープン メール リレーやオープン プロキシなどの脆弱なリソースを悪用します。これらは、スパマーを含むインターネット上のあらゆる人からの電子メールを受信し、それを宛先に送信するサーバーです。一部のシステム管理者は、スパマーの活動を発見するために、これらの悪用可能なリソースを装うハニーポット プログラムを作成しています。

このようなハニーポットは管理者にいくつかの機能を提供しますが、このような偽の悪用可能なシステムが存在すると、悪用が困難になったり、リスクが高まります。ハニーポットは、大量の悪用に依存する者 (スパマーなど) による悪用に対する強力な対抗手段となります。

これらのハニーポットは、不正使用者のIP アドレスを明らかにし、大量のスパムをキャプチャすることができます (これにより、オペレーターはスパマーのURLと応答メカニズムを特定できます)。ITPRo Today の M. Edwards 氏は次のように説明しています。

通常、スパマーは、自分自身に電子メール メッセージを送信するだけで、メール サーバーがオープン リレーされているかどうかをテストします。スパマーが電子メール メッセージを受信した場合、メール サーバーはオープン リレーを許可していることは明らかです。ただし、ハニーポット オペレーターは、リレー テストを使用してスパマーを阻止できます。ハニーポットは、リレー テストの電子メール メッセージをキャッチし、テストの電子メール メッセージを返送し、その後、そのスパマーからの他のすべての電子メール メッセージをブロックします。スパマーは、スパム対策ハニーポットをスパム送信に引き続き使用しますが、スパムは配信されません。その間、ハニーポット オペレーターは、スパマーの ISP に通知して、スパマーのインターネット アカウントをキャンセルできます。ハニーポット オペレーターは、オープン プロキシ サーバーを使用するスパマーを検出した場合、プロキシ サーバー オペレーターに通知して、サーバーをロックダウンし、それ以上の悪用を防ぐこともできます。^[15]

明らかなソースは、別の悪用されたシステムである可能性があります。スパマーやその他の悪用者は、悪用されたトラフィックの元の開始点の検出を困難にするために、このような悪用されたシステムのチェーンを使用する場合があります。

これ自体が、ハニーポットがスパム対策ツールとして強力であることを示しています。スパム対策ハニーポットが登場した初期の頃、スパマーは自分の位置を隠すことにあまり関心がなく、脆弱性をテストしたり、自分のシステムから直接スパムを送信したりしても安全だと感じていました。ハニーポットによって、悪用はより危険で困難になりました。

スパムは今でもオープンリレーを通じて流れていますが、その量は 2001-02 年に比べるとはるかに少なくなっています。ほとんどのスパムは米国から発信されていますが、^[16]スパマーは政治的境界を越えてオー​​プンリレーを飛び越え、発信元を隠しています。ハニーポットのオペレーターは、傍受したリレーテストを使用して、ハニーポットを介してスパムを中継しようとする試みを認識し、阻止することができます。「阻止」とは、「中継スパムを受け入れるが、配信は拒否する」という意味です。ハニーポットのオペレーターは、キャプチャしたスパムメッセージを調べることで、スパムとスパマーに関するその他の詳細を発見することができます。

オープンリレーハニーポットには、Jack CleaverがJavaで書いたJackpot、 Karl A. KruegerがPythonで書いたsmtpot.py 、 ^{[17] 、} Cで書かれたspamholeなどがあります。^[18] Bubblegum Proxypotはオープンソースのハニーポット（または「プロキシポット」）です。^[19]

スパムを受信する以外の目的で使用されていない電子メール アドレスも、スパム ハニーポットと見なすことができます。「スパムトラップ」という用語と比較すると、「ハニーポット」という用語の方が、プローブを検出したり反撃したりするために使用されるシステムや技術に適している可能性があります。スパムトラップでは、スパムは、非スパム メールが届くのとまったく同じように、「正当に」宛先に届きます。

これらの技術を組み合わせたのが、世界中のウェブサイトにインストールされたハニーポットページを使用する分散型オープンソースプロジェクトであるProject Honey Potです。これらのハニーポットページは、一意にタグ付けされたスパムトラップメールアドレスを配布し、スパマーを追跡することができます。その後、対応するスパムメールがこれらのスパムトラップメールアドレスに送信されます。^[20]

データベースは、侵入者によるSQLインジェクション攻撃を受けることが多い。このような活動は基本的なファイアウォールでは認識されないため、企業は保護のためにデータベースファイアウォールを使用することが多い。一部のSQLデータベースファイアウォールはハニーポットアーキテクチャを提供/サポートしており、Webアプリケーションが機能している間に侵入者がトラップデータベースに対して実行できるようにする。^[21]

産業用制御システム（ICS）は、サイバー攻撃の標的となることが多い。^[22] ICS内の主な標的の1つは、プログラマブルロジックコントローラである。^[23]この文脈で侵入者の手法を理解するために、いくつかのハニーポットが提案されている。Conpot ^{[24] [25]}は、シーメンスPLCをシミュレーションできる低インタラクションハニーポットである。HoneyPLCは、シーメンス、ロックウェル、その他のPLCブランドをシミュレーションできる中程度のインタラクションハニーポットである。^{[26] [27]}

ハニーポットがスパマーに対する武器であるのと同様に、ハニーポット検出システムはスパマーが使用する対抗兵器です。検出システムは、デフォルトのハニーポット構成のプロパティと値のペアなど、特定のハニーポットの固有の特性を使用してハニーポットを識別する可能性が高いため、^[28]使用されている多くのハニーポットは、検出して識別しようとする人にとってより大きく、より困難な一連の固有の特性を利用しています。これはソフトウェアでは珍しい状況であり、「バージョンイティス」（同じソフトウェアの多数のバージョンがあり、すべてが互いにわずかに異なる）が有益な状況です。検出しやすいハニーポットをいくつか配置することも有利です。デセプション ツールキットの発明者であるFred Cohen は、ハニーポットを実行するすべてのシステムに、敵がハニーポットを検出するために使用できるデセプション ポートがあるべきだと主張しています。^[29] Cohen は、これが敵を抑止する可能性があると考えています。ハニーポットは、正当な脅威の早期検出も可能にします。ハニーポットがエクスプロイトをどのように検出したかに関係なく、攻撃の試みを即座に警告することができます。^[30]

ハニーポットの目的は、攻撃者を十分長期間引きつけ、攻撃ツールや戦術、技術、手順(TTP)などの高レベルの侵害指標(IoC) を取得することです。したがって、ハニーポットは実稼働ネットワークの重要なサービスをエミュレートし、攻撃者が敵対的な活動を実行する自由を与えて、攻撃者にとっての魅力を高める必要があります。ハニーポットは制御された環境であり、ハニーウォールなどのツールを使用して監視できますが、^[31]攻撃者はハニーポットをピボットノードとして使用して実稼働システムに侵入できる可能性があります。^[32]

ハニーポットの2つ目のリスクは、大規模な企業ネットワークではコミュニケーション不足のため、正当なユーザーを引き寄せてしまう可能性があることです。例えば、ハニーポットを適用して監視するセキュリティチームは、コミュニケーション不足や内部脅威の防止のため、ハニーポットの場所をすべてのユーザーに時間内に開示しない可能性があります。^{[33] [34]}

ネットワーク上の2つ以上のハニーポットはハニーネットを形成します。通常、ハニーネットは、1つのハニーポットでは不十分な、より大規模で多様なネットワークを監視するために使用されます。ハニーネットとハニーポットは通常、より大規模なネットワーク侵入検知システムの一部として実装されます。ハニーファームは、ハニーポットと分析ツールを集中的に集めたものです。^[35]

ハニーネットの概念は、ハニーネットプロジェクトの創設者であるランス・スピッツナーが「ハニーポットの構築」という論文を発表した1999年に始まりました。^[36]

この概念の初期の定式化は「エントラップメント」と呼ばれ、FIPS 39 (1976) で「侵入の試みを検出したり、侵入者がどの欠陥を悪用するかを混乱させたりするために、システムに明らかな欠陥を意図的に植え付ける」と定義されています。^[37]

最も初期のハニーポット技術は、クリフォード・ストールの 1989 年の著書『The Cuckoo's Egg 』に記載されています。

サイバーセキュリティにおけるハニーポットの使用に関する最も初期の記録された事例の 1 つは、1991 年 1 月に始まった。1991 年 1 月 7 日、AT&T ベル研究所で働いていたチェスウィックは、クラッカーとして知られる犯罪ハッカーがパスワードファイルのコピーを入手しようとしているのを目撃した。チェスウィックは、自分と同僚が「chroot「刑務所」(または「ゴキブリモーテル」)」を構築し、数か月にわたって攻撃者を観察できたと書いている。^[38]

2017年、オランダ警察はハニーポット技術を使用してダークネット市場 Hansaのユーザーを追跡しました。

クマが蜂蜜に惹かれて盗むという比喩は、ゲルマン、ケルト、スラブなど多くの伝統に共通している。スラブ語でクマを表す一般的な言葉はmedved （蜂蜜を食べる者）である。クマが蜂蜜を盗むという伝統は、物語や民間伝承、特に有名なくまのプーさんを通して受け継がれてきた。^{[39] [40]}

• カナリアトラップ
• クライアントハニーポット
• カワラヒワ
• 防衛戦略（コンピューティング）
• ハニーモンキー
• ハニートークン
• ネットワーク望遠鏡
• オペレーション・トラスト
• タールピット

• ランス・スピッツナー (2002)。ハッカーを追跡するハニーポット。アディソン・ウェスリー。ISBN 0-321-10895-7。
• ショーン・ボドマー、マックス・キルガー、グレゴリー・カーペンター、ジェイド・ジョーンズ (2012)。『リバース・デセプション：組織的サイバー脅威への対抗策』McGraw-Hill Education。ISBN 978-0-07-177249-5。

• 究極の偽アクセスポイント アーカイブ 2021-02-25ウェイバックマシン- AP のクリアテキストのない WPA2 パスフレーズ ハッキング
• 分散オープンプロキシハニーポットプロジェクト: WASC
• SANS Institute: ハニーポットとは何ですか?
• SANS Institute: 基本的なハニーポッティング
• プロジェクト ハニーポット
• オープンソースプロジェクトに重点を置いたハニーポット、ツール、コンポーネントの厳選リスト