ホニーポットとは?

これらのフレームワークはどう機能するのか

 ホニーポットは通常のコンピューターのように見え、プロジェクトやメモが記録されているため、本物の標的であるかのような印象を与えます。例えば、クレジットカード番号の探索対象となる組織の決済システムを模している場合もあります。もし攻撃者がアクセスに成功すれば、その行動を追跡し、組織のセキュリティ向上に役立つ情報を得ることができます。

 攻撃者はシステムの脆弱な部分に惹かれてホニーポットに引き込まれます。例えば、弱い認証ポートやパスワードが原因でポート型ホニーポットが仕掛けられ、安全なシステムを直接使用する代わりに、あえて脆弱なポートを用いて侵入者をホニーポット環境に誘い込みます。

ホニーポットの二種類

 ホニーポットの仕組みを理解した後は、実際に利用できるホニーポットの種類を知ることが大切です。アンチウイルスやファイアウォールとは異なり、ホニーポットは特定の問題を解決するためのものではなく、現存する脅威を特定し、新たな攻撃手法を予測するための情報源となります。ホニーポットは大きく、実運用用と研究用の二つに分類されます。

•  実運用ホニーポット

 実運用ホニーポットは主に企業内で使用され、システム運用に関するデータを収集します。このホニーポットは、攻撃が実行される前に長い間待機し、攻撃が行われた際には、発信元のIP、トラフィックの量や継続時間、その他様々な情報を得ることができます。

 実運用ホニーポットは設定が容易で、サイバー攻撃や企業内の異常な動きを把握するための有益な情報を提供するため、多くの企業で採用されています。一方、研究用ホニーポットは実運用型ほど詳細な情報は得られません。

•  研究ホニーポット

 研究ホニーポットは、攻撃手法や技術に関する情報を重点的に収集するタイプです。このため、攻撃者にとって本物のシステムのように見せかける情報が生成され、攻撃手法の把握や脆弱な箇所の特定に役立ちます。

 企業のみならず、政府機関や研究機関でもホニーポットは利用されています。実運用ホニーポットが企業内に設置されるのに対し、研究ホニーポットは複数の拠点や組織に分散して運用されるのが特徴です。

複雑なホニーポットの環境

 ピュアホニーポット

 ピュアホニーポットは複数の作業をこなす大規模なマシンで、運用環境の構築を模倣しています。ピュアホニーポットの特長は以下の通りです。

 個人情報のように見せかけたデータ

 顧客の「機密」情報

 侵入者の行動を監視する多数のセンサー

 低接触ホニーポット

低接触ホニーポットを用いる場合、攻撃者はシステムに対して非常に限定されたアクセスしか得られません。環境が静的であるため、模擬システムとのやり取りも少なく、数種類のネットワークプロトコルやサービスを用いて侵入者の行動を追跡します。多くの企業は、TCPやIPプロトコルを利用して、攻撃者に本物のシステムと誤解させる工夫をしています。

しかし、低接触ホニーポットはあくまでシステムの簡易な模倣に過ぎないため、攻撃者を十分に引き付けることが難しく、細かな攻撃を捉えるには範囲が狭い場合があります。

 中接触ホニーポット

このタイプはより高度な仕組みで、利用されるとより多くの詳細情報を提供する可能性があります。稼働するコードを持たないため悪用リスクは低いものの、システムに対する攻撃リスクが増す可能性もあり、セキュリティの弱点を突かれる恐れがあります。

高接触ホニーポット

高接触ホニーポットでは、本格的なシステムが稼働します。実際のOSやアプリが動作するため、予測が難しい環境となり、全てが実機であり模倣ではありません。これにより、継続的な攻撃や制御の様子、さらには特定のマルウェアの動作など、詳細な情報を得ることが可能です。また、実機を使用することで、ネットワーク内の思いがけない脆弱性の発見にも寄与します。

このホニーポットでは、利用者にシステム上の全ての操作権限が与えられます。この段階で、企業内でホニーポットを運用するリスクが浮き彫りになります。ホニーポットの構築や維持には多大な労力が必要である上、高い接触度のため、マルウェアに対して脆弱となり、サイバー犯罪者が実機に侵入しやすい状況となります。

ホニーポットの種類

スパムホニーポット

これらは、スパム送受信の動作を模倣することで悪意あるソフトウェアを特定する手法を採用しています。ホニーポット（例：Ghost）はUSBストレージの動作を再現し、もしUSB経由で拡散するマルウェアに感染すると、偽のマシンにそのマルウェアが拡散されるよう仕向けます。

 マルウェアホニーポット

マルウェアホニーポットでは、オープンメールリレーやシンプルな中継サーバーが再現されます。スパマーは、メールリレーが稼働しているか確認するために接続を試み、成功すると大量のスパムを送信しようとします。このタイプのホニーポットは、スパムの検出とそのブロックに役立ちます。

データベースホニーポット

SQLインジェクションはファイアウォールですら検出できない場合があるため、企業はファイアウォールを活用し、偽のデータベースを構築してホニーポットとして利用することができます。