小型ハニーポットで可視化するサイバー攻撃の実態

KA

前置きが長くなるので、まずは動画デモを先出し！



境界防御だけでは防げない現代の脅威

近年の深刻なセキュリティ侵害事案を見ると、従来の境界防御（ファイアウォールやアンチウイルス）だけでは防げないタイプの侵入が起点となっているケースが急増しています。

見えない侵入者の脅威

最も恐ろしいのは、見知らぬ間に部外者が LAN 内に侵入している状況です：

  • 標的型攻撃: メールの添付ファイルや Web サイト経由でマルウェア感染
  • 内部ネットワークへの侵入: ウイルス感染を起点とした水平展開
  • 長期潜伏: 発見されるまで数ヶ月〜数年間活動を継続
  • データ窃取: 内部情報の継続的な流出

従来のセキュリティ対策は「外からの侵入を防ぐ」ことに重点を置いていましたが、現実には攻撃者は既に内部にいる可能性があります。

内部ネットワーク監視の重要性

一度 LAN 内に侵入された場合、攻撃者は以下のような活動を行います：

  1. ネットワーク偵察: 内部システムのスキャンと脆弱性調査
  2. 権限昇格: より高い権限のアカウント奪取
  3. 横展開: 他のシステムへの侵入拡大
  4. データ収集: 機密情報の特定と窃取
  5. 永続化: 長期間の潜伏のための仕組み構築

特に注目すべき点は、これらの活動が正常な業務時間外や通常とは異なるパターンで発生することです。

これらの活動を早期に発見するためには、内部ネットワークでの異常検知が不可欠です。しかし、多くの組織では外部からの攻撃対策に比べて、内部での監視体制が不十分なのが現実です。

ハニーポットによる内部脅威検知

なぜ内部ネットワークにハニーポット？

ハニーポットは本来、攻撃者を誘い込むためのシステムですが、近年は内部ネットワークでの異常検知という新しい役割が注目されています。

内部ネットワークに設置されたハニーポットには、正当なユーザーがアクセスする理由がありません。つまり、ハニーポットへのアクセス = 異常な活動と判断できます。


img


内部ハニーポットの優位性

従来の境界防御と比較した内部ハニーポットの利点：

  1. 既に侵入済みの脅威を検知: 境界を突破した攻撃者の活動を発見
  2. 誤検知の少なさ: 正当なアクセスがないため高精度な検知が可能
  3. 早期発見: 攻撃者の偵察活動段階での検知
  4. 低コスト: 専用ハードウェアや高額なソフトウェアが不要
  5. リアルタイム性: 攻撃発生と同時に検知・通知

従来システムとの連携

内部ハニーポットは、既存のセキュリティシステムを置き換えるものではありません：

  • ファイアウォール: 外部からの侵入を防ぐ第一の防壁
  • アンチウイルス: 既知のマルウェアを検知・除去
  • IDS/IPS: ネットワークトラフィックの異常を監視
  • 内部ハニーポット: 侵入後の活動を早期検知

これらが連携することで、多層防御が実現され、侵入前・侵入時・侵入後のすべての段階で脅威に対処できます。

小型ハニーポットという新しいアプローチ

コンセプト：攻撃を物理的に可視化

今回構築したシステムは、従来の課題を解決する新しいアプローチです：

物理的な出力: デジタルの攻撃を、サーマルプリンターという物理的な手段で出力することで、攻撃の「重み」を実感できます。

リアルタイム性: 攻撃を受けた瞬間に、LED が点滅し、プリンターが動作することで、攻撃の頻度と継続性を体感できます。

手軽さ: 小型で安価なデバイスを使用することで、誰でも簡単に導入できます。


img


構築したシステムの詳細

今回実装したハニーポットシステムの構成は以下の通りです：

ハードウェア構成:

  • M5Stack Atom Printer: メインデバイス（Atom Lite + サーマルプリンター）
  • 60 連 LED ストリップ（WS2812B）: 攻撃検知時の視覚アラート
  • WiFi 接続: 家庭用ネットワーク経由でインターネットに接続

監視対象ポートとプロトコル: 実際のサーバーと同様の 8 つの主要ポートを監視し、各プロトコルに応じた適切なレスポンスを返します：

  • 21 番ポート（FTP）: “220 FTP Server ready” で応答
  • 22 番ポート（SSH）: “SSH-2.0-OpenSSH_8.2” で応答
  • 23 番ポート（Telnet）: “Ubuntu 20.04 LTS login:” で応答
  • 25 番ポート（SMTP）: “220 mail.server.com ESMTP” で応答
  • 80 番ポート（HTTP）: Apache 風の HTTP レスポンスで応答
  • 443 番ポート（HTTPS）: TLS ハンドシェイク風のバイト列で応答
  • 3389 番ポート（RDP）: “RDP Server” で応答
  • 5900 番ポート（VNC）: “RFB 003.008” で応答

主要機能:

  1. マルチポート同時監視: 8 つのサービスを同時に稼働
  2. プロトコル別偽装: 各サービスらしいレスポンスで攻撃者を騙す
  3. 詳細ログ出力: 攻撃時刻、送信元 IP、プロトコルをプリンターに出力
  4. 3 段階アラート:
    • Atom 内蔵 LED（赤色点灯）
    • 60 連 LED ストリップ（3 分間の赤色点滅）
    • サーマルプリンター（物理ログ出力）
  5. 手動制御: ボタン操作によるアラート停止・テスト機能

このコンパクトなシステムが、LANに接続された瞬間から見知らぬ攻撃者による自動スキャンを検知し、リアルタイムで可視化します。


と、今回は前置きが長くなりましたが、改めて実験動画をご覧ください。



まとめ：見えない脅威を見える化する意義

今回構築した小型ハニーポットシステムは、単なる技術的な実験を超えた意義があります。普段は見えないサイバー攻撃を物理的に可視化することで、以下のような効果が期待できます：

セキュリティ意識の向上

デジタルな情報として表示される攻撃ログと、物理的に蓄積される紙の攻撃記録では、受ける印象が大きく異なります。後者は攻撃の「現実感」を強く伝え、セキュリティ対策の重要性を実感させます。

教育効果の最大化

学校や企業でのセキュリティ教育において、実際に動作するハニーポットと物理的な出力は、座学では得られない臨場感のある学習体験を提供します。

継続的な監視文化の醸成

常時動作するシステムから出力される攻撃ログは、セキュリティが「一時的な対策」ではなく「継続的な取り組み」であることを物理的に示します。

サイバーセキュリティの脅威は今後も増大し続けるでしょう。しかし、このような手軽で直感的なツールを通じて、より多くの人がその実態を理解し、適切な対策を講じることができれば、全体としてのセキュリティレベル向上につながると考えています。

技術の進歩とともに攻撃手法も巧妙化していますが、基本的な対策の重要性は変わりません。この小さなデバイスから出力される攻撃ログが、皆さんのセキュリティ意識向上の一助となれば幸いです。

小型ハニーポットプリンタの導入や構築にご興味のある方は、ぜひお気軽にお問い合わせください。