攻撃者の行動分析

デセプションの本当の成果はインテリジェンスです。攻撃者がデコイとどのようにやり取りするかを観察することで、防御側は戦術、技術、手順（TTPs）を学び、その知識をより強固な防御へと変えられます。

デコイのログから、詳細な情報が明らかになります。

• 送信元IPと攻撃インフラ。
• 試行された認証情報とコマンド。
• 使用されたツールとエクスプロイト。
• 操作のタイミングと順序。

MITRE ATT&CKフレームワークは、攻撃者の戦術と技術を体系化しています。観測したハニーポット上の活動をATT&CKにマッピングすると、生のログを攻撃者の構造化されたプロファイルに変換でき、どの防御を強化すべきかも明らかになります。

行動から目的を推測できます。

• 広範囲のスキャンは、機会を狙う自動化された攻撃を示唆します。
• 特定の資産に対する標的型の列挙は、明確な意図を持つ攻撃者を示唆します。
• データの探索は、情報の持ち出しを目的としている可能性があります。

手がかりから、ボットと人間を区別できます。

• ボット：即時的で均一、予測可能なコマンドシーケンス。
• 人間：間、一時停止、タイプミス、探索的で適応的な行動。

相手がどちらなのかを知ることで、対応方法が変わります。

高対話型ハニーポットは、攻撃者が配置したマルウェアを収集できることがよくあります。これらのサンプルをサンドボックス内で分析すると、ペイロード、コマンドアンドコントロールサーバー、永続化手法が明らかになり、他の場所でブロックできるようになります。

観測した活動からIOCを抽出します。

• 悪意のあるIPとドメイン。
• ファイルハッシュ。
• ツールの特徴とコマンドパターン。

IOCをファイアウォール、EDR、SIEMに取り込み、実際のシステム上で同じ攻撃者をブロックします。

学んだことは、他の組織にも役立ちます。信頼できるコミュニティ（ISACs、脅威インテリジェンスプラットフォームなど）を通じて、匿名化したIOCとTTPsを共有すると、共通の攻撃者に対する集団的な防御を強化できます。

分析結果を防御に反映してください。ハニーポットから得た知見を次のことに活用します。

• 本番環境で悪用された脆弱性にパッチを適用します。
• 観測した技術に対応する検知ルールを強化します。
• 攻撃者のIOCをブロックリストに追加します。

慎重に解釈してください。

• 送信元IPはプロキシやVPNであることが多く、真の発信元とは限りません。
• 攻撃者が誤解を招く手がかりを仕込むことがあります。
• 1つのハニーポットから得られる視点は限定的です。他のデータと相関させてください。

インテリジェンスは、行動に移して初めて価値を持ちます。デコイのデータを収集し、分析してマッピングし、IOCを抽出して防御を更新するという手順を確立してください。そうすれば、罠に対する攻撃のたびに、実環境への侵入をより困難にできます。

分析結果を防御につなげてください。

攻撃者の行動を分析することで、罠をインテリジェンスに変えられます。

• ハニーポットは、IP、認証情報、コマンド、ツール、マルウェアを収集します。
• 活動をMITRE ATT&CKにマッピングし、意図を推測します。
• IOCを抽出し、脅威インテリジェンスを共有します。
• 学んだことを基に実際の防御を強化し、分析結果を防御に反映します。