ハニーポットの種類

ハニーポットは、主に2つの方法で分類されます。インタラクションレベル（攻撃者が実行できる操作の範囲）と、目的（研究用か本番用か）です。適切な種類を選ぶことで、得られる洞察とリスク、労力のバランスを取ります。

低インタラクション型ハニーポットは、少数のサービスと限られた応答だけをエミュレートします。安価で安全に導入しやすい一方、熟練した攻撃者にはエミュレーションだとすぐに見破られる可能性があります。

• 自動スキャンやワームの検知に適しています。
• 侵害のリスクが最小限です。

高インタラクション型ハニーポットは、攻撃者が深く操作できる実システムまたは完全にシミュレートされたシステムです。ツールや手法に関する豊富なインテリジェンスを得られますが、リスクと保守コストは高くなります。

• 攻撃チェーン全体を記録します。
• 攻撃の踏み台にならないよう、厳格に封じ込める必要があります。

中対話型のハニーポットは、その中間に位置します。低対話型のシステムよりも豊かな挙動を再現しながら、完全なOSを公開することはありません。攻撃者が強引な操作を行った場合の被害範囲を抑えつつ、より高い現実感を実現することを目指します。

目的による分類：

• 運用環境向けハニーポットは、実際の攻撃を検知して遅延させるため、稼働中の環境内に設置します。
• 研究用ハニーポットは、脅威の研究やインテリジェンスの収集を目的として運用します。多くの場合、セキュリティ研究者が使用します。

一般的な低対話型ハニーポットは、特定のサービスを再現します。

• SSH/telnetエミュレーターは、ログインの試行とコマンドを記録します。
• 偽のWebサーバーは、エクスプロイトの試行を記録します。

高対話型ハニーポットには、実際のOSとアプリケーションを備えた完全なVMを使用し、詳細な監視機能を組み込み、ネットワークから分離したものがあります。これにより、防御側は攻撃者が本物の標的を操作しているかのように活動する様子を観察できます。

対話レベルはリスクに直結します。

• 低：得られる情報が少ない一方で、失うものも少なくなります。
• 高：豊富なデータを得られますが、封じ込めに失敗すると悪用される可能性がある実システムを扱います。

自分のスキルと許容できるリスクに合った種類を選んでください。

攻撃者は、タイミング、存在しないファイル、不自然な応答などを調べて、ハニーポットを探します。低対話型のデコイは指紋を特定されやすく、高対話型は見破られにくい一方で、説得力のある状態を維持するのが困難です。

対話レベルが高いほど、より強固な封じ込めが必要です。

• 本番環境から離れたネットワークセグメント。
• デコイが他の対象を攻撃できないようにする送信トラフィックの制御。
• 分析用の継続的な監視とスナップショット。

目的に基づいて選択してください。

• 低コストで広範囲を検知する必要がありますか。低対話型の運用環境向けハニーポットが適しています。
• 深い脅威インテリジェンスが必要で、リソースもありますか。高対話型の研究用ハニーポットが適しています。
• 多くの場合、両方を組み合わせることで、広さと深さを両立できます。

対話レベルと得られる成果を対応させてください。

ハニーポットは、対話レベルと目的によって異なります。

• 低対話型：安全で低コストですが、得られる情報は限られます。
• 高対話型：豊富なデータを得られますが、リスクと運用負担が高くなります。
• 運用環境向けハニーポットは検知を行い、研究用ハニーポットは調査を行います。
• 目的、スキル、封じ込め能力に合った種類を選んでください。