ハニーポット（ハニーポット）

概要

ハニーポットは、攻撃者を誘引し、行動を監視するためのサーバーです。
攻撃対象と見せかけるサービス（SSH/Telnet、HTTP、FTP など）を提供し、
侵入試行やマルウェアの挙動をリアルタイムで記録します。
2025年に導入された最新の統合プラットフォームは、AWS GuardDuty や Azure Defender と連携し、
MITRE ATT&CK のフレームワークに基づく脅威インテリジェンスを自動で取り込みます。
次世代のハニーポットは、クラウドとオンプレミスを横断的に運用できる点が特徴です。

主な特徴・仕組み

• 誘引性：実際のサービスと同等の応答を返すことで、攻撃者を引き込む。
• 監視：ログ収集、ネットワークパケット解析、マルウェアサンドボックスを併用。
• 分析：MITRE ATT&CK の技術とマッピングし、攻撃パターンを可視化。
• 連携：AWS GuardDuty、Azure Defender、SIEM へリアルタイムで情報を送信。
• 自動化：Canarytokens と Honeytoken を組み合わせ、偽情報で攻撃者を検知。

スペック/製品比較表

具体例・対応製品

• Cowrie：SSH/Telnet での認証試行を記録。
• Dionaea：マルウェアのダウンロードを捕捉し、サンドボックスで解析。
• T‑Pot：複数のサービスを統合し、管理画面から一括監視。
• Honeyd：仮想ホストを多数生成し、ネットワーク内の偽ターゲットを作成。
• Snort：IDS としてパケットを検査し、ハニーポットへのアクセスを検知。
• Honeytoken：偽認証情報をデータベースに埋め込み、使用を検知。
• Canarytokens：Thinkst が提供するトークンで、ファイルアクセスや URL クリックを追跡。
• AWS GuardDuty / Azure Defender：クラウド環境での脅威検知と自動アラート。

自作PCでの選び方・注意点

• CPU：Ryzen 9 9950X3D（10コア 20スレッド）でマルウェア解析を高速化。
• GPU：RTX 5090（24GB GDDR7）で GPU アクセラレーションを活用。
• メモリ：DDR5 6000（32GB）で同時実行数を増やす。
• ストレージ：PCIe 5.0 x16 接続の 1TB NVMe SSD で高速ログ書き込み。
• 電源：Corsair RM650x（650W 80+ Gold）で安定供給。
• 冷却：120mm ファン 2基で 10°C 以内の温度維持。
• ネットワーク：10Gbps NIC で大量トラフィックを処理。
• OS：Ubuntu 24.04 LTS（2026年リリース）をベースに、Docker でコンテナ化。
• バックアップ：定期的に 512GB SSD へスナップショットを取得。
• セキュリティ：ファイアウォールで外部からの直接アクセスを遮断し、
  監視対象は内部ネットワークに限定。

関連用語との違い

• Honeytoken：データベース内の偽情報を利用した検知手法。
• Canarytokens：Thinkst が提供するトークンで、ファイルや URL を埋め込む。
• IDS (Snort)：ネットワークトラフィックを検査し、既知の攻撃を検知。
• MITRE ATT&CK：攻撃手法を体系化したフレームワーク。ハニーポットはこの枠組みで収集データを整理。

よくある質問

Q1. ハニーポットは本番サーバーに影響を与えますか？
A1. 適切に隔離された環境で運用すれば、実際のサービスに影響はありません。

Q2. どの程度のハードウェアが必要ですか？
A2. 侵入試行が多い場合は Ryzen 9 9950X3D と RTX 5090 が推奨され、
低負荷なら Intel i5 7600K でも十分です。

Q3. 収集したデータはどこで保存しますか？
A3. 1TB NVMe SSD にログを保存し、定期的に 512GB SSD にスナップショットを取ります。

まとめ

ハニーポットは、攻撃者の行動を可視化し、脅威インテリジェンスを強化する重要なツールです。
2026年に登場した統合プラットフォームは、クラウドサービスと連携し、
MITRE ATT&CK で整理されたデータをリアルタイムで活用できます。
自作PCで構築する際は、CPU、GPU、メモリ、ストレージを十分に確保し、
ネットワークと電源の安定性を重視してください。
次世代のハニーポットは、クラウドとオンプレミスをシームレスに結合し、
攻撃者の手口を詳細に追跡できる点が大きなメリットです。