ハニーポットは遠く、告発状はあなたのサーバーから

要約

• LightScopeは稼働中のサーバーの閉じたポートを観測点に変え、選んだ通信を遠隔のハニーポットへ送る。RIPE 93で示された2か月、235導入先の分析では、比較対象の観測点に現れなかったスキャナーの送信元アドレスが64,686件あった。
• プロジェクトはISPへの自動通報と個別のIPブロックリストを掲げる。一方、公開データの説明は、記録されたIPやASNから送信者や責任者を特定できないと明記する。観測から通報までの間に、誰の判断があるのか。

本番サーバーに増えた仕事

本番サーバーは利用者の要求に応えるためにある。その機械に「誰も使わないはずのポートも見張ってほしい」と頼むのが、RIPE 93で紹介されたLightScopeだ。閉じたポートへの通信をレイヤー4で観測し、選ばれたやり取りを離れたレイヤー7のハニーポットにつなぐ。おとりは遠方にあるが、目は本物のサービスが動く機械に置かれる。いかにも罠らしい孤立した箱と、仕事中のサーバーとでは、訪問者の振る舞いも違いうる。

発表要旨が報告するのは、235の導入先から得た2か月の記録だ。比較した観測点には映らなかったスキャナーの送信元アドレスが64,686件あった。この数字は追加の視野を示す。64,686人の攻撃者を数えた数字ではない。共有回線も送信元の偽装もあり、アドレスと人間は一対一では対応しない。著者の論文案内にはEric KapitanskiとJelena MirkovicによるACM IMC 2026の原論文が掲げられている。ここで扱う運用の説明は、公開されているRIPEの要旨と著者自身の資料による。

肝心なのは、観測の次の動詞だ。プロジェクトのサイトは、通信をハニーポットへ転送するだけでなく、ISPへ「攻撃者」を自動通報し、導入者に個別のIPブロックリストを渡すとうたう。サイトで確認できるのは製品側の説明であり、通報が何件送られ、何件が実際に遮断されたかを示す監査済みの数字ではない。検知の閾値も、誤認された送信元が訂正を求める経路も見えない。派手な観測件数より、その空欄の方が運用責任に近い。

FAQは収集範囲を具体的に記す。開いているサービスポートへの通信は対象から外し、閉じたポートの通信を観測する。送信元IPや時刻などのヘッダー情報を残し、導入先の宛先IPは一貫した方法でランダム化する。システムとネットワークに関する一部の情報も扱う。同ページはUSCの倫理審査委員会による免除認定UP-25-00124を報告する。これらは収集の設計を知る材料だ。どの観測を相手への非難に昇格させるかという別の判断まで代行しない。

導入者の負担は設置手順にも表れている。Dockerの簡易手順ではホストネットワークとNET_RAW、NET_ADMIN権限を使う。Linuxパッケージは専用の非特権ユーザーと必要なネットワーク権限、自動起動を説明する。稼働中の機械に新しいセンサーを置く組織は、設置場所、権限、更新、停止の決定を引き受ける。遠隔のハニーポットという言葉で、地元の権限が消えるわけではない。

データの注意書きを通報にも載せる

元のデータセット案内は27GBのIMC 2026公開データを掲げ、検索できる項目を説明する。そしてIP、ドメイン、ASNが記録に現れても、ある人や組織が通信を送り、所有し、責任を負った証拠にはならないと書く。送信元の偽装、データベースの汚染、第三者のメタデータの誤り、ソフトウェアの不具合が例示されている。この具体的な留保が、データのダウンロード欄からISP向け通報やブロックリストまで同行しているかが試金石だ。

よい引き継ぎなら、パケットと時刻を示し、分類ルールと裏づけを記録し、受信者が判断できる形で通報する。遮断するなら、決定者、発火した規則、期限、訂正手段も残す。ダッシュボードが赤くなった瞬間に、データベースの一行が有罪判決を得る仕組みにはしない。

Lu HengのNote 73が問うのは、参加と権限を取り違える瞬間だ。LightScopeを走らせる組織は観測点を提供する。研究者は集まった記録を解釈する。通報を受けるISPとリストを使う運用者にはそれぞれ独立した判断がある。送信元アドレスの持ち主はさらに別かもしれない。センサーを増やす価値を認めるほど、観測を行動へ渡す責任の所在が重要になる。