요약

  • APNIC 62 프로그램은 그 결과를 "204일 동안 127만 건의 공격(1.27M Attacks in 204 Days)"이라고 부르며, 초록은 "공격 이벤트(attack events)"라고 하지만 발표 자료는 1,272,286건의 "총 이벤트(Total Events)"를 보고한다.
  • 이 관측은 SSH와 Telnet을 의도적으로 노출한 하나의 공용 IP에 설치된 허니넷 센서 하나에서 나온 것이다. 아시아·태평양 전역의 공격에 대한 센서스가 아니다.
  • 발표 자료는 198,973건의 성공 로그인 시그니처 이벤트를 보고하지만, 성공 로그인 단계에서 고유 출발지 IP는 4,530개에 불과하다. 두 수치 모두 유용할 수 있으며, 서로 다른 질문에 답한다.
  • 공개 메트릭 영수증은 모든 헤드라인 숫자를 센서 세트, 서비스, 관측 기간, 이벤트 분류 체계, 심각도 규칙, 중복 제거 키 및 단위에 결합해야 한다.

하나의 헤드라인 숫자에 붙은 세 가지 이름

APNIC 프로그램의 세션 제목은 다카 대학교(University of Dhaka) 배치가 204일 동안 127만 건의 공격을 관측했다고 말한다. 프로그램 초록은 이를 127만 건의 공격 이벤트로 좁힌다. 첫 슬라이드는 단순히 127만 건의 이벤트라고 한다. 대시보드 기준 정확한 총계는 1,272,286이다.

이것은 말장난이 아니다. 이벤트는 센서나 규칙이 생성한 기록이다. 공격 이벤트는 그 기록에 대한 해석이다. 일반적인 보도에서 공격은 범위가 정해진 행위나 사건처럼 들린다. 세 가지는 서로 연관될 수 있지만, 서로 바꿔 쓸 수는 없다.

배치 경계는 이례적으로 명확하다. 발표는 우분투(Ubuntu) 가상 머신 하나, CPU 코어 하나, 2GB 메모리, 20GB 로그 보존, 하나의 전용 공용 IP를 설명한다. SSH용 22번 포트와 Telnet용 23번 포트가 열려 있었고, 인바운드 트래픽은 의도적으로 열어 두었다. 이는 방글라데시 네트워크에 도달하는 모든 트래픽의 수동 표본이 아니라, 더구나 APNIC 지역 전체가 아니라, 목적을 가진 유인 장치다.

이 실험은 좁기 때문에 정확히 가치가 있다. 이것은 두 개의 익숙한 서비스를 미끼로 제공했을 때 자동화 및 상호작용 트래픽이 무엇을 했는지 보여준다. 다른 곳에서 일어난 모든 것을 세는 것은 아니다.

로그인 쌍이 분모를 드러낸다

가장 명확한 감사 지점은 한 슬라이드에 있다. 시그니처 테이블은 198,973건의 "SSH login successful" 이벤트를 보고한다. 그 옆에서 "고유 IP(Unique IPs)"로 표시된 공격 퍼널은 4,530건의 성공 로그인을 보고한다. 가능성 높은 구분은 그 단계에서 반복 이벤트와 중복 제거된 출발지 주소 사이의 차이다. 자료는 조인을 재현할 만한 충분한 스키마를 공개하지 않지만, 단순한 "성공 로그인" 라벨이 불완전하다는 점을 보여줄 만큼은 공개한다.

차이는 상당하다. 그 퍼널 단계에 도달한 출발지 IP 하나당 약 44건의 성공 로그인 이벤트가 있다. 어느 쪽도 폐기해서는 안 된다. 이벤트 수는 센서가 받는 압력과 행동의 반복성을 설명한다. 출발지 IP 수는 명시된 중복 제거 규칙 이후의 주소 카디널리티를 설명한다. 어느 숫자도 고유한 인물, 조직 또는 캠페인을 식별하지 못한다.

하나의 출발지 주소는 자동화, NAT, 릴레이, 침해된 호스트 또는 공유 인프라 뒤에 있을 수 있다. 재할당될 수도 있다. 한 운영자가 여러 주소를 사용할 수 있고, 여러 운영자가 하나의 주소 뒤에 나타날 수도 있다. 36,598개의 고유 출발지 IP를 "36,598명의 고유 공격자"라고 부르면, 자료가 입증하지 않은 신원 결론으로 네트워크 식별자를 바꿔 쓰는 것이다.

같은 규율이 다른 대시보드 타일에도 적용된다. 보고된 78,411개의 고유 비밀번호는 자격 증명 문자열이지 78,411개의 계정이 아니다. 7,107개의 사용자 이름은 미끼에 제시된 값이지 검증된 신원이 아니다. 19,255건의 멀웨어 다운로드, 2,430건의 명령, 95개의 활성 C2 URL, 4,280개의 자율 시스템은 각각 센서와의 고유한 단위와 관계를 가진다.

허니팟의 성공은 성공하도록 설계된 것이다

"성공(successful)"이라는 단어도 그 대상이 필요하다. 허니팟은 프로덕션 서비스가 거부해야 할 행동을 수신, 관측, 격리하도록 만들어졌다. 미끼에 대한 성공 로그인은 센서가 구성된 규칙에 따라 세션을 수용했다는 증거다. 그 자체로 대학의 프로덕션 서버가 침해되었다는 증거가 아니다.

이 구분이 관측을 무해하게 만드는 것은 아니다. 발표는 로그인 이후의 명령 실행, 다운로드, 지속 동작 패턴을 기록한다. 이것들은 방어자에게 유용한 지표다. 그러나 방어적 가치는 연결, 인증 시도, 수용된 미끼 세션, 명령, 페이로드라는 순서를 보존하는 데서 나오며, 이를 침해 횟수로 압축하는 데서 나오지 않는다.

프로토콜 총계는 하나의 깔끔한 대조를 제공한다. 자료는 1,016,974건의 SSH 이벤트와 255,312건의 Telnet 이벤트를 보고하며, 정확히 대시보드 총계인 1,272,286과 일치한다. 표시된 시그니처 테이블은 덜 깔끔하다. 그 여덟 개의 수치를 더하면 1,272,287, 즉 하나 더 많다. 공개 슬라이드는 시그니처 클래스가 겹치는지, 한 셀에 기입 오류가 있는지, 필터가 다른지 말하지 않는다. 책임 있는 결론은 단지 이 표가 공개된 정의만으로는 대조할 수 없다는 것이다.

메트릭 영수증을 공개하라

빠져 있는 객체는 작다. 각 헤드라인 값마다 센서 세트와 노출된 서비스, 정확한 관측 기간, 원시 이벤트 유형, 심각도 규칙, 중복 제거 키, 단위, 알려진 신원 한계를 공개하라. 퍼널의 경우 단계 간 전환 규칙을 추가하라. 시그니처 테이블의 경우 카테고리가 배타적인지 명시하고 총계에 대한 체크섬을 보여라.

이 메트릭 영수증은 테오 마치(Theo March)의 편집 제안이지, APNIC이나 다카 대학교가 발표한 요구 사항이 아니다. 민감한 페이로드를 노출하지 않을 것이다. 운영자가 압력과 도달 범위, 출발지 주소와 행위자, 미끼 로그인과 프로덕션 침해를 구별할 수 있게 해 줄 것이다.

출처가 입증하는 것과 입증하지 않는 것

APNIC 프로그램과 발표는 세션 표현, 배치 설계, 표시된 수치를 입증한다. APNIC의 프로젝트 페이지는 이 프로그램이 허니팟 센서를 사용해 의심 트래픽, 멀웨어, 공격 패턴 데이터를 수집한다는 것을 입증한다. 출처는 고유 인물 수, 사건 수, 국가 귀속, 지역 유병률, 프로덕션 침해를 입증하지 않는다. 또한 표시된 시그니처 테이블의 한 건 차이를 설명하지도 않는다.

출처