ネットワークセキュリティ

ハニーポットはにーぽっと

おとり不正アクセス検知サイバー攻撃脅威インテリジェンスマルウェア解析侵入検知

ハニーポットについて教えて

簡単に言うとこんな感じ！

ハニーポットは「わざとハッカーに狙わせるおとりシステム」だよ！本物に見せかけた罠サーバーを用意しておいて、攻撃者がそこに引き寄せられたら「どんな攻撃をするのか」を記録・観察するんだ。蜂蜜（ハニー）で虫をおびき寄せるイメージそのまま！

ハニーポットとは

ハニーポット（Honeypot） とは、攻撃者をおびき寄せるためにわざと脆弱性を持たせた「おとり用のシステム・サーバー」のことです。実際の業務には使わず、攻撃者の行動を観察・記録することだけを目的として設置されます。「蜂蜜（Honey）の壺（Pot）」という名の通り、甘い蜜で害虫をおびき寄せるイメージです。

ハニーポットを設置する目的は大きく2つあります。まず「早期警戒」— 本来アクセスされるはずのないシステムへのアクセスは即座に不審行動として検知できます。次に「脅威インテリジェンス（Threat Intelligence）の収集」— 攻撃者がどんなツールを使い、どんな順序で侵入を試みるかを記録することで、本番環境の防御強化に役立てられます。

企業のセキュリティ担当者にとっては、実害が出る前に攻撃の”予兆”をつかめる貴重なセンサーとして機能します。また、セキュリティ研究者がマルウェアの新しい亜種を収集・分析するためにも広く使われています。

ハニーポットの種類と仕組み

ハニーポットは「どこまでリアルに見せるか（インタラクションの深さ）」と「何を目的とするか」によって分類されます。

インタラクションレベルによる分類

種類	説明	リスク	主な用途
低インタラクション型	限られたサービスだけをエミュレート。実際のOSは動かない	低い（攻撃者は深く侵入できない）	大量の攻撃ログ収集・早期警戒
中インタラクション型	OSの一部機能を模倣。ある程度の操作を許す	中程度	攻撃手順の観察
高インタラクション型	本物のOSやサービスをそのまま稼働させる	高い（攻撃者が完全に侵入できる）	詳細な攻撃行動・ゼロデイの分析

目的別の分類

種類	説明
リサーチ型	新しい攻撃手法・マルウェアを収集し研究する目的で設置
プロダクション型	自組織ネットワーク内に置き、実際の侵入を検知・対応するために設置

ハニーポットから発展した概念

ハニーネット（Honeynet）: 複数のハニーポットをネットワーク化したもの。より複雑な組織のインフラを模倣できる
ハニートークン（Honeytoken）: システムではなく偽のデータ（偽のクレデンシャル・偽の顧客リストなど）を仕掛け、それが使われたら侵害を検知する

覚え方

🍯 ハニー（蜜）= 甘い罠、ポット（壺）= 罠を仕掛ける容器

「攻撃者はクマのプーさん。本物のシステムには手を出させず、蜂蜜の壺に引き込め！」

歴史と背景

1990年代初頭: セキュリティ研究者のクリフォード・ストール（Clifford Stoll）が著書『カッコウはコンピューターに卵を産む（The Cuckoo’s Egg）』でハッカーの行動をおびき寄せて追跡した事例が、ハニーポット概念の原点とされる
1999年: ランス・スピッツナー（Lance Spitzner）らがハニーネット・プロジェクト（Honeynet Project）を創設。ハニーポット研究の国際的なコミュニティが形成される
2000年代: オープンソースのハニーポットツール（Honeyd、Nepenthes など）が登場し、企業への普及が進む
2010年代: クラウド環境の普及に伴い、クラウド上にハニーポットを素早く展開できるマネージドサービスが登場
2020年代: IoT機器を狙った攻撃が急増し、IoTデバイスを模倣したIoTハニーポットが研究・実運用の両面で注目される。また「デセプションテクノロジー（Deception Technology）」として、ハニートークンや偽のAD（Active Directory）情報を組み合わせた統合的なおとり技術に発展

ハニーポットと通常のセキュリティ対策の比較

通常のセキュリティ対策（ファイアウォール・IDS）が「攻撃を防ぐ・検知する」守りの仕組みであるのに対し、ハニーポットは「攻撃者を誘い込み、行動を把握する」能動的な情報収集の仕組みです。

ハニーポット導入時の注意点

ハニーポットは強力な道具ですが、いくつかのリスクも伴います。

注意点	内容
踏み台リスク	高インタラクション型では、侵入した攻撃者がハニーポットを踏み台にして他のシステムを攻撃する恐れがある。本番ネットワークとの完全な隔離が必須
法的グレーゾーン	攻撃者を「誘い込む」行為が、国や状況によっては「おとり捜査」として問題になる場合がある。弁護士への事前確認を推奨
運用コスト	ログを収集しても分析しなければ意味がない。分析リソースの確保が必要
検知される可能性	巧妙な攻撃者はハニーポットと本物のシステムを見分ける技術を持つ場合がある