ハニーポットとは？攻撃者をおびき寄せる「おとり」の仕組みをわかりやすく解説【IPA試験対策】

対象試験と出題頻度

ハニーポットは、情報セキュリティマネジメント・基本情報技術者・応用情報技術者試験で出題されることがあるセキュリティ用語です。

頻出ではありませんが、「おとりシステム」という独特の概念なので、一度理解しておけば確実に得点できます。

用語の定義

ハニーポット（Honeypot）とは、一言で言うと「攻撃者をおびき寄せるために意図的に設置する『おとり』のシステム」のことです。

イメージとしては、「蜂蜜の壺（Honey Pot）に蜂が寄ってくる」様子そのものです。甘い蜜（脆弱なシステムに見せかけたおとり）を置いておくと、攻撃者（蜂）がやってきます。その攻撃者の行動を観察・記録することで、攻撃手法や最新の脅威動向を把握できます。

情報処理試験を勉強していると、「わざと攻撃させるって、危険じゃないの？」と思うかもしれません。もちろんリスクはありますが、ハニーポットは本番システムとは完全に分離された環境に設置するため、実際の業務に影響はありません。むしろ、攻撃者の手口を知ることで、本番システムの防御を強化できるというメリットがあります。

解説

ハニーポットは、サイバーセキュリティにおいて「攻撃を受ける前提」で設置する特殊なシステムです。通常のセキュリティ対策が「攻撃を防ぐ」ことを目的とするのに対し、ハニーポットは「攻撃を観察する」ことを目的としています。

ハニーポットの種類

ハニーポットは、その相互作用の深さによって大きく2種類に分けられます。

低対話型ハニーポット（Low-Interaction Honeypot）は、実際のサービスをエミュレート（模倣）するだけの簡易的なおとりです。例えば、SSHやFTPのログイン画面だけを模倣し、攻撃者のログイン試行を記録します。構築・運用が容易で安全性が高い反面、収集できる情報は限定的です。

高対話型ハニーポット（High-Interaction Honeypot）は、実際のOSやアプリケーションを動作させる本格的なおとりです。攻撃者は侵入後も自由に活動できるため、詳細な攻撃手法や、侵入後の行動（ラテラルムーブメントなど）まで観察できます。ただし、構築・運用が難しく、おとりを踏み台にされるリスクもあります。

ハニーポットの活用目的

ハニーポットは、主に以下の目的で活用されます。

脅威インテリジェンスの収集として、最新の攻撃手法、使用されるツール、マルウェアのサンプルなどを収集し、セキュリティ対策に活かします。セキュリティベンダーや研究機関が多く活用しています。

早期警戒システムとしても使われます。ハニーポットへのアクセスは、通常であれば発生しないはずのものです。アクセスがあれば、それは攻撃の兆候と判断できるため、本番システムへの攻撃を予測する早期警戒に役立ちます。

攻撃者の注意をそらす効果もあります。攻撃者がハニーポットに時間を費やしている間に、本番システムへの攻撃を遅らせたり、防御を強化したりする時間を稼ぐことができます。

セキュリティ教育・研究にも活用されます。実際の攻撃を安全な環境で観察できるため、セキュリティ人材の教育や、学術研究に利用されています。

ハニーネット

複数のハニーポットをネットワークとして構成したものをハニーネット（Honeynet）と呼びます。ハニーネットでは、攻撃者がネットワーク内を横移動（ラテラルムーブメント）する様子も観察できるため、より実践的な攻撃シナリオを分析できます。

試験ではこう出る！

ハニーポットは、情報セキュリティマネジメント・基本情報・応用情報技術者試験で出題されることがあります。

「おとりシステム」という基本概念を押さえておけば、確実に正解できます。

試験ではここまで押さえておけばOKです。低対話型と高対話型の細かい違いや、ハニーネットの詳細までは、基本情報レベルでは問われません。「おとりで攻撃者の手口を分析する」という基本コンセプトを確実に理解しておきましょう。

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。