スーパーの冷蔵庫制御装置を偽装するハニーポット
原題: Show HN: Coldframe, a honeypot that poses as a supermarket fridge controller
なぜ重要か
食品インフラを標的にした ICS 攻撃が現実化する中、攻撃手法を記録・分析するハニーポット技術の重要性が高まっている。
セキュリティ研究者の hedgerow-dev が、スーパーマーケット向け冷凍・冷蔵制御システム（Danfoss AK-SM 800A および Dixell XWEB 500）を模倣する低インタラクション型ハニーポット「Coldframe」を GitHub で公開した。2026年にヨーロッパで実際に発生した冷蔵設備への攻撃を念頭に開発されており、攻撃者の接続試行・使用パスワード・公開エクスプロイトの利用状況を記録する。標準ライブラリのみで動作する単一の Python ファイルで構成される。
Coldframe は ICS（産業用制御システム）セキュリティを対象としたハニーポットで、実際の冷蔵制御機器に偽装することで攻撃者の手口を収集するツールだ。
開発の背景には具体的な事件がある。2026年、ヨーロッパ各地でインターネットに接続された冷蔵監視システムがデフォルトパスワードや未パッチのファームウェアを悪用され侵害された。攻撃者はシステムに侵入後、強制デフロスト（霜取り）サイクルを実行し、食品を管理する冷蔵設備に実害を与えた。Coldframe はこうした攻撃者をおびき寄せ、その行動を記録することを目的としている。
ツールは2種類のペルソナ（偽装モード）を備える。「danfoss」モードでは Danfoss AK-SM 800A システムマネージャーを再現し、StoreView ログインページや偽のストアダッシュボード、XML API エンドポイントを HTTP/HTTPS 両対応で提供する。「dixell」モードでは Copeland/Dixell XWEB EVO スーパーバイザーを偽装し、公開エクスプロイトが標的とする XWEB 500 の CGI パスを応答する。
リアリティの再現にも気が配られており、Danfoss ペルソナは実機をインターネットスキャナーが認識する形式に合わせている。具体的には nginx のサーバーヘッダーとヘッダー順序、StoreView のページタイトル、TLS 1.2 のみのサポート、CN=DanfossSM800A の自己署名証明書（有効期限1年）などを模倣する。
実装は Python の標準ライブラリのみを使用した単一ファイル（honeypot.py）で、外部依存ゼロで動作する。Container イメージや cloud-init 設定ファイルも同梱されており、クラウド環境への展開も想定されている。GitHub 公開時点でのスター数は31。攻撃者の実際の行動パターンを把握する脅威インテリジェンス収集ツールとして、ICS セキュリティ研究者や防衛側のオペレーターに向けたツールと位置づけられている。