Статистика за 24 часа след инсталирането на honeypot на възела Digital Ocean в Сингапур

Пю Пю! Нека започнем веднага с картата на атаката

Нашата страхотна карта показва уникалните ASN, които са се свързали с нашия Cowrie honeypot за 24 часа. Жълтото представлява SSH връзки, а червеното представлява Telnet. Такива анимации често впечатляват борда на директорите на компанията, което им позволява да осигурят повече финансиране за сигурност и ресурси. Въпреки това картата има известна стойност, като ясно демонстрира географското и организационно разпространение на източниците на атака на нашия хост само за 24 часа. Анимацията не отразява обема на трафика от всеки източник.

Какво е карта Pew Pew?

Карта на Pew Pew - визуализация на кибератаки, обикновено анимирани и много красиви. Това е модерен начин да продадете продукта си, известен с това, че се използва от Norse Corp. Компанията завърши зле: оказа се, че красивите анимации са единственото им предимство, а за анализ те използваха схематични данни.

Направено с Leafletjs

За тези, които искат да разработят карта за атака за големия екран в оперативния център (шефът ви ще го хареса), има библиотека листовки. Комбинирайте го с плъгина слой за миграция на листовка, услуга Maxmind GeoIP — и сте готови.

WTF: Какво е Cowrie Honeypot?

Honeypot е система, която е поставена в мрежа специално за примамване на натрапници. Връзките към системата обикновено са незаконни и ви позволяват да откриете нарушител с помощта на подробни регистрационни файлове. Дневниците съхраняват не само обичайната информация за връзката, но и информация за сесията, която разкрива техника, тактика и процедури (ТТП) нападател.

Honeypot Cowrie създаден за Записи за SSH и Telnet връзка. Тези honeypots често се публикуват онлайн за проследяване на инструментите, скриптовете и хостовете на нападателите.

Моето послание към компаниите, които смятат, че не са атакувани, е „Не сте добри в търсенето“.
— Джеймс Снук

Какво има в дневниците?

Общ брой връзки

Има много опити за свързване от много хостове. Това е нормално, тъй като атакуващите скриптове имат списък с идентификационни данни и опитват няколко комбинации. Honeypot Cowrie е конфигуриран да приема определени комбинации от потребителско име/парола. Това е конфигурирано в user.db файл.

География на атаките

Въз основа на данните за геолокация на Maxmind, преброих броя на връзките от всяка страна. Бразилия и Китай водят с голяма разлика и често има много шум от скенерите от тези страни.

Собственик на мрежов блок

Проверката на собствениците на мрежови блокове (ASN) може да разкрие организации с голям брой атакуващи хостове. Разбира се, в такива случаи винаги трябва да помните, че много атаки идват от заразени хостове. Разумно е да се предположи, че повечето натрапници не са толкова глупави, че да сканират мрежата от домашен компютър.

Отворени портове на атакуващи системи (данни на Shodan.io)

Изпълнение на IP списъка чрез отлично API на Shodan бързо определя системи с отворени портове и какви са тези портове. Фигурата по-долу показва концентрацията на отворени пристанища по държави и организации. Би било възможно да се идентифицират блокове от компрометирани системи, но в рамките на малка извадка няма нищо изключително, освен голям брой 500 отворени пристанища в Китай.

Интересна находка е голям брой системи в Бразилия, които имат не е отворен 22, 23 или други пристанища, според Censys и Shodan. Очевидно това са връзки от компютри на крайни потребители.

Ботове? Не е задължително

Данни цензури за портове 22 и 23 този ден показа странно. Предположих, че повечето сканирания и атаки с пароли идват от ботове. Скриптът се разпространява върху отворени портове, отгатвайки пароли и се копира от новата система и продължава да се разпространява по същия метод.

Но тук можете да видите, че само малък брой хостове, сканиращи telnet, имат отворен навън порт 23. Това означава, че системите са или компрометирани по някакъв друг начин, или нападателите изпълняват скриптове ръчно.

Домашни връзки

Друга интересна констатация е големият брой домашни потребители в извадката. Като се използва обратно търсене Идентифицирах 105 връзки от конкретни домашни компютри. За много домашни връзки обратното DNS търсене показва името на хоста с думите dsl, home, cable, fiber и т.н.

Научете и изследвайте: Съберете своя собствена гърне с мед

Наскоро написах кратък урок за това как инсталирайте honeypot Cowrie на вашата система. Както споменахме, в нашия случай използвахме Digital Ocean VPS в Сингапур. За 24 часа анализ цената беше буквално няколко цента, а времето за сглобяване на системата беше 30 минути.

Вместо да стартирате Cowrie в интернет и да улавяте целия шум, можете да се възползвате от honeypot във вашата локална мрежа. Винаги поставяйте известие, ако се изпращат заявки към определени портове. Това е или нападател в мрежата, или любопитен служител, или сканиране за уязвимости.

Данни

След преглед на действията на нарушителите за един ден става ясно, че е невъзможно да се идентифицира ясен източник на атаки във всяка организация, държава или дори операционна система.

Широкото разпространение на източници показва, че шумът от сканирането е постоянен и не е свързан с конкретен източник. Всеки, който работи в Интернет, трябва да се увери, че системата му има множество нива на сигурност. Обичайно и ефективно решение за SSH ще премести услугата към случаен висок порт. Това не премахва необходимостта от силна защита с парола и наблюдение, но поне гарантира, че регистрационните файлове не са задръстени с постоянно сканиране. Връзките с високи портове е по-вероятно да бъдат целеви атаки, от които може да се интересувате.

Често отворените telnet портове са на рутери или други устройства, така че не могат лесно да бъдат преместени на висок порт. Информация за всички отворени портове и атакуващи повърхности е единственият начин да се уверите, че тези услуги са със защитна стена или деактивирани. Ако е възможно, изобщо не е необходимо да използвате Telnet, този протокол не е криптиран. Ако имате нужда от него и без него по никакъв начин, тогава внимателно го контролирайте и използвайте силни пароли.

Източник: www.habr.com