🥇Honeypot срещу Deception на примера на Xello

В Хабре вече има няколко статии за технологиите Honeypot и Deception (1 статия, 2 статия). Въпреки това, все още се сблъскваме с неразбиране на разликата между тези класове средства за защита. За целта нашите колеги от Xello Deception (първият руски разработчик на Deception платформа) решиха подробно да опишат отличията, предимствата и архитектурните особености на тези решения.

Да разгледаме какво представляват «ханипотите» и «десепшените»:

«Технологии за измама» (англ., Deception technology) се появиха на пазара на системи за информационна сигурност сравнително скоро. Въпреки това, някои специалисти все още считат Security Deception за просто по-усъвършенствани «ханипот» (англ., honeypot).

В тази статия ще се опитаме да осветим както сходствата, така и дълбоките различия между тези две решения. В първата част ще разкажем за «ханипота», как е развивалась тази технология и какви са нейните предимства и недостатъци. А във втората част ще се спрем подробно на принципите на работа на платформите за създаване на разпределена инфраструктура от фиктивни цели (англ., Distributed Deception Platform — DDP).

Основният принцип, положен в основата на honeypots, е създаването на капани за хакери. На същия принцип бяха разработени и първите решения Deception. Но съвременните DDP значително надхвърлят ханипотите, както по функционалност, така и по ефективност. Deception платформите включват в себе си: капани (англ., decoys, traps), примамки (англ., lures), приложения, данни, бази данни и Active Directory. Съвременните DDP могат да осигурят широки възможности за разкриване на заплахи, анализ на атаки и автоматизация на отговорните действия.

Следователно, Deception представляват техники за имитация на ИТ инфраструктурата на предприятието и за заблуждаване на хакерите. В крайна сметка, такива платформи позволяват да се спират атаките преди нанасянето на значителни щети на активите на компанията. Ханипотите, разбира се, нямат такъв широк функционал и такова ниво на автоматизация, затова тяхното приложение изисква по-висока квалификация от служителите в отделите за информационна сигурност.

1. Honeypots, Honeynets и Sandboxing: какво е това и как се прилага

За първи път терминът „honeypots“ е използван през 1989 година в книгата на Клифърд Стол „The Cuckoo’s Egg“, в която са описани събития, свързани с проследяването на хакер в Националната лаборатория Лорънс Беркли (САЩ). На практика тази идея е реализирана през 1999 година от Ланс Спицнер, специалист по информационна безопасност в компанията Sun Microsystems, който основава изследователския проект „Honeynet Project“. Първоначалните хани поти бяха много ресурсно интензивни, сложни за настройка и поддръжка.

Нека разгледаме по-подробно какво представлява honeypots и honeynets. Honeypots — това са отделни хостове, чиято цел е да привлекат злоумышленици да проникнат в мрежата на компанията и да опитат да откраднат ценни данни, както и да разширят обхвата на мрежата. Honeypot (превежда се буквално като „бъчонка с мед“) представлява специален сървър с набор от различни мрежови услуги и протоколи, като HTTP, FTP и т.н. (вж. рис. 1).

Ако обединим няколко honeypots в мрежа, ще получим вече по-ефективна система honeynet, която представлява емуляция на корпоративната мрежа на компанията (уеб сървър, файлов сървър и други компоненти на мрежата). Това решение позволява да се разбере стратегията на действията на злонамерените лица и да се заблудят. Типичен honeynet, обикновено, работи паралелно с работната мрежа и е напълно независим от нея. Такава „мрежа“ може да бъде публикувана в интернет по отделен канал, за нея също може да се отдели отделен диапазон IP адреси (вж. рис. 2).

Смисълът от използването на honeynet е да се покаже на хакера, че той уж е проникнал в корпоративната мрежа на организацията, всъщност злонамереното лице се намира в „изолирана среда“ и под зоркия поглед на специалисти по ИБ (вж. рис. 3).

Тук също е нужно да се спомене за такова средство, като „пясъчник“ (англ., sandbox), което позволява на злонамерените лица да инсталират и стартират зловредни програми в изолирана среда, където ИТ специалистите могат да наблюдават техните действия с цел идентифициране на потенциални рискове и предприемане на необходимите контрамерки. В настоящее время, как правило, sandboxing реализируется на выделенных виртуальных машинах на виртуальном хосте. Однако, необходимо отметить, что sandboxing показывает только, как ведут себя опасные и вредоносные программы, а honeynet помогает специалисту проанализировать поведение «опасных игроков».

Ясната полза от honeynets е, че те подмамват нарушителите, изразходвайки техните сили, ресурси и време. В резултат, вместо реални цели, те атакуват фалшиви и могат да прекратят атаката към мрежата, без да постигнат никакъв резултат. Най-често технологията honeynets се използва в правителствени институции и големи корпорации, финансови организации, тъй като именно тези структури са мишени на големи кибератаки. Въпреки това, малките и средни предприятия (SMB) също се нуждаят от ефективни инструменти за предотвратяване на инциденти в информационната безопасност, но използването на honeynets в сектора на SMB не е толкова лесно, поради липсата на квалифициран персонал за такава сложна работа.

Ограниченост на решенията Honeypots и Honeynets

Защо honeypots и honeynets не са най-добрите решения за противопоставяне на атаките в днешно време? Трябва да се отбележи, че атаките стават все по-обширни, технически сложни и способни да нанасят сериозни щети на ИТ инфраструктурата на организациите, а киберпрестъпността е на съвсем ново ниво и представлява високоорганизирани сиви бизнес структури, оборудвани с всички необходими ресурси. Към това трябва да добавим и „човешкия фактор“ (грешки в конфигурацията на софтуера и оборудването, действия на инсайдери и т.н.), поради което използването само на технологии за предотвратяване на атаки в момента е недостатъчно.

По-долу ще изброим основните ограничения и недостатъци на honeypots (honeynets):

«Ханипотите» първоначално са били разработени, за да определят заплахите, които се намират извън корпоративната мрежа, предназначени по-скоро за анализ на поведението на злоумышлениците и не са проектирани за бързо реагиране на заплахи.
Злоумышленците обикновено вече са научили да разпознават емулираните системи и да избягват honeypots.
Honeynets (honeypots) имат изключително ниско ниво на интерактивност и взаимодействие с други системи за сигурност, в резултат на което, използвайки ханипоти, е трудно да се получи подробна информация за атаките и атакуващите, а следователно е и трудно да се реагира ефективно и бързо на инциденти в информационната безопасност. Освен това, специалистите по ИБ получават голямо количество фалшиви предупреждения за заплахи.
В някои случаи хакерите могат да използват компрометиран хани пот, като отправна точка за продължаване на атака срещу мрежата на организацията.
Често се появяват проблеми с мащабируемостта на хани потове, високото оперативно натоварване и настройката на такива системи (те изискват вискоквалифицирани специалисти, нямат удобен интерфейс за управление и т.н.). Съществуват големи трудности при разгръщането на хани потове в специализирани среди, като IoT, POS, облачни системи и т.н.

2. Технологии за заблуда: предимства и основни принципи на работа

След като изследваме всички предимства и недостатъци на хани потове, заключаваме, че е необходим съвсем нов подход към реагирането на инциденти в информационната сигурност, с цел да се разработи бърз и адекватен отговор на действията на нападателите. Такова решение са технологиите. Кибер заблуда (Security deception).

Терминологията „Кибер заблуда“, „Security deception“, „Технология за заблуда“, „Разпределена платформа за заблуда“ (DDP) е относително нова и се появи неотдавна. Всички тези термини всъщност означават използването на „технологии за заблуда“ или „техники за имитация на ИТ инфраструктура и дезинформация на злонамерените“. Най-простите решения за заблуда са развитие на идеите за хани потове, но на по-технологично напредналото ниво, което предполага по-голяма автоматизация на откритията за заплахи и реакция на тях. Въпреки това, на пазара вече съществуват сериозни решения от клас DDP, които предлагат лесно разгръщане и мащабиране, както и сериозен арсенал от „капани“ и „примамки“ за нападателите. Например, заблудата позволява да се еймулират такива обекти на ИТ инфраструктурата, като бази данни, работни станции, рутери, суичове, банкомати, сървъри и SCADA, медицинско оборудване и IoT.

Как работи „Разпределената платформа за заблуда“? След разгръщането на DDP, ИТ инфраструктурата на организацията ще бъде изградена сякаш от два слоя: първият слой е реалната инфраструктура на компанията, а вторият е „еймулирана“ среда, состояща от капани (на английски: decoys, traps) и примамки (на английски: lures), които са разположени на реални физически устройства в мрежата (виж рис. 4).

Например, злонамерен потребител може да открие фалшиви бази данни с "надеждни документи" и подправени идентификационни данни на предполагаеми "привилегировани потребители". Всичко това служи като фалшиви цели, които могат да привлекат вниманието на нарушителите, отклонявайки го от истинските информационни активи на компанията (вж. рис. 5).

DDP е новост на пазара на продукти за информационна безопасност. Тези решения съществуват едва няколко години и в момента могат да си ги позволят само корпоративни клиенти. Но малките и средните предприятия също скоро ще могат да се възползват от Deception, наемайки DDP от специализирани доставчици като услуга. Тази опция е дори по-удобна, и защото не изисква наличието на собствени висококвалифицирани кадри.

По-долу са представени основните предимства на технологията Deception:

Автентичност. Технологията Deception е способна да възпроизвежда напълно автентична IT среда на компанията, качествено емулирайки операционни системи, IoT, POS, специализирани системи (медицински, индустриални и т.н.), услуги, приложения, идентификационни данни и т.н. Ловушките внимателно се смесват с работната среда и злонамерен потребител не може да ги идентифицира като honeypots.
Внедряване. DDP използва машинно обучение (англ., machine learning, ML) в своята работа. С помощта на ML се осигурява простота, гъвкавост в настройките и ефективност при внедряването на Deception. "Ловушките" и "приманките" се обновяват много бързо, въвличайки злонамерения потребител в "фалшивата" IT инфраструктура на компанията, и в същото време напредналите системи за анализ, базирани на изкуствен интелект, могат да открият активните действия на хакерите и да ги предотвратят (например, опит за достъп до Active Directory на база на фалшиви идентификационни данни).
Лесно експлоатиране. Съвременните "Distributed Deception Platform" са лесни за поддържане и управление. Обикновено, те се управляват чрез локална или облачна конзола, като предлага възможности за интеграция с корпоративния SOC (Security Operations Center) чрез API и с много съществуващи средства за контрол на сигурността. За обслужването и работата на DDP не се изискват услуги на висококвалифицирани експерти по информационна безопасност.
Мащабируемост. Сигурностните заблуди могат да бъдат разположени в физически, виртуални и облачни среди. Успешно DDP работи и със специализирани среди като IoT, ICS, POS, SWIFT и т.н. Напредналите платформи за заблуда могат да проектират „технологии за заблуда“ и в отдалечени офиси, изолирани среди, без необходимост от допълнително пълно разгръщане на платформата.
Взаимодействие. Използвайки ефективни и привлекателни примамки (decoys), които са базирани на реални ОС и хитро разположени сред истинската ИТ-инфраструктура, платформата за заблуда събира обширна информация за злонамерения нападател. След това DDP осигурява предаване на известия за заплахи, генерират се отчети и се извършва автоматично реагиране на инциденти в областта на киберсигурността.
Точка на атака. В съвременните заблуди примамките и капаните се разполагат вътре в обхвата на мрежата, а не извън нея (както при honeypots). Тази модел на разгръщане на капани не позволява на нападателя да ги използва като опорна точка за атака на реалната ИТ-инфраструктура на компанията. В по-напредналите решения от клас заблуда съществуват възможности за маршрутизиране на трафика, по този начин целият трафик на нападателите може да бъде насочен през специално определено съединение. Това дава възможност за анализ на активността на злонамерените лица без риск за ценните активи на компанията.
Убедителността на „технологиите за заблуда“. На начален етап от атаката нападателите събират и анализират данни за ИТ-инфраструктурата, след това ги използват за хоризонтално преминаване в корпоративната мрежа. Чрез „технологиите за заблуда“ нападателят задължително попада в „ловушките“, които го отвеждат от реалните активи на организацията. DDP ще анализира потенциалните пътища за достъп до удостоверителни данни в корпоративната мрежа и ще предостави на нападателя „фалшиви цели“ вместо реални удостоверителни данни. Тези възможности много липсваха на технологиите honeypot. (Вж. рис. 6).

Заблуда срещу Honeypot

И накрая, стигаме до най-интензивния момент на нашето изследване. Нека се опитаме да изтъкнем основните разлики между технологиите Заблуда и Honeypot. Въпреки известната си прилика, двете технологии силно се различават, започвайки от основополагащата идея и завършвайки с ефективността на работата.

Различни основни идеи. Както вече споменахме, honeypots се инсталират като "примамки" около ценните активи на компанията (извън корпоративната мрежа), опитвайки се по този начин да отклонят нападателите. Технологията honeypot се основава на представата за инфраструктурата на организацията, но ханипотите могат да станат опорна точка за началото на атака върху мрежата на компанията. Технологията Deception е разработена с оглед на гледната точка на нападателя и позволява идентификацията на атака в ранния етап, като по този начин специалистите по информационна сигурност получават значително предимство пред злонамерените лица и спечелват време.
„Привлекателност“ VS „Заплитаща стратегия“. При използването на ханипоти успехът зависи от привличането на вниманието на атакуващите и последващата им мотивация да преминат към целта в honeypot. Това означава, че нападателят все пак трябва да достигне до honeypot, и едва след това можете да го спрете. По този начин, присъствието на злонамерени лица в мрежата може да продължи няколко месеца и повече, което би довело до изтичане на данни и щети. DDP качествено имитира реалната ИТ инфраструктура на компанията, целта на тяхното внедряване не е просто да привлекат вниманието на нападателя, а да го заплетат, така че да загуби време и ресурси напразно, но да не получи достъп до реалните активи на компанията.
„Ограничена мащабируемост“ VS „автоматична мащабируемост“. Както вече се отбеляза, honeypots и honeynets имат проблеми с мащабирането. Това е сложно и скъпо, а за да увеличите броя на honeypots в корпоративната система, ще трябва да добавите нови компютри, ОС, да закупите лицензи, да отделите IP адреси. Освен това, необходимо е да имате и квалифициран персонал за управление на такива системи. Платформите Deception автоматично се разгръщат с разширяването на инфраструктурата, без значителни разходи.
„Много фалшиви срабатывания“ VS „липса на фалшиви срабатывания“Същността на проблема е, че дори обикновеният потребител може да се сблъска с хонипот, затова "обратната страна" на тази технология е голямото количество фалшиви срабатывания, което отвлича специалистите по киберсигурност от работата им. "Примамките" и "капаните" в DDP са внимателно скрити от обикновения потребител и са предназначени само за злонамерени лица, затова всеки сигнал от такава система е предупреждение за реална заплаха, а не фалшиво срабатыване.

Заключение

Според нас, технологията Deception е огромна стъпка напред в сравнение с по-старата технология Honeypots. Всъщност, DDP стана комплексна платформа за сигурност, която е лесна за разгръщане и управление.

Съвременните платформи от този клас играят важна роля в точното откритие и ефективното реагиране на мрежови заплахи, а тяхната интеграция с други компоненти на защитния стек повишава нивото на автоматизация, увеличава ефективността и резултатността при реагирането на инциденти. Платформите за измама са основани на автентичност, мащабируемост, простота на управление и интеграция с други системи. Всичко това предоставя значително предимство в скоростта на реагиране на инциденти в киберсигурността.

Освен това, наблюдавайки пентестовете на компании, в които е внедрена или пилотирана платформата Xello Deception, можем да заключим, че дори опитни пентестери често не могат да разпознаят примамките в корпоративната мрежа и търпят поражение, попадайки в насочените капани. Този факт отново потвърджа ефективността на Deception и големите перспективи, които се отварят пред тази технология в бъдеще.

Тестване на продукта

Ако сте заинтересовани от платформите Deception, ние сме готови да проведем съвместно тестване.

Следете обновленията в нашите канали (Телеграм, Facebook, VK, TS Solution Blog)!

Източник: habr.com