Honeypot срещу Deception на примера на Xello

Вече има няколко статии на Habré за технологиите Honeypot и Deception (1 статия, 2 статия). Досега обаче сме изправени пред липса на разбиране на разликата между тези класове инструменти за защита. За целта нашите колеги от Здравей Измама (първият руски разработчик Измама на платформата) реши да опише подробно разликите, предимствата и архитектурните характеристики на тези решения.

Нека да разберем какво представляват "медените гърнета" и "измамите":

„Технологиите на измамата“ (англ., Deception technology) се появиха на пазара на системи за информационна сигурност сравнително наскоро. Въпреки това, някои експерти все още смятат, че Security Deception е просто по-напреднали honeypots.

В тази статия ще се опитаме да подчертаем както приликите, така и основните разлики между тези две решения. В първата част ще говорим за „honeypot“, как се е развила тази технология и какви са нейните предимства и недостатъци. И във втората част ще се спрем подробно на принципите на работа на платформите за създаване на разпределена инфраструктура за измама (на английски, Distributed Deception Platform - DDP).

Основният принцип зад honeypots е да се създават капани за хакери. Първите Deception решения са разработени на същия принцип. Но съвременните DDP значително превъзхождат honeypots, както по отношение на тяхната функционалност, така и по ефективност. Платформите за измама включват: капани (на английски, примамки, капани), примамки (на английски, lures), приложения, данни, бази данни, Active Directory. Съвременните DDP могат да осигурят мощни възможности за откриване на заплахи, анализ на атаки и автоматизация на реакцията.

По този начин измамите са техники за имитиране на ИТ инфраструктурата на предприятие и подвеждане на хакерите. В резултат на това подобни платформи позволяват спирането на атаките, преди да са причинили значителни щети на активите на компанията. Honeypots, разбира се, нямат толкова широка функционалност и такова ниво на автоматизация, така че използването им изисква повече квалификация от служителите на отделите за информационна сигурност.

1. Honeypots, Honeynets и Sandboxing: какво е това и как се прилага

За първи път терминът "honeypots" е използван през 1989 г. в книгата "The Cuckoo's Egg" на Клифърд Стол, която описва събитията от проследяването на хакер в Националната лаборатория на Лорънс Бъркли (САЩ). Тази идея е приложена на практика през 1999 г. от Ланс Шпицнер, специалист по информационна сигурност в Sun Microsystems, който основава изследователския проект Honeynet Project. Първите honeypots бяха много ресурсоемки, трудни за настройка и поддръжка.

Нека разгледаме по-подробно какво е Honeypots и honeynets. Honeypots са отделни хостове, чиято цел е да привлекат нападатели да проникнат в мрежата на компанията и да се опитат да откраднат ценни данни, както и да разширят покритието на мрежата. Honeypot (буквално преведено като "бъчва мед") е специален сървър с набор от различни мрежови услуги и протоколи като HTTP, FTP и др. (виж фиг. 1).

Ако комбинирате няколко Honeypots в мрежата, тогава ще получим по-ефективна система мрежа за мед, което е емулация на корпоративната мрежа на компанията (уеб сървър, файлов сървър и други мрежови компоненти). Това решение ви позволява да разберете стратегията на нападателите и да ги подведете. Типичната honeynet, като правило, работи успоредно с производствената мрежа и е напълно независима от нея. Такава „мрежа“ може да бъде публикувана в Интернет чрез отделен канал, като за нея може да бъде разпределен и отделен диапазон от IP адреси (виж фиг. 2).

Смисълът на използването на honeynet е да се покаже на хакера, че той уж е проникнал в корпоративната мрежа на организацията, всъщност нападателят е в „изолирана среда“ и е под строг надзор на специалисти по информационна сигурност (виж Фиг. 3) .

Тук също е необходимо да се спомене такъв инструмент като "пясък"(Английски, пясък), който позволява на атакуващите да инсталират и стартират злонамерен софтуер в изолирана среда, където ИТ специалистите могат да наблюдават техните дейности, за да идентифицират потенциални рискове и да предприемат необходимите контрамерки. Понастоящем пясъчната среда обикновено се прилага на специални виртуални машини на виртуален хост. Все пак трябва да се отбележи, че sandboxing показва само как се държат опасните и злонамерени програми, докато honeynet помага на специалист да анализира поведението на „опасните играчи“.

Очевидната полза от honeynets е, че те подвеждат нападателите, губейки тяхната енергия, ресурси и време. В резултат на това вместо реални цели, те атакуват фалшиви и могат да спрат да атакуват мрежата, без да постигнат нищо. Най-често honeynet технологиите се използват в държавни агенции и големи корпорации, финансови организации, тъй като тези структури са мишени за големи кибератаки. Въпреки това малките и средни предприятия (SMB) също се нуждаят от ефективни инструменти за предотвратяване на инциденти с информационната сигурност, но honeynets в сектора на SMB не са толкова лесни за използване, поради липсата на квалифициран персонал за такава сложна работа.

Ограничения на решенията Honeypots и Honeynets

Защо honeypots и honeynets не са най-добрите налични решения за намаляване на атаките днес? Трябва да се отбележи, че атаките стават все по-мащабни, технически сложни и способни да причинят сериозни щети на ИТ инфраструктурата на организацията, докато киберпрестъпността е достигнала съвсем различно ниво и е високо организирана бизнес структура в сянка, оборудвана с всички необходими ресурси. Към това се добавя и „човешкият фактор“ (грешки в настройките на софтуера и хардуера, вътрешни действия и т.н.), така че използването само на технология за предотвратяване на атаки вече не е достатъчно в момента.

По-долу изброяваме основните ограничения и недостатъци на honeypots (honeynet):

1. Първоначално Honeypots са предназначени за идентифициране на заплахи, които са извън корпоративната мрежа, предназначени са повече за анализиране на поведението на нарушители и не са проектирани да реагират бързо на заплахи.

2. Злосторниците, като правило, вече са се научили да разпознават емулирани системи и да избягват honeypots.

3. Honeynets (honeypots) имат изключително ниско ниво на интерактивност и взаимодействие с други системи за сигурност, в резултат на което, използвайки honeypots, е трудно да се получи подробна информация за атаки и нападатели и следователно ефективно и бързо да се реагира на инциденти, свързани със сигурността на информацията. Освен това специалистите по информационна сигурност получават голям брой фалшиви сигнали за заплаха.

4. В някои случаи хакерите могат да използват компрометиран honeypot като отправна точка, за да продължат да атакуват мрежата на организацията.

5. Често има проблеми с мащабируемостта на honeypots, високото оперативно натоварване и конфигурацията на такива системи (те изискват висококвалифицирани специалисти, нямат удобен интерфейс за управление и т.н.). Има големи трудности при внедряването на honeypots в специализирани среди като IoT, POS, облачни системи и др.

2. Технология за измама: предимства и основни принципи на работа

След като проучихме всички предимства и недостатъци на honeypots, стигаме до извода, че е необходим напълно нов подход за реагиране на инциденти със сигурността на информацията, за да се разработи бърз и адекватен отговор на действията на нападателите. И това решение е технологията. Кибер измама (измама на сигурността).

Терминологията „Кибер измама“, „Измама на сигурността“, „Технология за измама“, „Разпределена платформа за измама“ (DDP) е сравнително нова и се появи не толкова отдавна. Всъщност всички тези термини означават използването на „технологии за измама“ или „техники за имитиране на ИТ инфраструктура и дезинформиране на нападателите“. Най-простите решения за измама са разработването на идеи за honeypots, само на по-напреднало технологично ниво, което включва повече автоматизация на откриването на заплахи и реакцията. На пазара обаче вече има сериозни решения от клас DDP, които предлагат лекота на внедряване и мащабируемост, както и сериозен арсенал от „капани“ и „примамки“ за нападателите. Например, Deception ви позволява да емулирате обекти на ИТ инфраструктура като бази данни, работни станции, рутери, комутатори, банкомати, сървъри и SCADA, медицинско оборудване и IoT.

Как работи платформата за разпределена измама? След внедряването на DDP ИТ инфраструктурата на организацията ще бъде изградена сякаш от два слоя: първият слой е реалната инфраструктура на компанията, а вторият е „емулирана“ среда, състояща се от капани (английски, примамки, капани ) и примамки (на английски, lures), които се намират на реални физически мрежови устройства (вижте Фигура 4).

Например, нападателят може да открие фалшиви бази данни с „поверителни документи“, фалшиви идентификационни данни на предполагаемо „привилегировани потребители“ – всичко това са фалшиви цели, те могат да заинтересуват нарушителите, като по този начин отклонят вниманието им от истинските информационни активи на компанията (вижте Фигура 5) .

DDP е новост на пазара на продукти за информационна сигурност, тези решения са само на няколко години и засега само корпоративният сектор може да си ги позволи. Но малките и средни предприятия скоро също ще могат да се възползват от Deception, като наемат DDP от специализирани доставчици като услуга. Тази опция е още по-удобна, тъй като няма нужда от собствен висококвалифициран персонал.

Основните предимства на технологията Deception са показани по-долу:

• автентичност (автентичност). Технологията за измама е в състояние да възпроизведе напълно автентична ИТ среда на компания, като емулира операционни системи, IoT, POS, специализирани системи (медицински, промишлени и др.), услуги, приложения, идентификационни данни и др. с високо качество. Капаните (примамките) се смесват внимателно в производствената среда и нападателят няма да може да ги идентифицира като медени съдове.

• Внедрение. DDP използват машинно обучение (ML) в работата си. С помощта на ML се осигуряват простота, гъвкавост в настройките и ефективност на внедряването на Deception. „Капаните“ и „примамките“ се актуализират много бързо, въвличайки нападател във „фалшивата“ ИТ инфраструктура на компанията, а междувременно усъвършенствани системи за анализ, базирани на изкуствен интелект, могат да открият активните действия на хакерите и да ги предотвратят (напр. , опит за достъп до Active Directory въз основа на измамни акаунти).

• Лесна работа. Модерната "Разпределена платформа за измама" е лесна за поддръжка и управление. По правило те се управляват чрез локална или облачна конзола, има възможности за интеграция с корпоративния SOC (Security Operations Center) чрез API и с много съществуващи контроли за сигурност. За поддръжката и работата на DDP не са необходими услугите на висококвалифицирани експерти по информационна сигурност.

• Мащабируемост. Измамата на сигурността може да бъде разгърната във физически, виртуални и облачни среди. DDP също работят успешно със специализирани среди като IoT, ICS, POS, SWIFT и др. Разширените платформи за измама могат да проектират „технологии за измама“ в отдалечени офиси, изолирани среди, без необходимост от допълнително внедряване на пълна платформа.

• Взаимодействие. Използвайки ефективни и атрактивни примамки, които са базирани на реална операционна система и умело поставени сред реална ИТ инфраструктура, платформата Deception събира обширна информация за нападателя. След това DDP предоставя предупреждения за заплахи, генерират се отчети и се извършва автоматичен отговор на инциденти, свързани със сигурността на информацията.

• Начална точка на атака. В съвременния Deception капаните и примамките се поставят вътре в обхвата на мрежата, а не извън нея (какъвто е случаят с honeypots). Този модел на разгръщане на капани не позволява на нападателя да ги използва като база за атака на реалната ИТ инфраструктура на компанията. В по-усъвършенстваните решения от класа Deception има възможности за маршрутизиране на трафика, така че можете да насочите целия трафик на атакуващите през специална връзка. Това ще ви позволи да анализирате дейността на нарушителите, без да рискувате ценни фирмени активи.

• Убедителността на "технологиите за измама". В началния етап на атаката нападателите събират и анализират данни за ИТ инфраструктурата, след което ги използват, за да се движат хоризонтално през корпоративната мрежа. С помощта на "технологии за измама" нападателят определено ще попадне в "капани", които ще го отведат далеч от реалните активи на организацията. DDP ще анализира потенциални пътища за достъп до идентификационни данни в корпоративната мрежа и ще предостави на атакуващия „фалшиви цели“ вместо истински идентификационни данни. Тези възможности силно липсват в honeypot технологиите. (Вижте фиг. 6).

Измама VS Honeypot

И накрая стигаме до най-интересния момент от нашето изследване. Ще се опитаме да подчертаем основните разлики между технологиите Deception и Honeypot. Въпреки някои прилики, тези две технологии се различават значително, от основната идея до ефективността на работа.

1. Различни основни идеи. Както писахме по-горе, honeypots се инсталират като „примамки“ около ценните активи на компанията (извън корпоративната мрежа), като по този начин се опитват да отвлекат вниманието на нарушителите. Докато технологията honeypot се основава на разбиране на инфраструктурата на организацията, honeypots може да бъде отправна точка за атака на мрежата на компанията. Технологията за измама е разработена, като се вземе предвид гледната точка на нападателя и ви позволява да идентифицирате атака на ранен етап, като по този начин специалистите по информационна сигурност получават значително предимство пред нападателите и печелят време.

2. „Привличане“ срещу „заплитане“. Когато използвате honeypots, успехът зависи от привличането на вниманието на нападателите и допълнителното им мотивиране да преминат към целта в honeypot. Това означава, че нападателят все още трябва да стигне до меда, преди да можете да го спрете. По този начин присъствието на нарушители в мрежата може да продължи няколко месеца или повече и това ще доведе до изтичане на данни и щети. DDP имитират качествено реалната ИТ инфраструктура на компанията, като целта на внедряването им е не просто да привлекат вниманието на нападателя, а да го объркат така, че да губи време и ресурси, но да не получава достъп до реалните активи на компанията.

3. "ограничена мащабируемост" СРЕЩУ "автоматична мащабируемост". Както беше отбелязано по-рано, honeypots и honeynets имат проблеми с мащабирането. Трудно и скъпо е и за да увеличите броя на honeypots в една корпоративна система, ще трябва да добавите нови компютри, ОС, да закупите лицензи, да разпределите IP. Освен това е необходим и квалифициран персонал, който да управлява такива системи. Платформите за измама се внедряват автоматично като инфраструктурни мащаби, без значителни разходи.

4. „Голям брой фалшиви положителни резултати“ СРЕЩУ „няма фалшиви положителни резултати“. Същността на проблема е, че дори обикновен потребител може да срещне honeypot, така че "обратната страна" на тази технология е голям брой фалшиви положителни резултати, което отвлича вниманието на специалистите по информационна сигурност от работата. „Примамките“ и „капаните“ в DDP са внимателно скрити от обикновения потребител и са предназначени само за нападател, така че всеки сигнал от такава система е сигнал за реална заплаха, а не фалшив положителен сигнал.

Заключение

Според нас технологията Deception е огромно подобрение спрямо по-старата технология Honeypots. По същество DDP се превърна в цялостна платформа за сигурност, която е лесна за внедряване и управление.

Съвременните платформи от този клас играят важна роля за точното откриване и ефективен отговор на мрежови заплахи, а интегрирането им с други компоненти на стека за сигурност повишава нивото на автоматизация, повишава ефективността и ефективността на реакцията при инциденти. Платформите за измама се основават на автентичност, мащабируемост, лекота на управление и интеграция с други системи. Всичко това дава значително предимство в скоростта на реагиране при инциденти, свързани със сигурността на информацията.

Също така, въз основа на наблюдения на пентестове на компании, в които платформата Xello Deception е внедрена или пилотирана, можем да заключим, че дори опитни пентестери често не могат да разпознаят примамките в корпоративната мрежа и се провалят, попадайки в капани. Този факт още веднъж потвърждава ефективността на Deception и големите перспективи, които се откриват пред тази технология в бъдеще.

Тестване на продукта

Ако се интересувате от платформата Deception, значи сме готови провеждат съвместни тестове.

Очаквайте актуализации в нашите канали (Telegram, Facebook, VK, Блог за TS Solution)!

Източник: www.habr.com