Статистика за 24 часа след инсталирането на ханипота на узела Digital Ocean в Сингапур

Пиу-пиу! Нека започнем директно с картата на атаките

Нашата суперкласна карта показва уникални ASN, които са се свързвали с нашия ханипот Cowrie за 24 часа. Жълтото съответства на SSH връзки, а червеното - на Telnet. Такива анимации често впечатляват съвета на директорите, което позволява да се получи повече финансиране за сигурност и ресурси. Въпреки това, картата има известна стойност, ясно демонстрирайки географското и организационното разпространение на източниците на атаки на нашия хост само за 24 часа. В анимацията не се отразява обемът на трафика от всеки източник.

Какво е картата Pew Pew?

Карта Pew Pew — това е визуализация на кибератаките, обикновено анимационна и много красива. Това е модерен начин да се продаде вашият продукт, известен с лошите си последици, понеже е ползван от компанията Norse Corp. Компанията приключи зле: оказа се, че красивите анимации са единственото им достойнство, а за анализи са използвали фрагментарни данни.

Създадено с Leafletjs

За тези, които искат да разработят карта на атаките за голям екран в операционен център (шефът ви ще хареса), има библиотека leafletjs. Обединявайте я с плъгина на слоя миграция leaflet, услугата Maxmind GeoIP - и готово.

WTF: какво е ханипот Cowrie?

Ханипот е система, която се разполага в мрежата специално с цел привличане на злоумишленици. Свързванията с системата обикновено са незаконни и позволяват откриване на злоумишленика чрез подробни логове. Логовете запазват не само обичайната информация за връзката, но и информация за сесията, разкриваща техниките, тактиките и процедурите (TTP) на злоумишленика.

Ханипот Cowrie е предназначен за запис на SSH и Telnet връзки. Такива ханипоти често се излагат в интернет, за да следят инструментите, скриптовете и хостовете на злоумишлениците.

Моето послание към компаниите, които мислят, че не са обект на атаки: "Търсите зле".
- Джеймс Снук

Какво има в логовете?

Общо количество връзки

От много хостове се получаваха многократни опити за свързване. Това е нормално, тъй като атакуващите скриптове съдържат списък с потребителски данни и те пробват различни комбинации. Ханипот Cowrie е настроен да приема определени комбинации от потребителско име и парола. Това се настройва в файле user.db.

География атак

Според геолокацията на Maxmind, изчислих количеството на връзките от всяка страна. Бразилия и Китай водят с голяма преднина, от тези страни често идва много шум от скенери.

Собственик на мрежов блок

Изучаването на собствениците на мрежови блокове (ASN) може да разкрие организации с голям брой атакуващи хостове. Разбира се, в тези случаи винаги трябва да се помни, че много от атаките идват от заразени хостове. Умно е да се предположи, че повечето злонамерени хакери не са толкова глупави, че да сканират мрежата от домашния си компютър.

Отворени портове на атакуващите системи (данни от Shodan.io)

Прогонване на списък с IP адреси през Shodan API бързо определя системи с отворени портове и какви са тези портове. На изображението по-долу е показана концентрацията на отворени портове по страни и организации. Можеше да се идентифицират блокове на компрометирани системи, но в рамките на малка извадка не се наблюдава нищо забележително, освен голямото количество отворени портове 500 в Китай..

Интересна находка е голямото количество системи в Бразилия, които нямат отворени 22, 23 или други портове, според Censys и Shodan. Изглежда, че това са връзки от крайните потребители.

Ботове? Не непременно

Данни Censys за портовете 22 и 23 за онзи ден показаха странност. Предполагах, че повечето сканирания и атаки с пароли идват от ботове. Скриптът се разпространява през отворените портове, подбирайки пароли, а от нова система копира себе си и продължава да се разпространява по същия метод.

Но тук е видно, че само на малък брой хостове, сканиращи telnet, е отворен порт 23 навън. Това означава, че системите са или компрометирани по друг начин, или злонамерените хакери стартират скриптове ръчно.

Домашни връзки

Друга интересна находка беше голямото количество домашни потребители в извадката. С помощта на обратен преглед идентифицирах 105 връзки от конкретни домашни компютри. За много домашни връзки при обратен преглед DNS се показва името на хоста със слова dsl, home, cable, fiber и т.н.

Учете и изследвайте: установете свой собствен ханипот

Наскоро написах кратък наръчник как да инсталирате ханипот Cowrie на своята система. Както вече споменахме, в нашия случай беше използван Digital Ocean VPS в Сингапур. След 24 часа анализ, разходите бяха буквално няколко цента, а времето за настройка на системата — 30 минути.

Вместо да стартирате Cowrie в интернет и да улавяте целия шум, можете да извлечете полза от хани пота в локалната мрежа. Просто поставете уведомление, ако на определени портове започнат запитвания. Това може да е или злонамерен извършител в мрежата, или любопитен служител, или сканиране за уязвимости.

Изводи

След наблюдение на действията на злоупотребите в продължение на един ден, става ясно, че не може да се обособи ясен източник на атаките в определена организация, държава или дори операционна система.

Широкото разпространение на източниците показва, че шумът от сканиране е постоянен и не е свързан с конкретен източник. Всеки, който работи в интернет, трябва да се увери, че неговата система има няколко нива на сигурност. Разпространеното и ефективно решение за SSH е преместването на услугата на случаен висок порт. Това не освобождава от необходимостта от стриктна паролна защита и мониторинг, но поне гарантира, че логовете не се задръстват от постоянно сканиране. Свързванията към висок порт е по-вероятно да бъдат насочени атаки, които могат да ви заинтересуват.

Често отворените telnet портове се намират на рутери или други устройства, така че не могат лесно да бъдат преместени на висок порт. Информацията за всички отворени портове и на атакуващата повърхност е единственият начин да се уверите, че тези услуги са защитени с фаервол или са изключени. По възможност не трябва да се използва Telnet изобщо, този протокол не е шифрован. Ако е необходим и не може без него, то внимателно го наблюдавайте и използвайте надеждни пароли.

Източник: habr.com