{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception na p\u0159\u00edkladu Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Na \u010desk\u00e9m internetu u\u017e existuje n\u011bkolik \u010dl\u00e1nk\u016f o technologi\u00edch Honeypot a Deception (1 \u010dl\u00e1nek<\/a><\/noindex>, 2 \u010dl\u00e1nky<\/a><\/noindex>). P\u0159esto se st\u00e1le setk\u00e1v\u00e1me s neporozum\u011bn\u00edm rozd\u00edlu mezi t\u011bmito t\u0159\u00eddami ochrann\u00fdch prost\u0159edk\u016f. Tomu se v\u011bnuj\u00ed na\u0161i kolegov\u00e9 z Xello Deception<\/a><\/noindex> (prvn\u00ed rusk\u00fd v\u00fdvoj\u00e1\u0159 platformy Deception<\/a><\/noindex>) a podrobn\u011b popisuj\u00ed rozd\u00edly, v\u00fdhody a architektonick\u00e9 rysy t\u011bchto \u0159e\u0161en\u00ed.<\/p>\n

Pod\u00edv\u00e1me se na to, co p\u0159esn\u011b znamenaj\u00ed \u201ehoneypoty\u201c a \u201edeception technologie\u201c:<\/h2>\n

\u201eTechnologie obm\u011bny\u201c (angl. Deception technology) se na trhu informa\u010dn\u00edch bezpe\u010dnostn\u00edch syst\u00e9m\u016f objevily relativn\u011b ned\u00e1vno. Nicm\u00e9n\u011b n\u011bkte\u0159\u00ed odborn\u00edci st\u00e1le pova\u017euj\u00ed Security Deception pouze za vysp\u011blej\u0161\u00ed verzi \u201ehoneypots\u201c (angl. honeypot). <\/p>\n

V tomto \u010dl\u00e1nku se pokus\u00edme osv\u011btlit, jakou podobnost, tak i z\u00e1sadn\u00ed rozd\u00edly mezi t\u011bmito dv\u011bma \u0159e\u0161en\u00edmi. V prvn\u00ed \u010d\u00e1sti se budeme v\u011bnovat \u201ehoneypot\u016fm\u201c, jak se tato technologie vyv\u00edjela a jak\u00e9 m\u00e1 v\u00fdhody a nev\u00fdhody. Ve druh\u00e9 \u010d\u00e1sti se podrobn\u011b zastav\u00edme u princip\u016f fungov\u00e1n\u00ed platforem pro vytv\u00e1\u0159en\u00ed distribuovan\u00e9 infrastruktury fale\u0161n\u00fdch c\u00edl\u016f (angl. Distributed Deception Platform \u2013 DDP). <\/p>\n

Z\u00e1kladn\u00ed princip hon\u00edc\u00ed kladn\u00e9 je vytv\u00e1\u0159en\u00ed past\u00ed na hackery. Na stejn\u00e9m principu byla vyvinuta tak\u00e9 prvn\u00ed \u0159e\u0161en\u00ed Deception. Modern\u00ed DDP v\u0161ak zna\u010dn\u011b p\u0159evy\u0161uj\u00ed honeypoty z hlediska funk\u010dnosti i efektivity. Platformy Deception zahrnuj\u00ed: pasti (angl. decoys, traps), n\u00e1vnady (angl. lures), aplikace, data, datab\u00e1ze, Active Directory. Modern\u00ed DDP mohou nab\u00eddnout \u0161irok\u00e9 mo\u017enosti pro detekci hrozeb, anal\u00fdzu \u00fatok\u016f a automatizaci reak\u010dn\u00edch opat\u0159en\u00ed. <\/p>\n

Deception tedy p\u0159edstavuje techniky imitace IT infrastruktury podniku a uveden\u00ed hacker\u016f do omylu. V d\u016fsledku toho takov\u00e9 platformy umo\u017e\u0148uj\u00ed zastavit \u00fatoky d\u0159\u00edve, ne\u017e dojde k v\u00fdznamn\u00fdm \u0161kod\u00e1m na aktivech spole\u010dnosti. Honeypoty samoz\u0159ejm\u011b nemaj\u00ed tak \u0161irokou funkcionalitu a \u00farove\u0148 automatizace, proto jejich vyu\u017eit\u00ed vy\u017eaduje vy\u0161\u0161\u00ed kvalifikaci zam\u011bstnanc\u016f zabezpe\u010dovac\u00edch odd\u011blen\u00ed.<\/p>\n

1. Honeypoty, Honeynety a Sandboxing: co to je a jak se to pou\u017e\u00edv\u00e1<\/h2>\n

Poprv\u00e9 byl term\u00edn \u201ehoneypots\u201c pou\u017eit v roce 1989 v knize Clifforda Stollah \u201eThe Cuckoo\u2019s Egg\u201c, kter\u00e1 zachycuje ud\u00e1losti sledov\u00e1n\u00ed hackera v N\u00e1rodn\u00ed laborato\u0159i Lawrence Berkeley (USA). V praxi byla tato my\u0161lenka realizov\u00e1na v roce 1999 Lansem Spitznerem, odborn\u00edkem na informa\u010dn\u00ed bezpe\u010dnost ve spole\u010dnosti Sun Microsystems, kter\u00fd zalo\u017eil v\u00fdzkumn\u00fd projekt \u201eHoneynet Project\u201c. Prvn\u00ed honeypoty byly velmi n\u00e1ro\u010dn\u00e9 na zdroje, slo\u017eit\u00e9 na nastaven\u00ed a \u00fadr\u017ebu. <\/p>\n

Pod\u00edvejme se podrobn\u011bji na to, co je honeypots <\/strong>a honeynets<\/strong>. Honeypots jsou samostatn\u00e9 hosty, jejich\u017e c\u00edlem je p\u0159il\u00e1kat \u00fato\u010dn\u00edky k proniknut\u00ed do s\u00edt\u011b spole\u010dnosti a pokusit se ukr\u00e1st cenn\u00e9 \u00fadaje, stejn\u011b jako roz\u0161\u00ed\u0159it dosah s\u00edt\u011b. Honeypot (doslovn\u011b p\u0159elo\u017eeno jako \u201ebarel s medem\u201c) p\u0159edstavuje speci\u00e1ln\u00ed server s r\u016fzn\u00fdmi s\u00ed\u0165ov\u00fdmi slu\u017ebami a protokoly, jako jsou HTTP, FTP atd. (viz obr. 1).<\/p>\n

\"Honeypot<\/p>\n

Pokud spoj\u00edme n\u011bkolik honeypots <\/strong>do s\u00edt\u011b, z\u00edsk\u00e1me ji\u017e efektivn\u011bj\u0161\u00ed syst\u00e9m honeynet<\/strong>, kter\u00fd p\u0159edstavuje simulaci korpor\u00e1tn\u00ed s\u00edt\u011b spole\u010dnosti (webov\u00fd server, souborov\u00fd server a dal\u0161\u00ed komponenty s\u00edt\u011b). Takov\u00e9 \u0159e\u0161en\u00ed umo\u017e\u0148uje pochopit strategii jedn\u00e1n\u00ed \u00fato\u010dn\u00edk\u016f a uv\u00e9st je v omyl. Typick\u00e1 honeynet zpravidla funguje paraleln\u011b s pracovn\u00ed s\u00edt\u00ed a zcela nez\u00e1visle na n\u00ed. Takovou \u201es\u00ed\u0165\u201c lze publikovat na internetu po samostatn\u00e9m kan\u00e1lu, pro ni lze tak\u00e9 vy\u010dlenit samostatn\u00fd rozsah IP adres (viz obr. 2).<\/p>\n

\"Honeypot<\/p>\n

Smyslem pou\u017eit\u00ed honeynet je uk\u00e1zat hackerovi, \u017ee se \u00fadajn\u011b dostal do firemn\u00ed s\u00edt\u011b organizace, ve skute\u010dnosti se \u00fato\u010dn\u00edk nach\u00e1z\u00ed v \u201eizolovan\u00e9m prost\u0159ed\u00ed\u201c a pod pe\u010dliv\u00fdm dohledem odborn\u00edk\u016f na kybernetickou bezpe\u010dnost (viz obr. 3).<\/p>\n

\"Honeypot<\/p>\n

Zde je tak\u00e9 pot\u0159eba zm\u00ednit takov\u00fd prost\u0159edek, jako je \u201ep\u00edskovi\u0161t\u011b<\/strong>\u201c (angl., sandbox<\/strong>), kter\u00fd umo\u017e\u0148uje \u00fato\u010dn\u00edk\u016fm instalovat a spou\u0161t\u011bt \u0161kodliv\u00e9 programy v izolovan\u00e9m prost\u0159ed\u00ed, kde mohou IT specialist\u00e9 sledovat jejich \u010dinnosti za \u00fa\u010delem odhalen\u00ed potenci\u00e1ln\u00edch rizik a p\u0159ijet\u00ed nezbytn\u00fdch protiopat\u0159en\u00ed. V sou\u010dasnosti se v\u011bt\u0161inou sandboxing realizuje na vyhrazen\u00fdch virtu\u00e1ln\u00edch stroj\u00edch na virtu\u00e1ln\u00edm hostu. Je v\u0161ak t\u0159eba poznamenat, \u017ee sandboxing ukazuje pouze to, jak se chovaj\u00ed nebezpe\u010dn\u00e9 a \u0161kodliv\u00e9 programy, zat\u00edmco honeynet pom\u00e1h\u00e1 specialistovi analyzovat chov\u00e1n\u00ed \u201enebezpe\u010dn\u00fdch hr\u00e1\u010d\u016f\u201c. <\/p>\n

Z\u0159ejm\u00fdm p\u0159\u00ednosem honeynet\u016f je to, \u017ee uv\u00e1d\u011bj\u00ed \u00fato\u010dn\u00edky v omyl, pl\u00fdtvaj\u00ed jejich silami, zdroji a \u010dasem. V\u00fdsledkem je, \u017ee m\u00edsto skute\u010dn\u00fdch c\u00edl\u016f \u00fato\u010d\u00ed na fale\u0161n\u00e9 a mohou p\u0159eru\u0161it \u00fatok na s\u00ed\u0165, ani\u017e by n\u011bco dos\u00e1hli. Technologie honeynet\u016f se nej\u010dast\u011bji pou\u017e\u00edvaj\u00ed ve vl\u00e1dn\u00edch instituc\u00edch a velk\u00fdch korporac\u00edch, finan\u010dn\u00edch organizac\u00edch, proto\u017ee tyto struktury se st\u00e1vaj\u00ed c\u00edli velk\u00fdch kybernetick\u00fdch \u00fatok\u016f. Nicm\u00e9n\u011b, mal\u00e9 a st\u0159edn\u00ed podniky (SMB) tak\u00e9 pot\u0159ebuj\u00ed efektivn\u00ed n\u00e1stroje pro prevenci incident\u016f informa\u010dn\u00ed bezpe\u010dnosti, ale honeynety v sektoru SMB se nepou\u017e\u00edvaj\u00ed tak snadno kv\u016fli nedostatku kvalifikovan\u00fdch pracovn\u00edk\u016f pro tak slo\u017eitou pr\u00e1ci.<\/p>\n

Omezenost \u0159e\u0161en\u00ed Honeypots a Honeynets<\/u><\/strong><\/p>\n

Pro\u010d nejsou honeypots a honeynets v sou\u010dasnosti nejlep\u0161\u00edmi \u0159e\u0161en\u00edmi pro odol\u00e1v\u00e1n\u00ed \u00fatok\u016fm? Je t\u0159eba poznamenat, \u017ee \u00fatoky se st\u00e1vaj\u00ed st\u00e1le rozs\u00e1hlej\u0161\u00edmi, technicky slo\u017eit\u011bj\u0161\u00edmi a mohou zp\u016fsobit v\u00e1\u017en\u00e9 po\u0161kozen\u00ed IT infrastruktury organizace, a kybernetick\u00e1 kriminalita se dostala na zcela novou \u00farove\u0148 a p\u0159edstavuje vysoce organizovan\u00e9 st\u00ednov\u00e9 podnikatelsk\u00e9 struktury, kter\u00e9 disponuj\u00ed v\u0161emi pot\u0159ebn\u00fdmi zdroji. K tomu je t\u0159eba p\u0159idat i \"lidsk\u00fd faktor\" (chyby v nastaven\u00ed softwaru a hardware, \u010dinnosti insider\u016f atd.), proto pou\u017eit\u00ed pouze technologi\u00ed k prevenci \u00fatok\u016f ji\u017e nyn\u00ed nesta\u010d\u00ed. <\/p>\n

N\u00ed\u017ee uv\u00e1d\u00edme hlavn\u00ed omezen\u00ed a nedostatky honeypot\u016f (honeynet\u016f):<\/p>\n

    \n
  1. \n

    \"Honeypot\" byl p\u016fvodn\u011b navr\u017een pro identifikaci hrozeb, kter\u00e9 jsou mimo firemn\u00ed s\u00ed\u0165, jsou ur\u010deny sp\u00ed\u0161e pro anal\u00fdzu chov\u00e1n\u00ed \u00fato\u010dn\u00edk\u016f a nejsou ur\u010deny pro rychlou reakci na hrozby. <\/p>\n<\/li>\n

  2. \n

    \u00dato\u010dn\u00edci se obvykle ji\u017e nau\u010dili rozpozn\u00e1vat emulovan\u00e9 syst\u00e9my a vyh\u00fdbat se honeypot\u016fm. <\/p>\n<\/li>\n

  3. \n

    Honeynety (honeypoty) maj\u00ed extr\u00e9mn\u011b n\u00edzkou \u00farove\u0148 interaktivity a spolupr\u00e1ce s ostatn\u00edmi bezpe\u010dnostn\u00edmi syst\u00e9my, co\u017e zt\u011b\u017euje z\u00edsk\u00e1n\u00ed podrobn\u00fdch informac\u00ed o \u00fatoc\u00edch a \u00fato\u010dn\u00edc\u00edch a tedy efektivn\u00ed a rychlou reakci na incidenty informa\u010dn\u00ed bezpe\u010dnosti. Krom\u011b toho odborn\u00edci na informa\u010dn\u00ed bezpe\u010dnost dost\u00e1vaj\u00ed velk\u00e9 mno\u017estv\u00ed fale\u0161n\u00fdch upozorn\u011bn\u00ed na hrozby. <\/p>\n<\/li>\n

  4. \n

    V n\u011bkter\u00fdch p\u0159\u00edpadech mohou hacke\u0159i pou\u017e\u00edt kompromitovan\u00fd honeypot jako v\u00fdchoz\u00ed bod pro pokra\u010dov\u00e1n\u00ed \u00fatoku na s\u00ed\u0165 organizace. <\/p>\n<\/li>\n

  5. \n

    \u010casto se objevuj\u00ed probl\u00e9my se \u0161k\u00e1lovatelnost\u00ed honeypot\u016f, vysokou opera\u010dn\u00ed z\u00e1t\u011b\u017e\u00ed a konfigurac\u00ed t\u011bchto syst\u00e9m\u016f (vy\u017eaduj\u00ed vysoce kvalifikovan\u00e9 specialisty, nemaj\u00ed u\u017eivatelsky p\u0159\u00edv\u011btiv\u00e9 rozhran\u00ed pro spr\u00e1vu atd.). Existuj\u00ed zna\u010dn\u00e9 obt\u00ed\u017ee s nasazen\u00edm honeypot\u016f ve specializovan\u00fdch prost\u0159ed\u00edch, jako jsou IoT, POS, cloudov\u00fdch syst\u00e9mech atd.<\/p>\n<\/li>\n<\/ol>\n

    2. Technologie dezinformace: v\u00fdhody a z\u00e1kladn\u00ed principy fungov\u00e1n\u00ed<\/h2>\n

    Zkoum\u00e1n\u00edm v\u0161ech v\u00fdhod a nev\u00fdhod honeypot\u016f doch\u00e1z\u00edme k z\u00e1v\u011bru, \u017ee je t\u0159eba zcela nov\u00fd p\u0159\u00edstup k reakci na incidenty informa\u010dn\u00ed bezpe\u010dnosti, jeho\u017e c\u00edlem je vypracovat rychlou a adekv\u00e1tn\u00ed odpov\u011b\u010f na akce \u00fato\u010dn\u00edk\u016f. A takov\u00fdm \u0159e\u0161en\u00edm jsou technologie Kybernetick\u00e1 dezinformace (Security deception)<\/strong>. <\/p>\n

    Terminologie \u201eCyber deception\u201c, \u201eSecurity deception\u201c, \u201eDeception technology\u201c, \u201eDistributed Deception Platform\u201c (DDP) je relativn\u011b nov\u00e1 a objevila se teprve ned\u00e1vno. V podstat\u011b v\u0161echny tyto term\u00edny znamenaj\u00ed pou\u017eit\u00ed \u201edeception technologi\u00ed\u201c nebo \u201emetod imitace IT infrastruktury a dezinformace \u00fato\u010dn\u00edk\u016f\u201c. Nejsnaz\u0161\u00ed \u0159e\u0161en\u00ed Deception rozv\u00edjej\u00ed my\u0161lenky honeypots, ale na technologicky pokro\u010dilej\u0161\u00ed \u00farovni, kter\u00e1 p\u0159edpokl\u00e1d\u00e1 v\u011bt\u0161\u00ed automatizaci detekce hrozeb a reakce na n\u011b. Na trhu ji\u017e existuj\u00ed v\u00e1\u017en\u00e1 \u0159e\u0161en\u00ed DDP, kter\u00e1 umo\u017e\u0148uj\u00ed snadn\u00e9 nasazen\u00ed a \u0161k\u00e1lov\u00e1n\u00ed a disponuj\u00ed rozs\u00e1hl\u00fdm arsen\u00e1lem \u201elah\u016fdek\u201c a \u201en\u00e1vnad\u201c pro \u00fato\u010dn\u00edky. Nap\u0159\u00edklad Deception umo\u017e\u0148uje emulovat takov\u00e9 objekty IT infrastruktury, jako jsou datab\u00e1ze, pracovn\u00ed stanice, sm\u011brova\u010de, switche, bankomaty, servery a SCADA, l\u00e9ka\u0159sk\u00e9 za\u0159\u00edzen\u00ed a IoT. <\/p>\n

    Jak funguje \u201eDistributed Deception Platform\u201c? Po nasazen\u00ed DDP bude IT infrastruktura organizace vzty\u010dena jako by byla ze dvou vrstev: prvn\u00ed vrstva \u2014 to je skute\u010dn\u00e1 infrastruktura spole\u010dnosti, a druh\u00e1 \u2014 to je \u201eemulovan\u00e1\u201c prost\u0159ed\u00ed slo\u017een\u00e9 z n\u00e1strah (angl. decoys, traps) a n\u00e1vnad (angl. lures), kter\u00e9 jsou um\u00edst\u011bny na skute\u010dn\u00fdch fyzick\u00fdch za\u0159\u00edzen\u00edch s\u00edt\u011b (viz obr. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Nap\u0159\u00edklad \u00fato\u010dn\u00edk m\u016f\u017ee objevit fale\u0161n\u00e9 datab\u00e1ze s \"d\u016fv\u011brn\u00fdmi dokumenty\", podvr\u017een\u00e9 \u00fadaje typu \"privilegovan\u00fdch u\u017eivatel\u016f\" \u2014 v\u0161echny tyto jsou fale\u0161n\u00e9 c\u00edle, kter\u00e9 mohou vzbudit z\u00e1jem naru\u0161itel\u016f, t\u00edm je odvedou od skute\u010dn\u00fdch informa\u010dn\u00edch aktiv spole\u010dnosti (viz obr. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP je novinkou na trhu produkt\u016f kybernetick\u00e9 bezpe\u010dnosti, tato \u0159e\u0161en\u00ed existuj\u00ed jen n\u011bkolik let a zat\u00edm si je m\u016f\u017ee dovolit pouze korpor\u00e1tn\u00ed sektor. Ale mal\u00e9 a st\u0159edn\u00ed podniky brzy tak\u00e9 vyu\u017eij\u00ed Deception, a to pron\u00e1jmem DDP od specializovan\u00fdch poskytovatel\u016f \"jako slu\u017ebu\". Tento model je dokonce pohodln\u011bj\u0161\u00ed, proto\u017ee nen\u00ed t\u0159eba vlastnit vysoce kvalifikovan\u00e9 pracovn\u00edky.<\/p>\n

    N\u00ed\u017ee jsou uvedeny hlavn\u00ed v\u00fdhody technologie Deception:<\/p>\n