{"id":30311,"date":"2019-10-31T21:34:49","date_gmt":"2019-10-31T18:34:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/analiz-atak-na-hanipot-cowrie\/"},"modified":"2019-10-31T21:34:49","modified_gmt":"2019-10-31T18:34:49","slug":"analiz-atak-na-hanipot-cowrie","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/analiz-atak-na-hanipot-cowrie","title":{"rendered":"Analyse af angreb p\u00e5 honeypot Cowrie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Statistik over de f\u00f8rste 24 timer efter installation af honeypot p\u00e5 Digital Ocean-node i Singapore<\/b> <\/p>\n

Piu-piu! Lad os starte med angrebs kortet<\/h1>\n

\nVores super flotte kort viser unikke ASN, der har tilsluttet sig vores Cowrie-honeypot i de seneste 24 timer. Gul svarer til SSH-forbindelser, mens r\u00f8d repr\u00e6senterer Telnet. S\u00e5danne animationer imponerer ofte virksomhedens bestyrelse, hvilket g\u00f8r det muligt at f\u00e5 mere finansiering til sikkerhed og ressourcer. Ikke desto mindre har kortet en vis v\u00e6rdi, idet det klart viser den geografiske og organisatoriske udbredelse af angrebskilderne p\u00e5 vores host over blot 24 timer. Animationen viser ikke trafikm\u00e6ngden fra hver kilde.
\n<\/a><\/noindex><\/p>\n

Hvad er Pew Pew-kortet?<\/h3>\n

\nPew Pew-kortet<\/i> \u2014 det er visualisering af cyberangreb<\/a><\/noindex>, normalt animeret og meget smukt. Det er en trendy m\u00e5de at s\u00e6lge sit produkt p\u00e5, ber\u00f8mt for at v\u00e6re brugt af Norse Corp. Selskabet fik en skidt afslutning: det viste sig, at de smukke animationer var deres eneste fordel, og de anvendte fragmenterede data til analyse.<\/p>\n

Lavt med Leafletjs<\/h3>\n

\nFor dem, der \u00f8nsker at udvikle et angrebs kort til stort sk\u00e6rm i operationscenteret (din chef vil elske det), er der et bibliotek leafletjs<\/a><\/noindex>. Vi kombinerer det med plugin leaflet lag migrering<\/a><\/noindex>, Maxmind GeoIP service \u2014 og voila<\/a><\/noindex>.<\/p>\n

\"Analyse<\/a><\/noindex><\/p>\n

WTF: Hvad er der med Cowrie-honeypot?<\/h1>\n

\nEn honeypot er et system, der hostes p\u00e5 nettet specifikt for at tiltr\u00e6kke angribere. Forbindelser til systemet er som regel ulovlige og muligg\u00f8r at opdage angriberen gennem detaljerede logs. Logfilerne gemmer ikke kun almindelige forbindelsesoplysninger, men ogs\u00e5 sessionoplysninger, der afsl\u00f8rer angriberens teknik, taktik og procedurer (TTP)<\/b> .<\/p>\n

Cowrie-honeypot<\/a><\/noindex> er designet til at registrere SSH- og Telnet-forbindelser<\/b>. S\u00e5danne honeypots offentligg\u00f8res ofte p\u00e5 internettet for at spore v\u00e6rkt\u00f8jer, scripts og hosts af angribere.<\/p>\n

Mit budskab til virksomheder, der tror, \u200b\u200bde ikke bliver angrebet: \u00abDu leder d\u00e5rligt\u00bb.
\n\u2014 James Snook<\/i><\/p><\/blockquote>\n

\n\"Analyse
\n<\/p>\n

Hvad er der i logsene?<\/h1>\n

<\/p>\n

Det samlede antal forbindelser<\/h3>\n

\nFra mange hosts kom der gentagne forbindelsesfors\u00f8g. Dette er normalt, da angrebsskripter har en liste med brugernavne og adgangskoder, og de pr\u00f8ver flere kombinationer. Cowrie-honeypot er indstillet til at modtage bestemte kombinationer af brugernavn og adgangskode. Dette kan konfigureres i filen user.db<\/b>.<\/p>\n

\"Analyse
\n<\/p>\n

Geografi af angreb<\/h3>\n

\nIf\u00f8lge geolokationsdata fra Maxmind har jeg talt antallet af forbindelser fra hvert land. Brasilien og Kina f\u00f8rer med stor margin, fra disse lande er der ofte mange scanninger.<\/p>\n

\"Analyse
\n<\/p>\n

Ejeren af netv\u00e6rksenheden<\/h3>\n

\nUnders\u00f8gelsen af ejere af netv\u00e6rksblokke (ASN) kan afsl\u00f8re organisationer med mange angribende v\u00e6rter. Selvf\u00f8lgelig skal man altid huske p\u00e5, at mange angreb kommer fra inficerede v\u00e6rter. Det er rimeligt at antage, at de fleste kriminelle ikke er s\u00e5 dumme, at de scanner nettet fra deres hjemmecomputer.<\/p>\n

\"Analyse
\n<\/p>\n

\u00c5bne porte p\u00e5 angribende systemer (data fra Shodan.io)<\/h3>\n

\nK\u00f8rsel af en IP-liste gennem den fremragende Shodan API<\/a><\/noindex> bestemmer hurtigt systemer med \u00e5bne porte<\/b> og hvilke porte der er tale om. P\u00e5 billedet nedenfor ses koncentrationen af \u00e5bne porte fordelt p\u00e5 lande og organisationer. Det kunne afd\u00e6kke blokke af kompromitterede systemer, men inden for et lille udsnit<\/b> er der ikke noget bem\u00e6rkelsesv\u00e6rdigt, bortset fra det store antal \u00e5bne porte 500 i Kina<\/b>.<\/p>\n

En interessant opdagelse er det store antal systemer i Brasilien, der ikke har \u00e5bne 22, 23<\/b> eller andre porte<\/b>, if\u00f8lge Censys og Shodan. Dette tyder p\u00e5, at forbindelserne kommer fra slutbrugeres computere.<\/p>\n

\"Analyse
\n <\/p>\n

Bots? Ikke n\u00f8dvendigvis<\/h3>\n

\nData Censys<\/a><\/noindex> for porte 22 og 23 viste noget m\u00e6rkeligt den dag. Jeg formodede, at de fleste scanninger og adgangskodeangreb kom fra bots. Scriptet spreder sig gennem \u00e5bne porte, pr\u00f8ver adgangskoder, og fra et nyt system kopierer det sig selv og forts\u00e6tter med at sprede sig p\u00e5 samme m\u00e5de.<\/p>\n

Men her kan man se, at kun et lille antal v\u00e6rter, der scanner telnet, har port 23 \u00e5bent udadtil. Det betyder, at systemerne enten er kompromitteret p\u00e5 anden m\u00e5de, eller at kriminelle k\u00f8rer scripts manuelt.<\/p>\n

\"Analyse
\n<\/p>\n

Hjemmeforbindelser<\/h3>\n

\nEn anden interessant opdagelse var det store antal hjemmebrugere i udvalget. Ved hj\u00e6lp af reverse lookup <\/b> har jeg identificeret 105 forbindelser fra bestemte hjemmecomputere. For mange hjemmeforbindelser viser reverse lookup DNS navnet p\u00e5 v\u00e6rten med ord som dsl, home, cable, fiber osv.<\/p>\n

\"Analyse
\n<\/p>\n

L\u00e6r og udforsk: ops\u00e6t din egen honeypot<\/h1>\n

\nFor nylig skrev jeg en kort vejledning om, hvordan man installere honeypot Cowrie p\u00e5 sit system<\/a><\/noindex>. Som n\u00e6vnt blev der brugt Digital Ocean VPS i Singapore i vores tilf\u00e6lde. Analyseomkostningerne over 24 timer var faktisk kun et par \u00f8re, og tiden til ops\u00e6tning af systemet var 30 minutter.<\/p>\n

I stedet for at k\u00f8re Cowrie p\u00e5 internettet og fange al st\u00f8jen, kan du drage fordel af honeypotten i et lokalnetv\u00e6rk. Bare s\u00e6t en notifikation op, hvis der er anmodninger p\u00e5 bestemte porte. Det er enten en angriber inden for netv\u00e6rket, en nysgerrig medarbejder, eller s\u00e5rbarhedsscanninger.<\/p>\n

Konklusioner<\/h1>\n

\nEfter at have observeret angriberes aktiviteter i l\u00f8bet af en dag, bliver det tydeligt, at det ikke er muligt at identificere en klar kilde til angreb inden for en bestemt organisation, land eller endda operativsystem.<\/p>\n

Den brede spredning af kilder viser, at scanningst\u00f8jen er konstant og ikke er knyttet til en specifik kilde. Enhver, der arbejder p\u00e5 internettet, b\u00f8r sikre sig, at deres system har flere lag af sikkerhed<\/b>. En almindelig og effektiv l\u00f8sning til SSH<\/b> vil v\u00e6re at flytte tjenesten til en tilf\u00e6ldig h\u00f8j port. Dette fjerner ikke n\u00f8dvendigheden af streng adgangskodebeskyttelse og overv\u00e5gning, men sikrer i det mindste, at loggene ikke oversv\u00f8mmes af konstant scanning. Forbindelser til h\u00f8je porte er med st\u00f8rre sandsynlighed m\u00e5lrettede angreb, som kan v\u00e6re af interesse for dig.<\/p>\n

\u00c5bne telnet-porte findes ofte p\u00e5 routere eller andre enheder, s\u00e5 de kan ikke let flyttes til en h\u00f8j port. Information om alle \u00e5bne porte<\/a><\/noindex> og angrebsoverflade<\/a><\/noindex> er den eneste m\u00e5de at sikre sig, at disse tjenester er beskyttet af en firewall eller deaktiveret. Undg\u00e5 at bruge Telnet, hvis det er muligt; dette protokol er ikke krypteret. Hvis det er n\u00f8dvendigt og uundg\u00e5eligt, skal det overv\u00e5ges n\u00f8je, og der skal bruges p\u00e5lidelige adgangskoder.
\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439\u00a0\u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30311","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Analyse af angreb p\u00e5 Cowrie honeypot | ProHoster","description":"Statistik for 24 timer efter installation af honeypot p\u00e5 Digital Ocean-udstyret i Singapore Piu-piu!","canonical_url":"https:\/\/prohoster.info\/da\/blog\/analiz-atak-na-hanipot-cowrie","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0430\u0442\u0430\u043a \u043d\u0430 \u0445\u0430\u043d\u0438\u043f\u043e\u0442 Cowrie | ProHoster","og:description":"\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443!","og:url":"https:\/\/prohoster.info\/da\/blog\/analiz-atak-na-hanipot-cowrie","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:49+00:00","article:modified_time":"2019-10-31T18:34:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30311","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/30311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=30311"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/30311\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=30311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=30311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=30311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}