{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Ubeskriveligt attraktivt: hvordan vi skabte en honeypot, der ikke kan afsl\u00f8res","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ubeskriveligt
\nAntivirus virksomheder, cybersikkerhedseksperter og bare entusiaster placerer systemer online - honeypots - for at 'fange' en ny virusvariant eller afsl\u00f8re us\u00e6dvanlige hacker taktikker. Honeypots er s\u00e5 almindelige, at cyberkriminelle har udviklet en form for immunitet: de opdager hurtigt, at det, de st\u00e5r overfor, er en f\u00e6lde og ignorerer den. For at unders\u00f8ge nutidige hacker taktik har vi skabt et realistisk honeypot, der i syv m\u00e5neder levede online og tiltrak en r\u00e6kke forskellige angreb. Om hvordan det var, har vi fortalt i vores unders\u00f8gelse \"Caught in the Act: Running a Realistic Factory Honeypot to Capture Real Threats<\/a><\/noindex>\". Nogle fakta fra unders\u00f8gelsen er i dette indl\u00e6g. <\/i>
\n<\/a><\/noindex><\/p>\n

Udvikling af honeypot: tjekliste<\/h3>\n

\nDen prim\u00e6re opgave ved oprettelsen af vores superf\u00e6lde var at undg\u00e5, at hackere, der viste interesse for den, opdagede os. For dette var vi n\u00f8dt til at udf\u00f8re et stort arbejde: <\/p>\n

    \n
  1. Oprette en realistisk legende om virksomheden, inklusive fulde navne og fotos af medarbejdere, telefonnumre og e-mails.<\/li>\n
  2. Opfinde og implementere en model for industriel infrastruktur, der svarer til legenden om vores virksomheds aktiviteter. <\/li>\n
  3. Bestemme, hvilke netv\u00e6rkstjenester der skulle v\u00e6re tilg\u00e6ngelige udefra, men samtidig ikke lade sig friste til at \u00e5bne s\u00e5rbare porte, s\u00e5 det ikke s\u00e5 ud som en f\u00e6lde for naivitet. <\/li>\n
  4. Skabe en illusion af informationsl\u00e6kage om det s\u00e5rbare system og sprede disse oplysninger blandt potentielle angribere.<\/li>\n
  5. Implementere diskret overv\u00e5gning af hackeres handlinger i f\u00e6ldens infrastruktur. <\/li>\n<\/ol>\n

    \nOg nu, lad os tage det hele skridt for skridt.<\/p>\n

    Opretter legenden<\/b><\/h3>\n

    \nCyberkriminelle er allerede vant til at m\u00f8de mange honeypots, s\u00e5 den mest avancerede del af dem foretager en grundig unders\u00f8gelse af hvert s\u00e5rbart system for at sikre, at det ikke er en f\u00e6lde. Af samme grund str\u00e6bte vi efter ikke kun at opn\u00e5 realismen af honeypot\u2019en med hensyn til design og tekniske aspekter, men ogs\u00e5 at skabe en illusion af en virkelig virksomhed.<\/p>\n

    Ved at s\u00e6tte os i stedet for en hypotetisk kulhacker, har vi udviklet en verificeringsalgoritme, der kunne adskille et \u00e6gte system fra en f\u00e6lde. Den inkluderede s\u00f8gning af virksomhedens IP-adresser i omd\u00f8mmesystemer, omvendt forskning af IP-adressernes historie, s\u00f8gning efter navne og n\u00f8gleord relateret til virksomheden samt dens partnere og mange andre ting. I sidste ende blev legenden ret overbevisende og tiltalende.<\/p>\n

    Vi besluttede at positionere f\u00e6lde-fabrikken som et lille boutique industriel prototypingfirma, der arbejder for meget store anonyme kunder fra det milit\u00e6re og luftfartssegment. Dette fritog os for juridiske komplikationer forbundet med brugen af eksisterende brands.<\/p>\n

    Dern\u00e6st skulle vi finde p\u00e5 en vision, mission og navn til organisationen. Vi besluttede, at vores virksomhed skulle v\u00e6re en startup med et lille antal medarbejdere, hvor hver enkelt er medstifter. Dette tilf\u00f8jede overbevisning til legenden om specialisering af vores forretning, som g\u00f8r det muligt for os at arbejde med delikate projekter for store og vigtige kunder. Vi \u00f8nskede, at vores virksomhed s\u00e5 skr\u00f8belig ud med hensyn til cybersikkerhed, men samtidig var det klart, at vi arbejder med vigtige aktiver i m\u00e5lrettede systemer.<\/p>\n

    \"Ubeskriveligt
    \nScreenshot af MeTech honeypots hjemmeside. Kilde: Trend Micro<\/i><\/p>\n

    Vi valgte ordet MeTech som virksomhedens navn. Hjemmesiden blev lavet ud fra en gratis skabelon. Billederne blev taget fra stockfoto-banker, idet vi brugte de mest upopul\u00e6re og bearbejdede dem for at g\u00f8re dem mindre genkendelige. <\/p>\n

    Vi \u00f8nskede, at virksomheden skulle se realistisk ud, s\u00e5 vi m\u00e5tte tilf\u00f8je medarbejdere med professionelle f\u00e6rdigheder, der passer til profilens aktiviteter. Vi opfandt navne og personligheder til dem, og s\u00e5 fors\u00f8gte vi at v\u00e6lge billeder fra fotobanker i overensstemmelse med etnicitet. <\/p>\n

    \"Ubeskriveligt
    \nScreenshot af MeTech honeypots hjemmeside. Kilde: Trend Micro<\/i><\/i><\/p>\n

    For ikke at blive afsl\u00f8ret, s\u00f8gte vi efter gruppebilleder af h\u00f8j kvalitet, hvorfra vi kunne v\u00e6lge de ansigtstr\u00e6k, vi havde brug for. Men vi gav op p\u00e5 denne id\u00e9, da en potentiel hacker kunne udnytte omvendt billeds\u00f8gning og opdage, at vores 'medarbejdere' kun lever i fotobanker. Til sidst brugte vi billeder af ikke-eksisterende personer skabt ved hj\u00e6lp af neurale netv\u00e6rk.<\/p>\n

    De offentliggjorte medarbejderprofiler p\u00e5 hjemmesiden indeholdt vigtige oplysninger om deres tekniske f\u00e6rdigheder, men vi undgik at n\u00e6vne specifikke uddannelsesinstitutioner og byer.
    \nTil oprettelse af e-mailkonti benyttede vi vores hostingudbyders server og lejede derefter flere telefonnumre i USA, som vi samlede i en virtuel PBX med telefonsvarer og voicemail.<\/p>\n

    Infrastruktur for honeypot<\/b><\/h3>\n

    \nFor at undg\u00e5 at blive afsl\u00f8ret valgte vi at anvende en kombination af \u00e6gte industriel hardware, fysiske computere og sikre virtuelle maskiner. For at forudse resultatet af vores bestr\u00e6belser, kan vi sige, at vi testede det med Shodan-s\u00f8gemaskinen, og den viste, at honeypot'en s\u00e5 ud som et rigtigt industrielt system.<\/p>\n

    \"Ubeskriveligt
    \nResultatet af scanningen af honeypot'en med Shodan. Kilde: Trend Micro<\/i><\/p>\n

    Som 'hardware' til vores f\u00e6lde brugte vi fire PLC'er:<\/p>\n