{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception ved hj\u00e6lp af Xello som eksempel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Der er allerede flere artikler p\u00e5 Habr om teknologierne Honeypot og Deception (1 artikel<\/a><\/noindex>, 2 artikler<\/a><\/noindex>). Men vi st\u00e5r stadig over for en manglende forst\u00e5else af forskellen mellem disse klasser af beskyttelsesmidler. Derfor har vores kolleger fra Xello Deception<\/a><\/noindex> (den f\u00f8rste russiske udvikler af Deception platforme<\/a><\/noindex>) besluttet at beskrive forskellene, fordelene og arkitektoniske funktioner ved disse l\u00f8sninger i detaljer.<\/p>\n

Lad os finde ud af, hvad «honeypots» og «deception» er:<\/h2>\n

«Bedrageriteknologier» (engelsk, Deception technology) er relativt nylige p\u00e5 markedet for informationssikkerhedssystemer. Men nogle fagfolk anser stadig Security Deception for at v\u00e6re mere avancerede «honeypots» (engelsk, honeypot). <\/p>\n

I denne artikel vil vi fors\u00f8ge at belyse b\u00e5de lighederne og de grundl\u00e6ggende forskelle mellem disse to l\u00f8sninger. I den f\u00f8rste del vil vi tale om \u00abhoneypot\u00bb, hvordan denne teknologi har udviklet sig, og hvad dens fordele og ulemper er. I den anden del vil vi grundigt se p\u00e5 arbejdsprincipperne for platforme til oprettelse af distribuerede infrastrukturer af falske m\u00e5l (dansk, Distributed Deception Platform \u2014 DDP). <\/p>\n

Det grundl\u00e6ggende princip, der er lagt til grund for honeypots, er at skabe f\u00e6lder for hackere. Det samme princip blev anvendt til at udvikle de f\u00f8rste Deception-l\u00f8sninger. Men moderne DDP overstiger betydeligt honeypots b\u00e5de i funktionalitet og effektivitet. Deception-platforme inkluderer: f\u00e6lder (dansk, decoys, traps), lokkemidler (dansk, lures), applikationer, data, databaser, Active Directory. Moderne DDP kan give omfattende muligheder for trusselopdagelse, angreb analyse og automatisering af reaktioner. <\/p>\n

Dermed repr\u00e6senterer Deception teknikker til imitering af virksomhedens IT-infrastruktur og at vildlede hackere. Som et resultat g\u00f8r s\u00e5danne platforme det muligt at stoppe angreb f\u00f8r der opst\u00e5r betydelig skade p\u00e5 virksomhedens aktiver. Honeypots har selvf\u00f8lgelig ikke en s\u00e5 bred funktionalitet og automatiseringsniveau, s\u00e5 deres anvendelse kr\u00e6ver en h\u00f8jere kvalifikation fra medarbejdere i IT-sikkerhedsafdelinger.<\/p>\n

1. Honeypots, Honeynets og Sandboxing: hvad er det, og hvordan anvendes det<\/h2>\n

Begrebet «honeypots» blev f\u00f8rst brugt i 1989 i Clifford Stolls bog «The Cuckoo\u2019s Egg», som beskriver begivenhederne omkring sporing af en hacker i Lawrence Berkeley National Laboratory (USA). Praktisk blev denne id\u00e9 realiseret i 1999 af Lance Spitzner, en sikkerhedsekspert fra Sun Microsystems, som grundlagde forskningsprojektet «Honeynet Project». De f\u00f8rste honeypots var meget ressourcekr\u00e6vende og vanskelige at konfigurere og vedligeholde. <\/p>\n

Let\u2019s take a closer look at what honeypots <\/strong>og honeynets<\/strong>. Honeypots are individual hosts designed to attract attackers to penetrate the company's network and attempt to steal valuable data, as well as expand the network's reach. A honeypot (literally translated as \"barrel of honey\") is a special server with a set of various network services and protocols such as HTTP, FTP, etc. (see Fig. 1).<\/p>\n

\"Honeypot<\/p>\n

If we connect several honeypots <\/strong>into a network, we will obtain a more efficient system honeynet<\/strong>, which represents an emulation of the company's corporate network (web server, file server, and other network components). This solution allows us to understand the attackers' strategies and mislead them. A typical honeynet usually operates in parallel with the working network and is completely independent of it. Such a \"network\" can be published on the Internet through a separate channel, and a separate range of IP addresses can also be allocated for it (see Fig. 2).<\/p>\n

\"Honeypot<\/p>\n

The purpose of implementing a honeynet is to show the hacker that he has supposedly penetrated the organization's corporate network, while, in reality, the attacker is in an \"isolated environment\" and under close observation by information security specialists (see Fig. 3).<\/p>\n

\"Honeypot<\/p>\n

It is also worth mentioning a tool called \"sandbox<\/strong>\" (English, til v\u00e6rdien allow-downloads eller allow-downloads-without-user-activation.<\/strong>), which allows attackers to install and run malicious programs in an isolated environment where IT specialists can monitor their actions to identify potential risks and take necessary countermeasures. Nowadays, sandboxing is typically implemented on dedicated virtual machines on a virtual host. However, it is important to note that sandboxing only shows how dangerous and malicious programs behave, while a honeynet helps specialists analyze the behavior of \"dangerous players.\" <\/p>\n

Den \u00e5benlyse fordel ved honeynets er, at de vildleder angribere ved at spilde deres kr\u00e6fter, ressourcer og tid. Som f\u00f8lge heraf angriber de falske m\u00e5l i stedet for reelle og kan stoppe angrebet p\u00e5 netv\u00e6rket uden at opn\u00e5 noget. Ofte bruges honeynet-teknologier i regeringsinstitutioner og store virksomheder, finansielle organisationer, da disse strukturer ofte bliver m\u00e5l for store cyberangreb. Dog har sm\u00e5 og mellemstore virksomheder (SMB) ogs\u00e5 brug for effektive v\u00e6rkt\u00f8jer til at forebygge IKT-h\u00e6ndelser, men det er ikke s\u00e5 let at bruge honeynets i SMB-sektoren p\u00e5 grund af manglen p\u00e5 kvalificeret personale til s\u00e5 komplekst arbejde.<\/p>\n

Begr\u00e6nsningerne ved l\u00f8sninger som Honeypots og Honeynets<\/u><\/strong><\/p>\n

Hvorfor er honeypots og honeynets ikke de bedste l\u00f8sninger til at im\u00f8deg\u00e5 angreb i dag? Det skal n\u00e6vnes, at angrebene bliver mere og mere omfattende, teknisk avancerede og kan for\u00e5rsage alvorlige skader p\u00e5 organisationens IT-infrastruktur, og cyberkriminalitet er n\u00e5et et helt nyt niveau og repr\u00e6senterer h\u00f8jt organiserede skyggeforretningsstrukturer, udstyret med alle n\u00f8dvendige ressourcer. Desuden skal vi tage h\u00f8jde for den \"menneskelige faktor\" (fejl i konfigurationen af software og hardware, insiderhandlinger, osv.), s\u00e5 alene anvendelsen af teknologi til at forhindre angreb er i \u00f8jeblikket ikke tilstr\u00e6kkeligt. <\/p>\n

Nedenfor vil vi liste de vigtigste begr\u00e6nsninger og ulemper ved honeypots (honeynets):<\/p>\n

    \n
  1. \n

    \"Honeypots\" blev oprindeligt udviklet til at identificere trusler, der befinder sig uden for det virksomhedens netv\u00e6rk, og er snarere beregnet til at analysere angriberes adf\u00e6rd end til hurtig reaktion p\u00e5 trusler. <\/p>\n<\/li>\n

  2. \n

    Angribere er generelt allerede blevet dygtige til at genkende emulerede systemer og undg\u00e5 honeypots. <\/p>\n<\/li>\n

  3. \n

    Honeynets (honeypots) har en ekstremt lav grad af interaktivitet og interaktion med andre sikkerhedssystemer, hvilket g\u00f8r det sv\u00e6rt at indsamle detaljerede oplysninger om angrebene og angriberne, og dermed reagere effektivt og hurtigt p\u00e5 IKT-h\u00e6ndelser. Desuden f\u00e5r IKT-specialister en stor m\u00e6ngde falske trusselalarmer. <\/p>\n<\/li>\n

  4. \n

    I nogle tilf\u00e6lde kan hackere bruge et kompromitteret honeypot som udgangspunkt for at forts\u00e6tte angrebet p\u00e5 organisationens netv\u00e6rk. <\/p>\n<\/li>\n

  5. \n

    Der opst\u00e5r ofte problemer med skalerbarheden af honeypots, h\u00f8j driftsbelastning og konfiguration af s\u00e5danne systemer (de kr\u00e6ver h\u00f8jt kvalificerede specialister, har ikke et brugervenligt administrationsinterface osv.). Der er store vanskeligheder med at implementere honeypots i specialiserede milj\u00f8er s\u00e5som IoT, POS, cloudsystemer osv.<\/p>\n<\/li>\n<\/ol>\n

    2. Deception-teknologi: fordele og grundl\u00e6ggende arbejdsprincipper<\/h2>\n

    Efter at have unders\u00f8gt alle fordele og ulemper ved honeypots konkluderer vi, at der er behov for en helt ny tilgang til reaktion p\u00e5 IT-sikkerhedsh\u00e6ndelser for at sikre en hurtig og passende respons p\u00e5 angribernes handlinger. Og denne l\u00f8sning er teknologi. Cyber deception (Security deception)<\/strong>. <\/p>\n

    Terminologien «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) er relativt ny og blev ikke introduceret for l\u00e6nge siden. Faktisk betyder alle disse termer brugen af «bedrageriteknologier» eller «teknikker til imitation af IT-infrastruktur og misinformation til angribere». De simpleste Deception-l\u00f8sninger er udvikling af id\u00e9erne bag honeypots, men p\u00e5 et mere teknologisk avanceret niveau, som indeb\u00e6rer st\u00f8rre automatisering af trusselsopdagelse og reaktion. Dog findes der allerede seri\u00f8se DDP-l\u00f8sninger p\u00e5 markedet, som muligg\u00f8r nem implementering og skalerbarhed, samt har et v\u00e6ld af «f\u00e6lder» og «lokkemidler» til angriberne. For eksempel tillader Deception at emulere s\u00e5danne objekter i IT-infrastrukturen som databaser, arbejdsstationer, routere, switches, pengeautomater, servere og SCADA, medicinsk udstyr og IoT. <\/p>\n

    Hvordan fungerer «Distributed Deception Platform»? Efter implementeringen af DDP vil organisationens IT-infrastruktur v\u00e6re opbygget som om den best\u00e5r af to lag: det f\u00f8rste lag \u2014 den reelle infrastruktur i virksomheden, og det andet \u2014 en «emuleret» milj\u00f8 best\u00e5ende af f\u00e6lder (engelsk, decoys, traps) og lokkemidler (engelsk, lures), der er placeret p\u00e5 de faktiske fysiske enheder i netv\u00e6rket (se fig. 4).<\/p>\n

    \"Honeypot<\/p>\n

    For example, an attacker might discover fake databases with \"confidential documents\" or forged credentials supposedly from \"privileged users\" \u2014 all of these are false targets that could attract intruders, thus diverting their attention from the company's real information assets (see Fig. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP is a new product in the cybersecurity market, with solutions only a few years old, and currently only the corporate sector can afford them. However, small and medium businesses will soon also be able to take advantage of Deception by renting DDP from specialized providers as a service. This option is even more convenient since there is no need for in-house highly qualified personnel.<\/p>\n

    Below are the main advantages of Deception technology:<\/p>\n