Auf Habr gibt es bereits mehrere Artikel über die Technologien Honeypot und Deception (, ). Dennoch stoßen wir immer noch auf Unverständnis über die Unterschiede zwischen diesen Klassen von Schutzmitteln. Aus diesem Grund haben unsere Kollegen von (der erste russische Entwickler ) beschlossen, die Unterschiede, Vorteile und architektonischen Merkmale dieser Lösungen ausführlich zu beschreiben.
Разберемся что же такое «ханипоты» и «десепшены»:
«Технологии обмана» (англ., Deception technology) появились на рынке систем информационной безопасности относительно недавно. Однако, некоторые специалисты до сих пор считают Security Deception всего лишь более продвинутыми «ханипот» (англ., honeypot).
In diesem Artikel werden wir sowohl die Ähnlichkeiten als auch die grundlegenden Unterschiede dieser beiden Lösungen beleuchten. Im ersten Teil werden wir über „Honeypots“ sprechen, wie sich diese Technologie entwickelt hat und welche Vor- und Nachteile sie hat. Im zweiten Teil werden wir uns ausführlich mit den Funktionsprinzipien von Plattformen zur Erstellung von verteilten Infrastrukturen für falsche Ziele (engl. Distributed Deception Platform – DDP) befassen.
Das grundlegende Prinzip von Honeypots besteht darin, Fallen für Hacker zu erstellen. Auf demselben Prinzip basieren auch die ersten Lösungen von Deception. Moderne DDP übertreffen jedoch Honeypots sowohl in ihrer Funktionalität als auch in ihrer Effizienz erheblich. Deception-Plattformen umfassen: Fallen (engl. decoys, traps), Köder (engl. lures), Anwendungen, Daten, Datenbanken, Active Directory. Moderne DDP können umfangreiche Möglichkeiten zur Bedrohungserkennung, Angriffsanalyse und zur Automatisierung von Reaktionen bieten.
Somit stellen Deception-Techniken Imitationen der IT-Infrastruktur eines Unternehmens dar und führen Hacker in die Irre. Dadurch ermöglichen solche Plattformen es, Angriffe zu stoppen, bevor erheblicher Schaden an den Unternehmenswerten entsteht. Honeypots verfügen selbstverständlich nicht über eine so umfangreiche Funktionalität und Automatisierungsgrad, wodurch ihre Anwendung eine höhere Qualifikation von den Mitarbeitern der Informationssicherheitsabteilungen erfordert.
1. Honeypots, Honeynets und Sandboxing: Was ist das und wie wird es angewendet?
Впервые, термин «honeypots» был использован в 1989 году в книге Клиффорда Столла «The Cuckoo’s Egg», в которой описаны события по отслеживанию хакера в Национальной лаборатории Лоренса Беркли (США). На практике эта идея была воплощена в 1999 году Лэнсом Спицнером (Lance Spitzner), специалистом по ИБ компании Sun Microsystems, который основал исследовательский проект «Honeynet Project». Первые ханипоты были очень ресурсоемкими, сложными в настройке и обслуживании.
Lassen Sie uns genauer betrachten, was Honeypots und Honeynets. Honeypots sind separate Hosts, deren Zweck es ist, Angreifer anzuziehen, um in das Netzwerk eines Unternehmens einzudringen und zu versuchen, wertvolle Daten zu stehlen, sowie die Reichweite des Netzwerks zu erweitern. Ein Honeypot (wörtlich übersetzt als „Honigtopf“) ist ein spezieller Server mit einer Vielzahl verschiedener Netzwerkdienste und -protokolle wie HTTP, FTP usw. (siehe Abb. 1).
Wenn man mehrere Honeypots zu einem Netzwerk verbindet, erhält man ein deutlich effektiveres System Honeynet, das eine Emulation des Unternehmensnetzwerks darstellt (Webserver, Dateiserver und andere Netzwerkkomponenten). Diese Lösung ermöglicht es, die Strategie der Angreifer zu verstehen und sie in die Irre zu führen. Typischerweise arbeitet ein Honeynet parallel zu einem Unternehmensnetzwerk und ist völlig unabhängig davon. Solch ein „Netzwerk“ kann über einen separaten Kanal im Internet veröffentlicht werden, und es können auch separate IP-Adressbereiche dafür zugewiesen werden (siehe Abb. 2).
Der Zweck der Verwendung eines Honeynets besteht darin, dem Hacker zu zeigen, dass er angeblich in das Unternehmensnetzwerk der Organisation eingedrungen ist, während sich der Angreifer in einer „isolierten Umgebung“ befindet und von IT-Sicherheitsspezialisten genau überwacht wird (siehe Abb. 3).
Hier sollte auch eines der Mittel erwähnt werden, wie z. B. „Sandkasten“ (eng., sandbox), das es Angreifern ermöglicht, schadhafte Software in einer isolierten Umgebung zu installieren und auszuführen, in der IT-Spezialisten ihre Aktivitäten zur Identifizierung potenzieller Risiken überwachen und die erforderlichen Gegenmaßnahmen ergreifen können. Derzeit wird Sandboxing in der Regel auf dedizierten virtuellen Maschinen auf einem virtuellen Host umgesetzt. Es ist jedoch zu beachten, dass Sandboxing nur zeigt, wie sich gefährliche und schädliche Programme verhalten, während ein Honeynet dem Spezialisten hilft, das Verhalten der „gefährlichen Akteure“ zu analysieren.
Der offenkundige Nutzen von Honeynets besteht darin, dass sie Angreifer in die Irre führen, indem sie deren Kräfte, Ressourcen und Zeit verschwenden. Dadurch greifen sie statt auf echte Ziele falsche an und können die Angriffe auf das Netzwerk einstellen, ohne etwas erreicht zu haben. Honeynets werden häufig in Regierungsbehörden und großen Unternehmen sowie in Finanzorganisationen eingesetzt, da gerade diese Strukturen Ziel großangelegter Cyberangriffe sind. Allerdings benötigen auch kleine und mittelständische Unternehmen (KMU) effektive Werkzeuge zur Verhinderung von IT-Sicherheitsvorfällen, wobei es jedoch aufgrund des Mangels an qualifiziertem Personal für diese komplexe Arbeit nicht so einfach ist, Honeynets im KMU-Sektor zu nutzen.
Einschränkungen von Honeypots und Honeynets
Warum sind Honeypots und Honeynets heutzutage nicht die besten Lösungen zur Bekämpfung von Angriffen? Es sei darauf hingewiesen, dass Angriffe immer umfangreicher, technisch komplexer und in der Lage sind, schwerwiegende Schäden an der IT-Infrastruktur einer Organisation zu verursachen. Cyberkriminalität hat ein ganz anderes Niveau erreicht und stellt hochorganisierte Schattengeschäftsstrukturen dar, die mit allen notwendigen Ressourcen ausgestattet sind. Hinzu kommt der "menschliche Faktor" (Fehler bei der Konfiguration von Software und Hardware, Handlungen von Insidern usw.), weshalb der Einsatz alleiniger Technologien zur Verhinderung von Angriffen derzeit nicht mehr ausreicht.
Im Folgenden sind die wichtigsten Einschränkungen und Nachteile von Honeypots (Honeynets) aufgelistet:
Honeypots wurden ursprünglich entwickelt, um Bedrohungen zu identifizieren, die außerhalb des Unternehmensnetzwerks liegen. Sie sind eher auf die Analyse des Verhaltens von Angreifern ausgelegt und nicht für eine schnelle Reaktion auf Bedrohungen konzipiert.
Angreifer haben in der Regel bereits gelernt, emulierte Systeme zu erkennen und Honeypots zu meiden.
Honeynets (Honeypots) bieten ein äußerst geringes Maß an Interaktivität und Interaktion mit anderen Sicherheitssystemen, weshalb es schwierig ist, umfassende Informationen über Angriffe und Angreifer zu erhalten und somit effektiv und schnell auf IT-Sicherheitsvorfälle zu reagieren. Darüber hinaus erhalten IT-Sicherheitsexperten eine Vielzahl von Fehlalarmen zu Bedrohungen.
In einigen Fällen können Hacker einen kompromittierten Honeypot als Ausgangspunkt für die Fortsetzung eines Angriffs auf das Netzwerk einer Organisation nutzen.
Es treten häufig Probleme mit der Skalierbarkeit von Honeypots, hoher Betriebslast und der Einrichtung solcher Systeme auf (sie erfordern hochqualifizierte Spezialisten, haben keine benutzerfreundliche Verwaltungsoberfläche usw.). Es bestehen große Schwierigkeiten bei der Bereitstellung von Honeypots in spezialisierten Umgebungen wie IoT, POS, Cloud-Systemen usw.
2. Täuschungstechnologie: Vorteile und grundlegende Funktionsprinzipien.
Nach der Analyse aller Vor- und Nachteile von Honeypots kommen wir zu dem Schluss, dass ein völlig neuer Ansatz für die Reaktion auf sicherheitsrelevante Vorfälle erforderlich ist, um eine schnelle und angemessene Antwort auf die Aktionen von Angreifern zu entwickeln. Und diese Lösung sind Technologien. Cyber-Deception (Sicherheitstäuschung).
Терминология «Сyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) относительно новая и появилась не так давно. Фактически, все эти термины означают использование «технологий обмана» или «техник имитации ИТ‑инфраструктуры и дезинформации злоумышленников». Самые простые решения Deception — это развитие идей honeypots, только на более технологически продвинутом уровне, который предполагает большую автоматизацию обнаружения угроз и реагирования на них. Однако на рынке уже есть серьезные решения класса DDP, которые предполагают легкость развертывания и масштабирования, а также располагают серьезным арсеналом «ловушек» и «приманок» для атакующих. К примеру, Deception позволяет эмулировать такие объекты ИТ-инфраструктуры, как базы данных, рабочие станции, маршрутизаторы, коммутаторы, банкоматы, серверы и SCADA, медицинское оборудование и IoT.
Как работает «Distributed Deception Platform»? После развертывания DDP, ИТ-инфраструктура организации будет выстроена как будто из двух слоев: первый слой — это реальная инфраструктура компании, а второй — это «эмулированная» среда, состоящая из ловушек (англ., decoys, traps) и приманок (англ., lures), которые расположены на реальных физических устройствах сети (см. рис. 4).
Ein Beispiel: Ein Angreifer kann gefälschte Datenbanken mit „vertraulichen Dokumenten“ oder gefälschte Anmeldeinformationen, die angeblich von „privilegierten Benutzern“ stammen, entdecken – all dies sind falsche Ziele, die die Aufmerksamkeit der Angreifer auf sich ziehen können, und somit von den tatsächlichen Informationswerten des Unternehmens ablenken (siehe Abb. 5).
DDP ist eine Neuheit auf dem Markt für Informationssicherheit. Diese Lösungen sind erst seit wenigen Jahren verfügbar und können bisher nur von Unternehmen genutzt werden. Aber auch kleine und mittlere Unternehmen werden bald in der Lage sein, Deception zu nutzen, indem sie DDP von spezialisierten Anbietern „als Dienstleistung“ anmieten. Diese Möglichkeit ist sogar noch bequemer, da kein Bedarf an eigenen hochqualifizierten Fachkräften besteht.
Im Folgenden sind die wichtigsten Vorteile der Deception-Technologie aufgeführt:
Authentizität. Die Deception-Technologie kann eine vollständig authentische IT-Umgebung des Unternehmens nachbilden und qualitativ hochwertige Emulationen von Betriebssystemen, IoT, POS, spezialisierten Systemen (medizinisch, industriell usw.), Services, Anwendungen, Anmeldeinformationen usw. erstellen. Fallen (decoys) werden sorgfältig mit der Arbeitsumgebung vermischt, und der Angreifer kann sie nicht als Honeypots identifizieren.
Einführung. DDP nutzen maschinelles Lernen (ML) in ihrer Arbeit. Mithilfe von ML wird die Einfachheit, Flexibilität in den Einstellungen und Effizienz bei der Implementierung von Deception gewährleistet. Fallen und „Lockmittel“ werden sehr schnell aktualisiert, wodurch der Angreifer in die „falsche“ IT-Infrastruktur des Unternehmens verwickelt wird, während gleichzeitig fortschrittliche KI-gestützte Analysesysteme aktive Hackeraktivitäten erkennen und verhindern können (z. B. den Versuch, auf das Active Directory auf Basis gefälschter Anmeldeinformationen zuzugreifen).
Betriebsfreundlichkeit. Современные «Distributed Deception Platform» просты в обслуживании и управлении. Как правило, они управляются через локальную или облачную консоль, есть возможности интеграции с корпоративным SOC (Security Operations Center) через API и со многими существующими средствами контроля безопасности. Для обслуживания и работы DDP не требуются услуги высококвалифицированных экспертов по ИБ.
Skalierbarkeit. Sicherheitsdeception kann in physischen, virtuellen und Cloud-Umgebungen implementiert werden. Das DDP funktioniert erfolgreich auch in spezialisierten Umgebungen wie IoT, ICS, POS, SWIFT usw. Ausgereifte Deception-Plattformen können "Täuschungstechnologien" auch in Remote-Büros und isolierten Umgebungen projizieren, ohne dass eine vollständige Plattformbereitstellung erforderlich ist.
Interaktion. Durch den Einsatz effektiver und ansprechender Lockmittel (Decoys), die auf echten Betriebssystemen basieren und geschickt in der realen IT-Infrastruktur platziert sind, sammelt die Deception-Plattform umfangreiche Informationen über den Angreifer. Anschließend liefert das DDP Bedrohungswarnungen, erzeugt Berichte und führt automatisierte Reaktionen auf Sicherheitsvorfälle durch.
Angriffsstartpunkt. In modernen Deception werden Fallen und Lockmittel innerhalb des Netzwerkbereichs platziert und nicht außerhalb (wie bei Honeypots). Ein solches Bereitstellungsmodell von Fallen verhindert, dass Angreifer diese als Ausgangspunkt für Angriffe auf die echte IT-Infrastruktur des Unternehmens nutzen. In fortschrittlicheren Deception-Lösungen gibt es Möglichkeiten zur Verkehrslenkung, sodass der gesamte Angreiferverkehr durch eine speziell zugeordnete Verbindung geleitet werden kann. Dies ermöglicht die Analyse der Aktivitäten von Angreifern, ohne wertvolle Unternehmensressourcen zu gefährden.
Überzeugungskraft der "Täuschungstechnologien". In der Anfangsphase eines Angriffs sammeln und analysieren Angreifer Daten über die IT-Infrastruktur, die sie dann für horizontale Bewegungen im Unternehmensnetzwerk nutzen. Dank der "Täuschungstechnologien" landet der Angreifer zwangsläufig in "Fallen", die ihn von den echten Werten der Organisation ablenken. Das DDP wird potenzielle Zugriffswege zu Anmeldedaten im Unternehmensnetzwerk analysieren und dem Angreifer "falsche Ziele" anstelle der echten Anmeldedaten präsentieren. Diese Funktionen fehlten den Honeypot-Technologien erheblich. (Siehe Abb. 6).
Deception vs. Honeypot
Und schließlich kommen wir zu dem interessantesten Punkt unserer Untersuchung. Lassen Sie uns die Hauptunterschiede zwischen den Technologien Deception und Honeypot herausarbeiten. Trotz gewisser Ähnlichkeiten unterscheiden sich diese beiden Technologien erheblich, angefangen bei der grundlegenden Idee bis hin zur Effizienz der Funktionsweise.
Verschiedene grundlegende Ideen. Wie bereits oben erwähnt, werden Honeypots als "Fallen" rund um wertvolle Unternehmensressourcen (außerhalb des Unternehmensnetzwerks) installiert, um Angreifer abzulenken. Die Honeypot-Technologie basiert auf einem Verständnis der Infrastruktur der Organisation, jedoch können Honeypots als Ausgangspunkt für einen Angriff auf das Unternehmensnetzwerk dienen. Die Deception-Technologie wurde aus der Perspektive des Angreifers entwickelt und ermöglicht es, einen Angriff in einem frühen Stadium zu identifizieren, wodurch die IT-Sicherheitsfachleute einen erheblichen Vorteil gegenüber den Angreifern erhalten und Zeit gewinnen.
"Anziehen" VS "Verwirren". Bei der Nutzung von Honeypots hängt der Erfolg davon ab, die Aufmerksamkeit der Angreifer zu erlangen und ihre Motivation aufrechtzuerhalten, um das Ziel im Honeypot zu erreichen. Das bedeutet, dass der Angreifer tatsächlich den Honeypot erreichen muss, und erst dann können Sie ihn stoppen. So kann die Anwesenheit von Angreifern im Netzwerk mehrere Monate oder länger fortbestehen, was zu Datenlecks und Schadensfällen führen kann. DDP imitiert die echte IT-Infrastruktur des Unternehmens qualitativ, ihr Ziel ist es nicht nur, die Aufmerksamkeit des Angreifers zu erregen, sondern ihn auch zu verwirren, sodass er Zeit und Ressourcen verschwendet, ohne Zugang zu den realen Unternehmensressourcen zu erhalten.
"Begrenzte Skalierbarkeit" VS "automatische Skalierbarkeit". Wie bereits angemerkt, haben Honeypots und Honeynets Skalierbarkeitsprobleme. Es ist kompliziert und kostspielig, und um die Anzahl der Honeypots im Unternehmenssystem zu erhöhen, müssen neue Computer, Betriebssysteme, Lizenzen und IP-Adressen hinzugefügt werden. Darüber hinaus muss qualifiziertes Personal zur Verwaltung solcher Systeme zur Verfügung stehen. Deception-Plattformen werden automatisch mit der Skalierung der Infrastruktur bereitgestellt, ohne nennenswerte Overhead-Kosten.
"Hohe Anzahl an Fehlalarmen" VS "keine Fehlalarme"Das Problem liegt darin, dass selbst ein einfacher Benutzer auf ein Honeypot stoßen kann. Daher besteht die „Kehrseite“ dieser Technologie in der großen Anzahl von Fehlalarmen, die die IT-Sicherheitsspezialisten von ihrer Arbeit ablenken. Die „Köder“ und „Fallen“ in DDP sind sorgfältig vor dem einfachen Benutzer verborgen und nur auf den Angreifer ausgelegt. Daher ist jedes Signal von einem solchen System eine Warnung vor einer echten Bedrohung und kein Fehlalarm.
Fazit
Nach unserer Ansicht ist die Deception-Technologie ein großer Fortschritt im Vergleich zur älteren Honeypot-Technologie. Im Wesentlichen ist DDP zu einer umfassenden Sicherheitsplattform geworden, die einfach zu implementieren und zu verwalten ist.
Moderne Plattformen dieser Klasse spielen eine wichtige Rolle bei der genauen Erkennung und effektiven Reaktion auf Netzwerkbedrohungen. Ihre Integration mit anderen Komponenten des Sicherheitsstacks erhöht den Automatisierungsgrad und verbessert die Effizienz und Wirksamkeit der Incident-Reaktion. Deception-Plattformen basieren auf Authentizität, Skalierbarkeit, einfacher Handhabung und Integration mit anderen Systemen. All dies bietet einen signifikanten Vorteil bei der Reaktionsgeschwindigkeit auf IT-Sicherheitsvorfälle.
Außerdem lässt sich aus Beobachtungen von Penetrationstests in Unternehmen, in denen die Xello Deception-Plattform eingeführt oder pilotiert wurde, schließen, dass erfahrene Pentester oft nicht in der Lage sind, die Köder im Unternehmensnetzwerk zu erkennen und scheitern, indem sie in die gestellten Fallen tappen. Diese Tatsache bestätigt erneut die Effektivität von Deception und das große Potenzial, das diese Technologie in der Zukunft eröffnet.
Produktprüfung
Wenn Sie an Deception-Plattformen interessiert sind, sind wir bereit .
Bleiben Sie über Updates in unseren Kanälen informiert (, , , )!
Quelle: habr.com
