Auf Habré gibt es bereits einige Artikel über Honeypot- und Deception-Technologien (, ). Dennoch sind wir nach wie vor mit einem Unverständnis der Unterschiede zwischen diesen Schutzklassen konfrontiert. Daher haben unsere Kollegen von (der erste russische Entwickler ) beschlossen, die Unterschiede, Vorteile und architektonischen Besonderheiten dieser Lösungen ausführlich zu beschreiben.
Schauen wir uns an, was „Honeypots“ und „Deception“ sind:
„Deception-Technologien“ (engl. Deception technology) sind relativ neu auf dem Markt für Informationssicherheit. Dennoch glauben einige Fachleute, dass Security Deception nur eine weiterentwickelte Version von Honeypots ist (engl. honeypot).
In diesem Artikel werden wir sowohl die Ähnlichkeiten als auch die grundlegenden Unterschiede dieser beiden Lösungen beleuchten. Im ersten Teil werden wir über Honeypots sprechen, wie sich diese Technologie entwickelt hat und welche Vorteile und Nachteile sie hat. Im zweiten Teil werden wir uns detailliert mit den Arbeitsprinzipien von Plattformen zur Erstellung einer verteilten Infrastruktur für falsche Ziele (engl. Distributed Deception Platform — DDP) befassen.
Das grundlegende Prinzip hinter Honeypots besteht darin, Fallen für Hacker zu schaffen. Nach diesem Prinzip wurden auch die ersten Deception-Lösungen entwickelt. Moderne DDP übertreffen jedoch die Honeypots erheblich in Funktionalität und Effektivität. Deception-Plattformen umfassen: Fallen (engl. decoys, traps), Köder (engl. lures), Anwendungen, Daten, Datenbanken und Active Directory. Moderne DDP bieten umfassende Möglichkeiten zur Bedrohungserkennung, Analyse von Angriffen und Automatisierung von Reaktionen.
Somit stellen Deception-Techniken eine Nachahmung der IT-Infrastruktur eines Unternehmens dar und täuschen Hacker. Dadurch ermöglichen solche Plattformen, Angriffe zu stoppen, bevor erheblicher Schaden an den Vermögenswerten des Unternehmens entsteht. Honeypots bieten selbstverständlich nicht denselben Funktionsumfang und Automatisierungsgrad, weshalb ihre Anwendung eine höhere Qualifikation der Mitarbeiter in den Abteilungen für Informationssicherheit erfordert.
1. Honeypots, Honeynets und Sandboxing: Was ist das und wie wird es angewendet?
Der Begriff „Honeypots“ wurde erstmals 1989 in Clifford Stolls Buch „The Cuckoo’s Egg“ verwendet, das Ereignisse zur Verfolgung eines Hackers im Lawrence Berkeley National Laboratory (USA) beschreibt. Praktisch wurde diese Idee 1999 von Lance Spitzner, einem Cybersicherheits-Experten bei Sun Microsystems, realisiert, der das Forschungsprojekt „Honeynet Project“ ins Leben rief. Die ersten Honeypots waren sehr ressourcenintensiv und kompliziert in der Einrichtung und Wartung.
Lassen Sie uns genauer betrachten, was Honeypots und Honeynets. Honeypots sind separate Hosts, deren Zweck es ist, Angreifer anzuziehen, um in das Netz des Unternehmens einzudringen und wertvolle Daten zu stehlen sowie die Reichweite des Netzwerks zu erweitern. Ein Honeypot (wörtlich übersetzt als „Honigfass“) ist ein spezieller Server mit einer Reihe von verschiedenen Netzwerkdiensten und -protokollen wie HTTP, FTP usw. (siehe Abb. 1).
Wenn wir mehrere Honeypots in ein Netzwerk integrieren, erhalten wir ein noch effektiveres System Honeynet, die eine Emulation eines Unternehmensnetzwerks (Webserver, Dateiserver und andere Netzwerkkomponenten) darstellt. Diese Lösung ermöglicht es, die Strategien von Angreifern zu verstehen und sie in die Irre zu führen. Ein typisches Honeynet arbeitet normalerweise parallel zu einem Arbeitsnetzwerk und völlig unabhängig davon. Ein solches "Netzwerk" kann über einen separaten Kanal ins Internet veröffentlicht werden, und es kann auch ein separater IP-Adressbereich dafür zugewiesen werden (siehe Abbildung 2).
Der Sinn der Verwendung eines Honeynets besteht darin, dem Hacker zu zeigen, dass er angeblich in das Unternehmensnetzwerk der Organisation eingedrungen ist, während er sich tatsächlich in einer "isolierten Umgebung" befindet und unter genauer Beobachtung von IT-Sicherheitsspezialisten steht (siehe Abbildung 3).
Hier sollte auch ein solches Mittel wie "Sandbox" (engl. , der Wert allow-downloads oder allow-downloads-without-user-activation zugewiesen werden.), die es Angreifern ermöglicht, schadhafte Programme in einer isolierten Umgebung zu installieren und auszuführen, in der IT-Experten ihre Aktivitäten überwachen können, um potenzielle Risiken zu erkennen und erforderliche Gegenmaßnahmen zu ergreifen. Derzeit wird Sandbox-Umgebungen in der Regel auf dedizierten virtuellen Maschinen auf einem virtuellen Host implementiert. Es ist jedoch wichtig zu beachten, dass die Sandbox nur zeigt, wie sich gefährliche und schadhafte Programme verhalten, während ein Honeynet dem Fachmann hilft, das Verhalten von „gefährlichen Akteuren“ zu analysieren.
Der offensichtliche Nutzen von Honeynets liegt darin, dass sie Angreifer irreführen, indem sie deren Kräfte, Ressourcen und Zeit erschöpfen. Infolgedessen greifen sie anstatt echter Ziele falsche an und können die Angriffe auf das Netzwerk abbrechen, ohne etwas erreicht zu haben. Am häufigsten werden Honeynet-Technologien in Regierungsbehörden und großen Unternehmen sowie in Finanzorganisationen eingesetzt, da diese Strukturen oft Ziel großangelegter Cyberangriffe sind. jedoch auch kleine und mittlere Unternehmen (KMU) benötigen effektive Werkzeuge zur Verhinderung von IT-Sicherheitsvorfällen. Der Einsatz von Honeynets im KMU-Sektor ist jedoch nicht einfach, da es an qualifiziertem Personal für diese komplexe Aufgabe mangelt.
Die Begrenzung von Honeypot- und Honeynet-Lösungen
Warum sind Honeypots und Honeynets heutzutage nicht die besten Lösungen zur Bekämpfung von Angriffen? Es ist zu beachten, dass die Angriffe immer umfangreicher und technisch komplexer werden und erhebliche Schäden an der IT-Infrastruktur von Unternehmen verursachen können. Cyberkriminalität hat ein völlig neues Niveau erreicht und stellt hochorganisierte Schattenbusiness-Strukturen dar, die mit allen notwendigen Ressourcen ausgestattet sind. Hinzu kommt der "menschliche Faktor" (Fehler bei der Konfiguration von Software und Hardware, Handlungen von Insidern usw.). Daher genügt es derzeit nicht mehr, sich ausschließlich auf Technologien zur Bekämpfung von Angriffen zu verlassen.
Im Folgenden werden die wichtigsten Einschränkungen und Nachteile von Honeypots (Honeynets) aufgelistet:
Honeypots wurden ursprünglich entwickelt, um Bedrohungen außerhalb des Unternehmensnetzwerks zu identifizieren, sie sind eher auf die Analyse des Verhaltens von Angreifern ausgelegt und nicht für eine schnelle Reaktion auf Bedrohungen optimiert.
Angreifer haben in der Regel bereits gelernt, emulierte Systeme zu erkennen und Honeypots zu meiden.
Honeynets (Honeypots) weisen ein extrem niedriges Maß an Interaktivität und Interaktion mit anderen Sicherheitssystemen auf, was es schwierig macht, umfassende Informationen über Angriffe und Angreifer zu erhalten. Dies beeinträchtigt die effektive und schnelle Reaktion auf IT-Sicherheitsvorfälle. Darüber hinaus erhalten IT-Sicherheitsspezialisten eine große Anzahl falscher Bedrohungswarnungen.
In einigen Fällen können Hacker einen kompromittierten Honeypot als Ausgangspunkt für einen fortgesetzten Angriff auf das Netzwerk der Organisation nutzen.
Häufig treten Probleme mit der Skalierbarkeit von Honeypots auf, die durch hohe operative Belastung und Konfiguration solcher Systeme entstehen (sie erfordern hochqualifizierte Fachkräfte und bieten keine benutzerfreundliche Verwaltungsoberfläche usw.). Darüber hinaus gibt es erhebliche Schwierigkeiten beim Einsatz von Honeypots in spezialisierten Umgebungen wie IoT, POS, Cloud-Systemen usw.
2. Betrugstechnologie: Vorteile und grundlegende Funktionsprinzipien
Nach der Untersuchung aller Vor- und Nachteile von Honeypots kommen wir zu dem Schluss, dass es einen völlig neuen Ansatz zur Reaktion auf IT-Sicherheitsvorfälle benötigt, um schnelle und angemessene Antworten auf die Handlungen von Angreifern zu entwickeln. Und eine solche Lösung sind Technologien. Cyber-Deception (Sicherheitsdeception).
Die Terminologie "Cyber deception", "Security deception", "Deception technology" und "Distributed Deception Platform" (DDP) ist relativ neu und hat in der letzten Zeit an Bedeutung gewonnen. Tatsächlich beziehen sich all diese Begriffe auf die Nutzung von "Täuschungstechnologien" oder "Techniken zur Simulation von IT-Infrastruktur und zur Desinformation von Angreifern". Die einfachsten Deception-Lösungen basieren auf den Ideen von Honeypots, jedoch auf einem technologisch fortgeschritteneren Niveau, das eine größere Automatisierung bei der Bedrohungserkennung und -reaktion vorsieht. Dennoch gibt es auf dem Markt bereits ernsthafte DDP-Lösungen, die eine einfache Implementierung und Skalierung ermöglichen und über ein umfangreiches Arsenal an "Fallen" und "Lockstoffen" für Angreifer verfügen. Zum Beispiel ermöglicht Deception die Emulation solcher IT-Infrastruktur-Objekte wie Datenbanken, Arbeitsstationen, Router, Switches, Geldautomaten, Server, SCADA, medizinische Geräte und IoT.
Wie funktioniert die „Distributed Deception Platform“? Nach der Implementierung der DDP wird die IT-Infrastruktur des Unternehmens in zwei Ebenen aufgeteilt: Die erste Ebene ist die reale Infrastruktur des Unternehmens, während die zweite Ebene aus einer „emulierten“ Umgebung besteht, die aus Fallen und Ködern besteht, die auf echten physischen Geräten im Netzwerk platziert sind (siehe Abb. 4).
Zum Beispiel kann ein Angreifer falsche Datenbanken mit „vertraulichen Dokumenten“ oder gefälschte Anmeldedaten angeblicher „privilegierter Benutzer“ entdecken – all dies sind falsche Ziele, die das Interesse der Angreifer wecken können, wodurch sie von den tatsächlichen Informationen des Unternehmens abgelenkt werden (siehe Abb. 5).
Die DDP ist ein Neuling auf dem Markt für Sicherheitsprodukte, diese Lösungen sind erst seit einigen Jahren verfügbar und bislang können sie sich nur große Unternehmen leisten. Aber auch kleine und mittelständische Unternehmen werden bald in der Lage sein, Deception zu nutzen, indem sie DDP bei spezialisierten Anbietern „als Dienstleistung“ mieten. Diese Option ist sogar bequemer, da es nicht notwendig ist, eigene hochqualifizierte Fachkräfte zu beschäftigen.
Im Folgenden sind die wichtigsten Vorteile der Deception-Technologie aufgeführt:
Echtheit (Authentizität). Die Deception-Technologie kann eine vollständig authentische IT-Umgebung eines Unternehmens reproduzieren, indem sie Betriebssysteme, IoT, POS, spezialisierte Systeme (medizinische, industrielle usw.), Dienstleistungen, Anwendungen, Anmeldedaten usw. qualitativ emuliert. Die Täuschungsfallen werden sorgfältig mit der Arbeitsumgebung vermischt, sodass ein Angreifer sie nicht als Honeypots identifizieren kann.
Implementierung. DDP nutzt maschinelles Lernen (engl. machine learning, ML) in seiner Arbeit. Mit Hilfe von ML wird die Einfachheit, Flexibilität in den Einstellungen und die Effizienz der Implementierung von Deception gewährleistet. Die „Fallen“ und „Attraktionen“ werden sehr schnell aktualisiert und ziehen den Angreifer in die „falsche“ IT-Infrastruktur des Unternehmens, während gleichzeitig fortschrittliche KI-basierte Analysesysteme aktive Hackeraktivitäten erkennen und verhindern können (z. B. den Versuch des Zugriffs auf das Active Directory basierend auf gefälschten Anmeldedaten).
Benutzerfreundlichkeit. Moderne „Distributed Deception Platformen“ sind einfach zu warten und zu verwalten. In der Regel werden sie über ein lokales oder cloudbasiertes Dashboard gesteuert und bieten Integrationsmöglichkeiten mit Corporate SOC (Security Operations Center) über APIs sowie mit vielen bestehenden Sicherheitsüberwachungslösungen. Für den Betrieb und die Verwaltung von DDP sind keine hochqualifizierten Cybersicherheitsexperten erforderlich.
Skalierbarkeit. Security Deception kann in physischen, virtuellen und Cloud-Umgebungen implementiert werden. DDP funktionieren erfolgreich auch in spezialisierten Umgebungen wie IoT, ICS, POS, SWIFT usw. Fortschrittliche Deception-Plattformen können „Täuschungstechnologien“ auch auf entfernte Büros und isolierte Umgebungen projizieren, ohne dass eine vollständige zusätzliche Bereitstellung der Plattform erforderlich ist.
Interaktion. Durch den Einsatz effektiver und ansprechender Täuschungsmechanismen (decoys), die auf realen Betriebssystemen basieren und clever in der echten IT-Infrastruktur platziert sind, sammelt die Deception-Plattform umfassende Informationen über Angreifer. Anschließend sichert DDP die Übertragung von Bedrohungswarnungen, erstellt Berichte und ermöglicht automatisierte Reaktionen auf Cybersicherheitsvorfälle.
Angriffspunkt. In modernen Deception-Systemen werden Fallen und Köder innerhalb des Netzbereichs platziert und nicht außerhalb (wie bei Honeypots). Dieses Modell der Bereitstellung von Fallen ermöglicht es einem Angreifer nicht, diese als Ausgangspunkt für einen Angriff auf die tatsächliche IT-Infrastruktur des Unternehmens zu nutzen. In fortschrittlicheren Deception-Lösungen gibt es Möglichkeiten zur Traffic-Routing, sodass der gesamte Angreifertraffic über eine speziell eingerichtete Verbindung geleitet werden kann. Dadurch kann die Aktivität der Angreifer analysiert werden, ohne dass die wertvollen Vermögenswerte des Unternehmens gefährdet werden.
Überzeugungskraft der Deception-Technologien. In der Anfangsphase des Angriffs sammeln und analysieren die Angreifer Daten über die IT-Infrastruktur und nutzen diese, um sich in das Unternehmensnetzwerk horizontal vorzubewegen. Mit Hilfe von „Täuschungstechnologien“ wird der Angreifer zwangsläufig in „Fallen“ geraten, die ihn von den realen Vermögenswerten der Organisation ablenken. DDP wird potenzielle Zugriffswege zu den Anmeldedaten im Unternehmensnetzwerk analysieren und dem Angreifer „falsche Ziele“ anstelle der echten Anmeldedaten bereitstellen. Diese Möglichkeiten haben den Honeypot-Technologien sehr gefehlt. (Siehe Abb. 6).
Täuschung vs. Honeypot
Und schließlich kommen wir zum interessantesten Punkt unserer Untersuchung. Lassen Sie uns die wichtigsten Unterschiede zwischen den Technologien Deception und Honeypot herausarbeiten. Trotz gewisser Ähnlichkeiten unterscheiden sich diese beiden Technologien stark, beginnend mit der grundlegenden Idee bis hin zur Effizienz ihrer Funktionsweise.
Verschiedene grundlegende Ideen. Wie bereits erwähnt, werden Honeypots als "Lockmittel" rund um wertvolle Unternehmensressourcen (außerhalb des Unternehmensnetzwerks) eingerichtet, um Angreifer abzulenken. Die Honeypot-Technologie basiert auf dem Verständnis der Infrastruktur der Organisation, jedoch können sie auch ein Ausgangspunkt für einen Angriff auf das Unternehmensnetzwerk werden. Die Deception-Technologie wurde aus der Perspektive des Angreifers entwickelt und ermöglicht es, einen Angriff in der frühen Phase zu identifizieren, sodass die IT-Sicherheitsspezialisten einen erheblichen Vorteil gegenüber Angreifern erhalten und wertvolle Zeit gewinnen.
"Anziehen" VS "Verwirren". Bei der Verwendung von Honeypots hängt der Erfolg davon ab, die Aufmerksamkeit der Angreifer zu gewinnen und sie weiter zu motivieren, das Ziel im Honeypot zu erreichen. Das bedeutet, dass der Angreifer tatsächlich zum Honeypot gelangen muss, und erst dann können Sie ihn aufhalten. So kann die Präsenz von Angreifern im Netzwerk Monate oder länger bestehen bleiben, was zu Datenlecks und Schäden führen kann. DDP simulieren qualitativ die tatsächliche IT-Infrastruktur eines Unternehmens, mit dem Ziel, nicht nur die Aufmerksamkeit des Angreifers zu erregen, sondern ihn auch zu verwirren, damit er Zeit und Ressourcen verschwendet, ohne Zugang zu den echten Vermögenswerten des Unternehmens zu erhalten.
„Begrenzte Skalierbarkeit“ VS „automatische Skalierbarkeit“. Wie bereits erwähnt, haben Honeypots und Honeynets Skalierungsprobleme. Das ist kompliziert und kostspielig, und um die Anzahl der Honeypots in einem Unternehmenssystem zu erhöhen, müssen neue Computer, Betriebssysteme hinzugefügt, Lizenzen gekauft und IPs bereitgestellt werden. Darüber hinaus benötigt man auch qualifiziertes Personal zur Verwaltung solcher Systeme. Deception-Plattformen werden automatisch bereitgestellt, während die Infrastruktur skaliert, ohne nennenswerte Gemeinkosten.
„Eine große Anzahl von Fehlalarmen“ VS „keine Fehlalarme“. Das Kernproblem besteht darin, dass selbst ein einfacher Benutzer auf einen Honeypot stoßen kann, weshalb die „Kehrseite“ dieser Technologie eine große Anzahl von Fehlalarmen ist, die die IT-Sicherheitsspezialisten von ihrer Arbeit ablenken. Die „Köder“ und „Fallen“ im DDP sind sorgfältig vor dem einfachen Benutzer verborgen und nur auf den Angreifer ausgerichtet, sodass jedes Signal von einem solchen System eine Benachrichtigung über eine reale Bedrohung und kein Fehlalarm ist.
Fazit
Wir sind der Ansicht, dass die Deception-Technologie einen großen Fortschritt im Vergleich zur älteren Honeypot-Technologie darstellt. Tatsächlich hat sich DDP zu einer umfassenden Sicherheitsplattform entwickelt, die einfach zu implementieren und zu verwalten ist.
Moderne Plattformen dieser Art spielen eine wesentliche Rolle bei der genauen Erkennung und effektiven Reaktion auf Netzwerkbedrohungen, während ihre Integration mit anderen Komponenten des Sicherheitsstacks das Automatisierungsniveau erhöht und die Effizienz sowie die Wirksamkeit der Incident-Response verbessert. Deception-Plattformen basieren auf Authentizität, Skalierbarkeit, einfacher Verwaltung und Integration mit anderen Systemen. All dies verschafft einen erheblichen Vorteil in der Reaktionsgeschwindigkeit auf IT-Sicherheitsvorfälle.
Basierend auf den Beobachtungen von Penetrationstests in Unternehmen, in denen die Xello Deception-Plattform implementiert oder getestet wurde, lässt sich feststellen, dass selbst erfahrene Penetrationstester oft die Lockmittel im Unternehmensnetzwerk nicht erkennen und auf die gestellten Fallen hereinfallen. Dieses Fakt bestätigt erneut die Effektivität von Deception und die großen Perspektiven, die sich für diese Technologie in der Zukunft eröffnen.
Produkt-Test
Wenn Sie sich für die Deception-Plattformen interessieren, sind wir bereit .
Folgen Sie unseren Updates auf unseren Kanälen (, , , )!
Quelle: habr.com
