{"id":30311,"date":"2019-10-31T21:34:49","date_gmt":"2019-10-31T18:34:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/analiz-atak-na-hanipot-cowrie\/"},"modified":"2019-10-31T21:34:49","modified_gmt":"2019-10-31T18:34:49","slug":"analiz-atak-na-hanipot-cowrie","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/analiz-atak-na-hanipot-cowrie","title":{"rendered":"Analyse von Angriffen auf das Honeypot Cowrie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Statistiken f\u00fcr die letzten 24 Stunden nach der Installation des Honeypots auf dem Digital Ocean-Knoten in Singapur<\/b> <\/p>\n

Piu-piu! Lassen Sie uns gleich mit der Angriffs\u00fcbersicht beginnen<\/h1>\n

\nUnsere gro\u00dfartige Karte zeigt die einzigartigen ASNs, die in den letzten 24 Stunden eine Verbindung zu unserem Cowrie-Honeypot hergestellt haben. Gelb steht f\u00fcr SSH-Verbindungen und Rot f\u00fcr Telnet. Solche Animationen beeindrucken h\u00e4ufig den Vorstand, was dazu beitr\u00e4gt, mehr Mittel f\u00fcr Sicherheit und Ressourcen zu sichern. Dennoch hat die Karte ihren Wert, da sie deutlich die geografische und organisatorische Verteilung der Angriffsquellen auf unseren Host innerhalb von 24 Stunden demonstriert. Das Volumen des Traffics von jeder Quelle wird in der Animation nicht dargestellt.
\n<\/a><\/noindex><\/p>\n

Was ist die Pew Pew-Karte?<\/h3>\n

\nPew Pew-Karte<\/i> \u2014 ist Visualisierung von Cyberangriffen<\/a><\/noindex>, normalerweise animiert und sehr ansprechend. Es ist ein trendiger Weg, um Ihr Produkt zu pr\u00e4sentieren, bekannt daf\u00fcr, dass es von der Firma Norse Corp. genutzt wurde. Das Unternehmen hatte ein schlechtes Ende: Es stellte sich heraus, dass die sch\u00f6nen Animationen ihre einzige St\u00e4rke waren und sie f\u00fcr die Analyse fragmentierte Daten verwendeten.<\/p>\n

Erstellt mit Leafletjs<\/h3>\n

\nF\u00fcr diejenigen, die eine Angriffslandkarte f\u00fcr einen gro\u00dfen Bildschirm im Betriebssystem entwickeln m\u00f6chten (Ihr Chef wird es m\u00f6gen), gibt es eine Bibliothek leafletjs<\/a><\/noindex>. Wir kombinieren sie mit dem Plugin des Layer-Migrations-Plugins leaflet<\/a><\/noindex>, dem Maxmind GeoIP-Service \u2013 und fertig.<\/a><\/noindex>.<\/p>\n

\"Analyse<\/a><\/noindex><\/p>\n

WTF: Was ist dieses Honeypot Cowrie?<\/h1>\n

\nEin Honeypot ist ein System, das absichtlich im Netzwerk platziert wird, um Angreifer anzulocken. Verbindungen zu diesem System sind in der Regel illegal und erm\u00f6glichen es, den Angreifer mit detaillierten Protokollen zu identifizieren. Die Protokolle speichern nicht nur gew\u00f6hnliche Verbindungsinformationen, sondern auch Sitzungsinformationen, die Techniken, Taktiken und Verfahren (TTP)<\/b> des Angreifers offenbaren.<\/p>\n

Das Honeypot Cowrie<\/a><\/noindex> ist daf\u00fcr vorgesehen, SSH- und Telnet-Verbindungen aufzuzeichnen.<\/b>Solche Honeypots werden h\u00e4ufig ins Internet geschaltet, um Werkzeuge, Skripte und Hosts von Angreifern zu verfolgen.<\/p>\n

Meine Botschaft an Unternehmen, die denken, dass sie nicht angegriffen werden: \u201eSie suchen schlecht.\u201c
\n\u2013 James Snook<\/i><\/p><\/blockquote>\n

\n\"Analyse
\n<\/p>\n

Was steht in den Protokollen?<\/h1>\n

<\/p>\n

Die Gesamtanzahl der Verbindungen<\/h3>\n

\nMehrere Verbindungsversuche von verschiedenen Hosts sind eingegangen. Das ist normal, da Angreiferskripte eine Liste von Anmeldedaten enthalten und verschiedene Kombinationen ausprobieren. Der Honeypot Cowrie ist so konfiguriert, dass er bestimmte Kombinationen von Benutzernamen und Passwort akzeptiert. Dies kann in der Datei user.db<\/b>.<\/p>\n

\"Analyse
\n<\/p>\n

Geografie der Angriffe<\/h3>\n

\nBasierend auf den Geolokalisierungsdaten von Maxmind habe ich die Anzahl der Verbindungen aus jedem Land gez\u00e4hlt. Brasilien und China f\u00fchren mit gro\u00dfem Abstand, aus diesen L\u00e4ndern kommen oft viele Ger\u00e4usche von Scannern.<\/p>\n

\"Analyse
\n<\/p>\n

Inhaber des Netzwerkblocks<\/h3>\n

\nDie Untersuchung der Inhaber von Netzwerkbl\u00f6cken (ASN) kann Organisationen mit einer Vielzahl von angreifenden Hosts aufdecken. Nat\u00fcrlich sollte man in solchen F\u00e4llen immer bedenken, dass viele Angriffe von infizierten Hosts ausgehen. Es ist vern\u00fcnftig anzunehmen, dass die meisten Angreifer nicht so dumm sind, das Netzwerk von einem Heimcomputer aus zu scannen.<\/p>\n

\"Analyse
\n<\/p>\n

Offene Ports auf den angreifenden Systemen (Daten von Shodan.io)<\/h3>\n

\nDas Durchlaufen der IP-Liste durch das hervorragende Shodan API<\/a><\/noindex> bestimmt schnell Systeme mit offenen Ports<\/b> Und was sind das f\u00fcr Ports? Im Bild unten wird die Konzentration offener Ports nach L\u00e4ndern und Organisationen dargestellt. Man k\u00f6nnte Bl\u00f6cke kompromittierter Systeme identifizieren, aber innerhalb einer kleinen Stichprobe<\/b> ist nichts Au\u00dfergew\u00f6hnliches zu sehen, abgesehen von einer gro\u00dfen Anzahl offener Ports 500 in China.<\/b>.<\/p>\n

Eine interessante Entdeckung ist, dass eine gro\u00dfe Anzahl von Systemen in Brasilien Ports 22 und 23 nicht ge\u00f6ffnet hat.<\/b> oder andere Ports<\/b>, laut den Daten von Censys und Shodan. Anscheinend handelt es sich um Verbindungen von Endbenutzercomputern.<\/p>\n

\"Analyse
\n <\/p>\n

Bots? Nicht unbedingt.<\/h3>\n

\nDaten Censys<\/a><\/noindex> zeigte an diesem Tag seltsame Ergebnisse f\u00fcr die Ports 22 und 23. Ich vermutete, dass die meisten Scans und Passwortangriffe von Bots ausgehen. Ein Skript verbreitet sich \u00fcber offene Ports, versucht Passw\u00f6rter zu knacken und kopiert sich selbst von einem neuen System, um sich weiterhin auf dieselbe Weise zu verbreiten.<\/p>\n

Aber hier ist zu erkennen, dass nur bei einer kleinen Anzahl von Hosts, die Telnet scannen, der Port 23 nach au\u00dfen ge\u00f6ffnet ist. Das bedeutet, dass die Systeme entweder auf andere Weise kompromittiert wurden oder dass Angreifer Skripte manuell ausf\u00fchren.<\/p>\n

\"Analyse
\n<\/p>\n

Heimverbindungen<\/h3>\n

\nEine weitere interessante Entdeckung war die gro\u00dfe Anzahl von Heimnutzern in der Stichprobe. Mit Hilfe von R\u00fcckblick <\/b> Ich habe 105 Verbindungen von bestimmten Heimcomputern identifiziert. Bei vielen Heimverbindungen wird beim R\u00fcckblick der DNS-Name mit den W\u00f6rtern dsl, home, cable, fiber usw. angezeigt.<\/p>\n

\"Analyse
\n<\/p>\n

Lernen und erkunden: Richten Sie Ihren eigenen Honeypot ein<\/h1>\n

\nIch habe k\u00fcrzlich eine kurze Anleitung geschrieben, wie man den Honeypot Cowrie auf seinem System installiert<\/a><\/noindex>. Wie bereits erw\u00e4hnt, wurde in unserem Fall ein Digital Ocean VPS in Singapur verwendet. Die Kosten f\u00fcr die Analyse \u00fcber 24 Stunden betrugen buchst\u00e4blich nur wenige Cent, und die Zeit f\u00fcr die Einrichtung des Systems betrug 30 Minuten.<\/p>\n

Anstatt Cowrie im Internet zu betreiben und den gesamten L\u00e4rm aufzufangen, kann man die Vorteile des Honeypots im lokalen Netzwerk nutzen. Man richtet einfach eine Benachrichtigung ein, wenn auf bestimmte Ports Anfragen eingehen. Das k\u00f6nnte entweder ein Angreifer im Netzwerk, ein neugieriger Mitarbeiter oder ein Schwachstellenscan sein.<\/p>\n

Fazit<\/h1>\n

\nNach der Beobachtung der Aktivit\u00e4ten von Angreifern \u00fcber einen Tag wird klar, dass es unm\u00f6glich ist, eine eindeutige Quelle f\u00fcr Angriffe einer bestimmten Organisation, eines Landes oder sogar eines Betriebssystems zu benennen.<\/p>\n

Die weit verbreiteten Quellen zeigen, dass das Scanrauschen konstant ist und nicht mit einer bestimmten Quelle assoziiert wird. Jeder, der im Internet t\u00e4tig ist, sollte sicherstellen, dass sein System mehrere Sicherheitsstufen<\/b>. Eine g\u00e4ngige und effektive L\u00f6sung f\u00fcr SSH<\/b> die Migration des Dienstes auf einen zuf\u00e4lligen hohen Port. Dies eliminiert nicht die Notwendigkeit f\u00fcr strenge Passwortsicherheit und \u00dcberwachung, gew\u00e4hrleistet aber zumindest, dass die Protokolle nicht durch kontinuierliches Scannen \u00fcberlastet werden. Verbindungen zu hohen Ports sind mit gr\u00f6\u00dferer Wahrscheinlichkeit gezielte Angriffe, die von Interesse sein k\u00f6nnten.<\/p>\n

H\u00e4ufig sind offene Telnet-Ports auf Routern oder anderen Ger\u00e4ten zu finden, sodass sie nicht einfach auf einen hohen Port verschoben werden k\u00f6nnen. Informationen \u00fcber alle offenen Ports<\/a><\/noindex> und Angriffsfl\u00e4che<\/a><\/noindex> sind der einzige Weg, um sicherzustellen, dass diese Dienste durch eine Firewall gesch\u00fctzt oder deaktiviert sind. Wo m\u00f6glich, sollte Telnet \u00fcberhaupt nicht verwendet werden, da dieses Protokoll nicht verschl\u00fcsselt ist. Wenn es erforderlich ist und nicht anders geht, sollten Sie es sorgf\u00e4ltig \u00fcberwachen und sichere Passw\u00f6rter verwenden.
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439\u00a0\u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30311","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Angriffsanalyse des Cowrie-Honeypots | ProHoster","description":"Statistik der letzten 24 Stunden nach der Installation des Honeypots auf dem Digital Ocean-Node in Singapur. Los geht's mit der Angriffs\u00fcbersicht! Unsere gro\u00dfartige Karte zeigt die einzigartigen ASNs, die sich in den letzten 24 Stunden mit unserem Cowrie-Honeypot verbunden haben. Gelb steht f\u00fcr SSH-Verbindungen und Rot f\u00fcr Telnet. Solche Animationen beeindrucken oft den Vorstand und helfen, mehr Mittel f\u00fcr die Sicherheit zu akquirieren.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/analiz-atak-na-hanipot-cowrie","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0430\u0442\u0430\u043a \u043d\u0430 \u0445\u0430\u043d\u0438\u043f\u043e\u0442 Cowrie | ProHoster","og:description":"\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439 \u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438","og:url":"https:\/\/prohoster.info\/de\/blog\/analiz-atak-na-hanipot-cowrie","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:49+00:00","article:modified_time":"2019-10-31T18:34:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30311","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/30311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=30311"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/30311\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=30311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=30311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=30311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}