{"id":30311,"date":"2019-10-31T21:34:49","date_gmt":"2019-10-31T18:34:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/analiz-atak-na-hanipot-cowrie\/"},"modified":"2019-10-31T21:34:49","modified_gmt":"2019-10-31T18:34:49","slug":"analiz-atak-na-hanipot-cowrie","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/analiz-atak-na-hanipot-cowrie","title":{"rendered":"Analyse der Angriffe auf das Honeypot Cowrie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Statistik f\u00fcr die 24 Stunden nach der Installation des Honeypots auf dem Digital Ocean-Node in Singapur<\/b> <\/p>\n

Pew Pew! Lassen Sie uns sofort mit der Angriffskarte beginnen<\/h1>\n

\nUnsere gro\u00dfartige Karte zeigt die einzigartigen ASN, die sich in den letzten 24 Stunden mit unserem Honeypot Cowrie verbunden haben. Gelb steht f\u00fcr SSH-Verbindungen, w\u00e4hrend Rot Telnet repr\u00e4sentiert. Solche Animationen beeindrucken oft den Vorstand, was es erm\u00f6glicht, mehr Finanzierung f\u00fcr Sicherheit und Ressourcen zu erhalten. Dennoch hat die Karte einen gewissen Wert, da sie klar die geografische und organisatorische Verbreitung der Angriffsquellen auf unseren Host in nur 24 Stunden demonstriert. In der Animation ist das Verkehrsaufkommen jeder Quelle nicht abgebildet.
\n<\/a><\/noindex><\/p>\n

Was ist die Pew Pew-Karte?<\/h3>\n

\nPew Pew-Karte<\/i> sind Visualisierung von Cyberangriffen<\/a><\/noindex>, normalerweise animiert und sehr sch\u00f6n. Es ist eine trendige Art, sein Produkt zu verkaufen, die daf\u00fcr bekannt ist, von der Firma Norse Corp. verwendet worden zu sein. Das Unternehmen hatte ein schlimmes Ende: Es stellte sich heraus, dass die sch\u00f6nen Animationen ihr einziges Lob waren, und sie verwendeten fragmentierte Daten zur Analyse.<\/p>\n

Hergestellt mit Leafletjs<\/h3>\n

\nF\u00fcr diejenigen, die eine Angriffskarte f\u00fcr gro\u00dfe Bildschirme im Operationszentrum entwickeln m\u00f6chten (Ihrer Chefin wird es gefallen), gibt es die Bibliothek leafletjs<\/a><\/noindex>. Wir kombinieren es mit dem Plugin Layer-Migrations-Plugin von Leaflet<\/a><\/noindex>, dem Dienst Maxmind GeoIP \u2013 und fertig<\/a><\/noindex>.<\/p>\n

\"Analyse<\/a><\/noindex><\/p>\n

WTF: Was ist das f\u00fcr ein Honeypot Cowrie?<\/h1>\n

\nEin Honeypot ist ein System, das im Netzwerk speziell platziert wird, um Angreifer anzulocken. Verbindungen zum System sind in der Regel illegal und erm\u00f6glichen es, den Angreifer durch detaillierte Protokolle zu erkennen. Die Protokolle speichern nicht nur die \u00fcblichen Verbindungsinformationen, sondern auch Sitzungsinformationen, die aufdecken die Technik, Taktiken und Verfahren (TTP)<\/b> des Angreifers.<\/p>\n

Honeypot Cowrie<\/a><\/noindex> ist entworfen f\u00fcr die Aufzeichnung von SSH- und Telnet-Verbindungen<\/b>. Solche Honeypots werden oft ins Internet gestellt, um die Werkzeuge, Skripte und Hosts der Angreifer zu verfolgen.<\/p>\n

Meine Botschaft an Unternehmen, die denken, dass sie nicht angegriffen werden: \u201eSie suchen schlecht.\u201c
\n\u2013 James Snook<\/i><\/p><\/blockquote>\n

\n\"Analyse
\n<\/p>\n

Was steht in den Protokollen?<\/h1>\n

<\/p>\n

Gesamtzahl der Verbindungen<\/h3>\n

\nVon vielen Hosts gab es wiederholte Verbindungsversuche. Das ist normal, da in den angreifenden Skripten eine Liste von Anmeldedaten festgelegt ist und sie mehrere Kombinationen ausprobieren. Der Honeypot Cowrie ist so konfiguriert, dass er bestimmte Kombinationen von Benutzername und Passwort akzeptiert. Das kann eingestellt werden in Datei user.db<\/b>.<\/p>\n

\"Analyse
\n<\/p>\n

Geografie der Angriffe<\/h3>\n

\nLaut den Geolokalisierungsdaten von Maxmind habe ich die Anzahl der Verbindungen aus jedem Land gez\u00e4hlt. Brasilien und China f\u00fchren mit gro\u00dfem Abstand, von diesen L\u00e4ndern kommt oft viel L\u00e4rm von Scannern.<\/p>\n

\"Analyse
\n<\/p>\n

Besitzer des Netzwerkblocks<\/h3>\n

\nDie Untersuchung der Besitzer von Netzwerkbl\u00f6cken (ASN) kann Organisationen mit einer Vielzahl von angreifenden Hosts aufdecken. Nat\u00fcrlich sollte man in solchen F\u00e4llen immer bedenken, dass viele Angriffe von kompromittierten Hosts ausgehen. Es ist vern\u00fcnftig anzunehmen, dass die meisten Angreifer nicht so naiv sind, das Netz von einem Heimcomputer aus zu scannen.<\/p>\n

\"Analyse
\n<\/p>\n

Offene Ports auf den angreifenden Systemen (Daten von Shodan.io)<\/h3>\n

\nDas Durchlaufen der IP-Liste \u00fcber die hervorragende Shodan API<\/a><\/noindex> bestimmt schnell Systeme mit offenen Ports<\/b> und was das f\u00fcr Ports sind. Im folgenden Diagramm ist die Konzentration offener Ports nach L\u00e4ndern und Organisationen dargestellt. Es w\u00e4re m\u00f6glich, Bl\u00f6cke mit kompromittierten Systemen zu identifizieren, aber innerhalb der kleinen Stichprobe<\/b> ist nichts Auff\u00e4lliges zu sehen, au\u00dfer einer gro\u00dfen Anzahl offener Ports 500 in China.<\/b>.<\/p>\n

Eine interessante Entdeckung \u2013 eine gro\u00dfe Anzahl von Systemen in Brasilien, bei denen Ports 22, 23<\/b> oder andere Ports<\/b>laut Censys und Shodan nicht ge\u00f6ffnet sind. Anscheinend sind dies Verbindungen von Endnutzercomputern.<\/p>\n

\"Analyse
\n <\/p>\n

Bots? Nicht unbedingt.<\/h3>\n

\nDaten Censys<\/a><\/noindex> Die Ports 22 und 23 an diesem Tag zeigten seltsame Muster. Ich vermutete, dass die meisten Scans und Passwortangriffe von Bots ausgehen. Das Skript verbreitet sich \u00fcber offene Ports und versucht Passw\u00f6rter, w\u00e4hrend es sich von einem neuen System auf dasselbe Weise selbst kopiert und weiter verbreitet.<\/p>\n

Aber hier ist zu sehen, dass nur bei einer kleinen Anzahl von Hosts, die Telnet scannen, der Port 23 nach au\u00dfen ge\u00f6ffnet ist. Das bedeutet, dass die Systeme entweder auf andere Weise kompromittiert wurden oder die Angreifer die Skripte manuell ausf\u00fchren.<\/p>\n

\"Analyse
\n<\/p>\n

Heimverbindungen<\/h3>\n

\nEine weitere interessante Entdeckung war die gro\u00dfe Anzahl von Heimbenutzern in der Stichprobe. Mit Hilfe von Reverse Lookup <\/b> habe ich 105 Verbindungen von spezifischen Heimcomputern identifiziert. Bei vielen Heimverbindungen zeigt der Reverse DNS Lookup den Hostnamen mit den W\u00f6rtern dsl, home, cable, fiber usw. an.<\/p>\n

\"Analyse
\n<\/p>\n

Lernen und Forschen: Richten Sie Ihren eigenen Honeypot ein<\/h1>\n

\nK\u00fcrzlich habe ich eine kurze Anleitung geschrieben, wie man Cowrie Honeypot auf seinem System installiert.<\/a><\/noindex>. Wie bereits erw\u00e4hnt, wurde in unserem Fall ein Digital Ocean VPS in Singapur verwendet. Die Kosten f\u00fcr 24 Stunden Analyse belaufen sich auf buchst\u00e4blich ein paar Cent, und die Systeminstallation dauerte 30 Minuten.<\/p>\n

Anstatt Cowrie im Internet auszuf\u00fchren und den gesamten L\u00e4rm zu erfassen, kann man den Nutzen eines Honeypots im lokalen Netzwerk ziehen. Setzen Sie einfach eine Benachrichtigung auf, wenn Anfragen an bestimmte Ports gesendet werden. Das kann entweder ein Angreifer im Netzwerk, ein neugieriger Mitarbeiter oder ein Schwachstellenscan sein.<\/p>\n

Das DBMS Tarantool ist ein attraktives, zukunftstr\u00e4chtiges Produkt zur Erstellung von hochbelasteten Anwendungen.<\/h1>\n

\nNach einem Tag, an dem die Aktivit\u00e4ten der Angreifer beobachtet wurden, wird klar, dass man keine eindeutige Quelle f\u00fcr die Angriffe in einer bestimmten Organisation, einem bestimmten Land oder sogar einem bestimmten Betriebssystem benennen kann.<\/p>\n

Die breite Streuung der Quellen zeigt, dass das Scannen konstant ist und nicht mit einer bestimmten Quelle in Verbindung gebracht werden kann. Jeder, der im Internet t\u00e4tig ist, sollte sicherstellen, dass sein System mehrere Sicherheitsebenen<\/b>. Eine g\u00e4ngige und effektive L\u00f6sung hierf\u00fcr SSH<\/b> besteht darin, den Dienst auf einen zuf\u00e4lligen hohen Port zu verschieben. Das befreit zwar nicht von der Notwendigkeit strikter Passwortsicherheit und \u00dcberwachung, garantiert aber zumindest, dass die Protokolle nicht durch st\u00e4ndiges Scannen \u00fcberflutet werden. Verbindungen zu einem hohen Port sind mit gr\u00f6\u00dferer Wahrscheinlichkeit gezielte Angriffe, die von Interesse sein k\u00f6nnten.<\/p>\n

Oft befinden sich offene Telnet-Ports an Routern oder anderen Ger\u00e4ten, die sich nicht so leicht auf hohe Ports verschieben lassen. Informationen \u00fcber alle offenen Ports<\/a><\/noindex> und Angriffsoberfl\u00e4che<\/a><\/noindex> sind der einzige Weg, um sicherzustellen, dass diese Dienste von einer Firewall gesch\u00fctzt oder deaktiviert sind. Wo m\u00f6glich, sollte Telnet \u00fcberhaupt nicht verwendet werden, da dieses Protokoll nicht verschl\u00fcsselt ist. Wenn es unbedingt n\u00f6tig ist, dann \u00fcberwachen Sie es sorgf\u00e4ltig und verwenden Sie sichere Passw\u00f6rter.
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439\u00a0\u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30311","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Analyse der Angriffe auf den Honeypot Cowrie | ProHoster","description":"Statistik nach 24 Stunden seit der Installation des Honeypots auf einem Digital Ocean Node in Singapur Piu-Piu!","canonical_url":"https:\/\/prohoster.info\/de\/blog\/analiz-atak-na-hanipot-cowrie","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0430\u0442\u0430\u043a \u043d\u0430 \u0445\u0430\u043d\u0438\u043f\u043e\u0442 Cowrie | ProHoster","og:description":"\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443!","og:url":"https:\/\/prohoster.info\/de\/blog\/analiz-atak-na-hanipot-cowrie","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:49+00:00","article:modified_time":"2019-10-31T18:34:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30311","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/30311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=30311"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/30311\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=30311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=30311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=30311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}