{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Unbeschreiblich attraktiv: wie wir ein Honeypot geschaffen haben, das nicht enttarnt werden kann","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Unbeschreiblich
\nAntivirenunternehmen, Sicherheitsexperten und einfach nur Enthusiasten stellen im Internet Locksysteme \u2013 Honeypots \u2013 auf, um eine neue Virusvariante oder eine ungew\u00f6hnliche Hackertechnik zu \"fangen\". Honeypots sind so h\u00e4ufig anzutreffen, dass Cyberkriminelle eine Art Immunit\u00e4t entwickelt haben: Sie erkennen schnell, dass es sich um eine Falle handelt, und ignorieren sie einfach. Um die Taktiken moderner Hacker zu erforschen, haben wir einen realistischen Honeypot erstellt, der sieben Monate lang im Internet aktiv war und die unterschiedlichsten Angriffe anzog. \u00dcber das, was dabei geschah, haben wir in unserer Studie \"Caught in the Act: Running a Realistic Factory Honeypot to Capture Real Threats<\/a><\/noindex>ver\u00f6ffentlicht. Einige Fakten aus der Studie finden Sie in diesem Beitrag. <\/i>
\n<\/a><\/noindex><\/p>\n

Entwicklung des Honeypots: Checkliste<\/h3>\n

\nDie Hauptaufgabe bei der Erstellung unserer Superfalle war es, zu verhindern, dass Hacker, die Interesse daran zeigten, uns entlarven. Dazu war viel Arbeit n\u00f6tig: <\/p>\n

    \n
  1. Eine realistische Legende \u00fcber das Unternehmen zu erstellen, die Namen und Fotos von Mitarbeitern, Telefonnummern und E-Mails umfasst.<\/li>\n
  2. Ein Modell der industriellen Infrastruktur zu entwerfen und umzusetzen, das der Legende \u00fcber die Aktivit\u00e4ten unseres Unternehmens entspricht. <\/li>\n
  3. Zu entscheiden, welche Netzwerkdienste von au\u00dfen verf\u00fcgbar sein werden, dabei jedoch darauf zu achten, nicht zu viele angreifbare Ports zu \u00f6ffnen, damit es nicht wie eine Falle f\u00fcr einfache Nutzer aussieht. <\/li>\n
  4. Die Sichtbarkeit einer Informationsleckage \u00fcber ein anf\u00e4lliges System zu organisieren und diese Informationen unter potenziellen Angreifern zu verbreiten.<\/li>\n
  5. Eine unauff\u00e4llige \u00dcberwachung der Aktivit\u00e4ten von Hackern in der Infrastruktur der Falle zu implementieren. <\/li>\n<\/ol>\n

    \nUnd nun alles der Reihe nach.<\/p>\n

    Legende erstellen<\/b><\/h3>\n

    \nCyberkriminelle sind bereits daran gew\u00f6hnt, auf viele Honeypots zu sto\u00dfen, deshalb f\u00fchrt der fortgeschrittenste Teil von ihnen eine gr\u00fcndliche Untersuchung jedes anf\u00e4lligen Systems durch, um sich zu vergewissern, dass es sich nicht um eine Falle handelt. Aus demselben Grund strebten wir an, nicht nur die Realit\u00e4tsn\u00e4he des Honeypots hinsichtlich Design und technischer Aspekte zu erreichen, sondern auch den Anschein eines echten Unternehmens zu erzeugen.<\/p>\n

    Indem wir uns in die Lage eines hypothetischen Kulhackers versetzten, entwickelten wir einen Pr\u00fcfalgorithmus, der es erm\u00f6glichen w\u00fcrde, ein echtes System von einer Falle zu unterscheiden. Dieser beinhaltete die Suche nach IP-Adressen des Unternehmens in Reputationssystemen, die r\u00fcckw\u00e4rtige Recherche der IP-Adressgeschichte, die Suche nach Namen und Schl\u00fcsselw\u00f6rtern, die mit dem Unternehmen sowie dessen Gesch\u00e4ftspartnern und vielen weiteren Dingen in Verbindung stehen. Am Ende war die Legende ziemlich \u00fcberzeugend und ansprechend.<\/p>\n

    Wir entschieden uns, die Falle als eine kleine Boutique f\u00fcr industrielle Prototypen zu positionieren, die f\u00fcr sehr gro\u00dfe anonyme Kunden aus dem milit\u00e4rischen und aviation Segment arbeitet. Dies befreite uns von den rechtlichen Schwierigkeiten, die mit der Verwendung einer bestehenden Marke verbunden sind.<\/p>\n

    Dann mussten wir eine Vision, eine Mission und einen Namen f\u00fcr die Organisation entwickeln. Wir entschieden, dass unser Unternehmen ein Startup mit wenigen Mitarbeitern sein w\u00fcrde, von denen jeder Gr\u00fcnder ist. Das verlieh der Legende \u00fcber die Spezialisierung unseres Gesch\u00e4fts Glaubw\u00fcrdigkeit, die es uns erlaubt, mit sensiblen Projekten f\u00fcr gro\u00dfe und wichtige Auftraggeber zu arbeiten. Wir wollten, dass unser Unternehmen in Bezug auf Cybersicherheit schwach erscheint, es gleichzeitig aber offensichtlich ist, dass wir mit wichtigen Verm\u00f6genswerten in den Zielssystemen arbeiten.<\/p>\n

    \"Unbeschreiblich
    \nScreenshot der Webseite von MeTech-Honeypot. Quelle: Trend Micro<\/i><\/p>\n

    Als Unternehmensnamen w\u00e4hlten wir das Wort MeTech. Die Webseite wurde auf der Basis einer kostenlosen Vorlage erstellt. Die Bilder stammen aus Bilddatenbanken, wobei wir die am wenigsten beliebten ausw\u00e4hlten und sie bearbeiteten, um sie weniger erkennbar zu machen. <\/p>\n

    Wir wollten, dass das Unternehmen realistisch erscheint, daher mussten wir Mitarbeiter mit professionellen F\u00e4higkeiten hinzuf\u00fcgen, die dem T\u00e4tigkeitsprofil entsprechen. Wir erdachten ihnen Namen und Identit\u00e4ten und versuchten dann, Bilder aus Bilddatenbanken auszuw\u00e4hlen, die mit der ethnischen Zugeh\u00f6rigkeit \u00fcbereinstimmten. <\/p>\n

    \"Unbeschreiblich
    \nScreenshot der Webseite von MeTech-Honeypot. Quelle: Trend Micro<\/i><\/i><\/p>\n

    Um nicht enttarnt zu werden, suchten wir nach Gruppenfotos von guter Qualit\u00e4t, aus denen wir die ben\u00f6tigten Gesichter ausw\u00e4hlen konnten. Dann lehnten wir diese Option jedoch ab, da ein potenzieller Hacker die R\u00fcckw\u00e4rtssuche von Bildern nutzen und herausfinden k\u00f6nnte, dass unsere \u201eMitarbeiter\u201c nur in Bilddatenbanken existieren. Schlie\u00dflich nutzten wir Fotos von nicht existierenden Personen, die mit Hilfe von neuronalen Netzwerken erstellt wurden.<\/p>\n

    Die auf der Website ver\u00f6ffentlichten Profile der Mitarbeiter enthielten wichtige Informationen \u00fcber ihre technischen F\u00e4higkeiten, jedoch haben wir es vermieden, spezifische Bildungseinrichtungen und St\u00e4dte anzugeben.
    \nUm E-Mail-Postf\u00e4cher zu erstellen, haben wir den Server des Hosting-Anbieters genutzt und dann mehrere Telefonnummern in den USA angemietet, die wir in einer virtuellen Telefonanlage mit Sprachmen\u00fc und Anrufbeantworter zusammengefasst haben.<\/p>\n

    Infrastruktur des Honeypots<\/b><\/h3>\n

    \nUm einer Enth\u00fcllung zu entgehen, haben wir uns entschieden, eine Kombination aus echtem Industrieequipment, physischen Computern und gesch\u00fctzten virtuellen Maschinen zu verwenden. Vorweg sei gesagt, dass wir das Ergebnis unserer Bem\u00fchungen mit der Suchmaschine Shodan \u00fcberpr\u00fcft haben, und sie zeigte, dass der Honeypot wie ein echtes Industriesystem aussieht.<\/p>\n

    \"Unbeschreiblich
    \nErgebnis des Scans des Honeypots mit Shodan. Quelle: Trend Micro<\/i><\/p>\n

    F\u00fcr unsere Falle haben wir vier SPS verwendet:<\/p>\n