{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Unbeschreiblich anziehend: wie wir einen Honeypot erschufen, der nicht enttarnt werden kann","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Unbeschreiblich
\nAntivirus-Unternehmen, IT-Sicherheitsexperten und einfach Enthusiasten stellen im Internet Honeypot-Systeme auf, um neue Virusvarianten zu entdecken oder ungew\u00f6hnliche Hacker-Taktiken aufzudecken. Honeypots sind so h\u00e4ufig anzutreffen, dass Cyberkriminelle eine Art Immunit\u00e4t entwickelt haben: Sie erkennen schnell, dass es sich um eine Falle handelt und ignorieren sie einfach. Um die Taktiken moderner Hacker zu erforschen, haben wir einen realistischen Honeypot geschaffen, der \u00fcber sieben Monate hinweg im Internet lebte und die unterschiedlichsten Angriffe anzog. In unserer Studie \"Caught in the Act: Running a Realistic Factory Honeypot to Capture Real Threats<\/a><\/noindex>\" haben wir dar\u00fcber berichtet. Einige Fakten aus der Studie finden Sie in diesem Beitrag. <\/i>
\n<\/a><\/noindex><\/p>\n

Entwicklung des Honeypots: Checkliste<\/h3>\n

\nDas Hauptziel bei der Erstellung unserer Superfalle war es, nicht von Hackern enttarnt zu werden, die Interesse daran zeigten. Dazu war es notwendig, umfangreiche Vorarbeiten zu leisten: <\/p>\n

    \n
  1. Eine realistische Legende \u00fcber das Unternehmen zu schaffen, die Namen, Fotos der Mitarbeiter, Telefonnummern und E-Mail-Adressen umfasst.<\/li>\n
  2. Entwickeln und implementieren Sie ein industrielles Infrastrukturmodell, das der Legende \u00fcber die Aktivit\u00e4ten unseres Unternehmens entspricht. <\/li>\n
  3. Bestimmen Sie, welche Netzwerkdienste von au\u00dfen verf\u00fcgbar sein werden, ohne dabei risikobehaftete Ports zu \u00f6ffnen, um nicht wie eine Falle f\u00fcr Dummk\u00f6pfe zu wirken. <\/li>\n
  4. Organisieren Sie die Sichtbarkeit eines Datenlecks \u00fcber ein anf\u00e4lliges System und verbreiten Sie diese Informationen unter potenziellen Angreifern.<\/li>\n
  5. Implementieren Sie eine unauff\u00e4llige \u00dcberwachung des Verhaltens von Hackern innerhalb der Falle. <\/li>\n<\/ol>\n

    \nUnd jetzt der Reihe nach.<\/p>\n

    Wir erstellen eine Legende<\/b><\/h3>\n

    \nCyberkriminelle sind bereits an die Vielzahl von Honeypots gew\u00f6hnt, weshalb die fortgeschrittensten unter ihnen jede anf\u00e4llige System gr\u00fcndlich untersuchen, um sicherzustellen, dass es sich nicht um eine Falle handelt. Aus diesem Grund strebten wir nicht nur nach der Realit\u00e4tsn\u00e4he des Honeypots hinsichtlich Design und technischer Aspekte, sondern wollten auch den Anschein einer realen Firma erwecken.<\/p>\n

    Indem wir uns in die Lage eines hypothetischen Hackers versetzten, entwickelten wir einen Pr\u00fcfalgorithmus, der es erm\u00f6glichen w\u00fcrde, ein echtes System von einer Falle zu unterscheiden. Dieser umfasste die Suche nach Unternehmens-IP-Adressen in Reputationssystemen, die R\u00fcckverfolgung der IP-Adressen-Historie, die Suche nach Namen und Keywords, die mit dem Unternehmen sowie dessen Partnern und vielen anderen Aspekten in Verbindung stehen. Letztendlich war die Legende durchaus \u00fcberzeugend und ansprechend.<\/p>\n

    Wir entschieden uns, die Falle als eine kleine Boutique f\u00fcr industrielles Prototyping zu positionieren, die f\u00fcr sehr gro\u00dfe, anonyme Kunden aus dem milit\u00e4rischen und Luftfahrtsektor arbeitet. Dies befreite uns von rechtlichen Schwierigkeiten, die mit der Verwendung einer bestehenden Marke verbunden sind.<\/p>\n

    Als n\u00e4chstes mussten wir eine Vision, Mission und den Namen der Organisation entwickeln. Wir entschieden, dass unser Unternehmen ein Start-up mit einer kleinen Anzahl von Mitarbeitern sein w\u00fcrde, von denen jeder Mitgr\u00fcnder ist. Dies verlieh der Legende \u00fcber die Spezialisierung unseres Unternehmens Glaubw\u00fcrdigkeit, da wir mit sensiblen Projekten f\u00fcr gro\u00dfe und wichtige Auftraggeber arbeiten k\u00f6nnen. Wir wollten, dass unser Unternehmen in Bezug auf Cybersicherheit schwach aussieht, es jedoch offensichtlich ist, dass wir mit wichtigen Verm\u00f6genswerten in den Zielsystemen arbeiten.<\/p>\n

    \"Unbeschreiblich
    \nScreenshot der Honeypot-Website MeTech. Quelle: Trend Micro<\/i><\/p>\n

    Als Firmennamen w\u00e4hlten wir das Wort MeTech. Die Website wurde auf der Grundlage einer kostenlosen Vorlage erstellt. Die Bilder wurden aus Bilddatenbanken entnommen, wobei wir die am wenigsten beliebten ausgew\u00e4hlt und bearbeitet haben, um sie weniger erkennbar zu machen. <\/p>\n

    Wir wollten, dass das Unternehmen realistisch wirkt, daher mussten wir Mitarbeiter mit professionellen F\u00e4higkeiten hinzuf\u00fcgen, die dem T\u00e4tigkeitsprofil entsprechen. Wir haben ihnen Namen und Pers\u00f6nlichkeiten gegeben und dann versucht, Bilder aus Bilddatenbanken auszuw\u00e4hlen, die zu ihrer ethnischen Zugeh\u00f6rigkeit passen. <\/p>\n

    \"Unbeschreiblich
    \nScreenshot der Honeypot-Website MeTech. Quelle: Trend Micro<\/i><\/i><\/p>\n

    Um nicht enttarnt zu werden, suchten wir nach Gruppenfotos in guter Qualit\u00e4t, aus denen wir die ben\u00f6tigten Gesichter ausw\u00e4hlen konnten. Schlie\u00dflich verworfen wir diese Option, da ein potenzieller Eindringling die Bilder mit einer R\u00fcckw\u00e4rtssuche finden und herausfinden k\u00f6nnte, dass unsere \u201eMitarbeiter\u201c nur in Bilddatenbanken leben. Letztendlich entschieden wir uns f\u00fcr Fotos von nicht existierenden Personen, die mithilfe von KI erstellt wurden.<\/p>\n

    Die auf der Website ver\u00f6ffentlichten Profile der Mitarbeiter enthielten wichtige Informationen \u00fcber ihre technischen F\u00e4higkeiten, jedoch vermieden wir die Nennung spezifischer Bildungseinrichtungen und St\u00e4dte.
    \nZur Erstellung von Postf\u00e4chern nutzten wir den Server des Hostinganbieters und mieteten dann mehrere Telefonnummern in den USA, die wir in einer virtuellen Telefonzentrale mit Sprachmen\u00fc und Anrufbeantworter zusammenf\u00fchrten.<\/p>\n

    Die Infrastruktur eines Honeypots<\/b><\/h3>\n

    \nUm eine Entdeckung zu vermeiden, haben wir uns f\u00fcr eine Kombination aus echtem Industrieequipment, physischen Computern und gesch\u00fctzten virtuellen Maschinen entschieden. Vorweg sei gesagt, dass wir das Ergebnis unserer Bem\u00fchungen mit der Suchmaschine Shodan \u00fcberpr\u00fcft haben, und sie zeigte, dass das Honeypot wie ein echtes Industriesystem aussieht.<\/p>\n

    \"Unbeschreiblich
    \nErgebnis des Scans des Honeypots mit Shodan. Quelle: Trend Micro<\/i><\/p>\n

    Als ''Hardware'' f\u00fcr unsere Falle haben wir vier SPS verwendet:<\/p>\n