{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception am Beispiel von Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Auf Habr gibt es bereits mehrere Artikel \u00fcber die Technologien Honeypot und Deception (1 Artikel<\/a><\/noindex>, 2 Artikel<\/a><\/noindex>). Dennoch sto\u00dfen wir immer noch auf Unverst\u00e4ndnis \u00fcber die Unterschiede zwischen diesen Klassen von Schutzmitteln. Aus diesem Grund haben unsere Kollegen von Xello Deception<\/a><\/noindex> (der erste russische Entwickler Deception-Plattformen<\/a><\/noindex>) beschlossen, die Unterschiede, Vorteile und architektonischen Merkmale dieser L\u00f6sungen ausf\u00fchrlich zu beschreiben.<\/p>\n

Lassen Sie uns kl\u00e4ren, was \u201eHoneypots\u201c und \u201eDeception\u201c sind:<\/h2>\n

\u201eT\u00e4uschungstechnologien\u201c (engl. Deception technology) sind relativ neu auf dem Markt f\u00fcr Informationssicherheitssysteme. Einige Fachleute betrachten Security Deception jedoch immer noch nur als weiterentwickelte \u201eHoneypots\u201c (engl. honeypot). <\/p>\n

In diesem Artikel werden wir sowohl die \u00c4hnlichkeiten als auch die grundlegenden Unterschiede dieser beiden L\u00f6sungen beleuchten. Im ersten Teil werden wir \u00fcber \u201eHoneypots\u201c sprechen, wie sich diese Technologie entwickelt hat und welche Vor- und Nachteile sie hat. Im zweiten Teil werden wir uns ausf\u00fchrlich mit den Funktionsprinzipien von Plattformen zur Erstellung von verteilten Infrastrukturen f\u00fcr falsche Ziele (engl. Distributed Deception Platform \u2013 DDP) befassen. <\/p>\n

Das grundlegende Prinzip von Honeypots besteht darin, Fallen f\u00fcr Hacker zu erstellen. Auf demselben Prinzip basieren auch die ersten L\u00f6sungen von Deception. Moderne DDP \u00fcbertreffen jedoch Honeypots sowohl in ihrer Funktionalit\u00e4t als auch in ihrer Effizienz erheblich. Deception-Plattformen umfassen: Fallen (engl. decoys, traps), K\u00f6der (engl. lures), Anwendungen, Daten, Datenbanken, Active Directory. Moderne DDP k\u00f6nnen umfangreiche M\u00f6glichkeiten zur Bedrohungserkennung, Angriffsanalyse und zur Automatisierung von Reaktionen bieten. <\/p>\n

Somit stellen Deception-Techniken Imitationen der IT-Infrastruktur eines Unternehmens dar und f\u00fchren Hacker in die Irre. Dadurch erm\u00f6glichen solche Plattformen es, Angriffe zu stoppen, bevor erheblicher Schaden an den Unternehmenswerten entsteht. Honeypots verf\u00fcgen selbstverst\u00e4ndlich nicht \u00fcber eine so umfangreiche Funktionalit\u00e4t und Automatisierungsgrad, wodurch ihre Anwendung eine h\u00f6here Qualifikation von den Mitarbeitern der Informationssicherheitsabteilungen erfordert.<\/p>\n

1. Honeypots, Honeynets und Sandboxing: Was ist das und wie wird es angewendet?<\/h2>\n

Erstmals wurde der Begriff \u201eHoneypots\u201c 1989 in dem Buch von Clifford Stoll \u201eThe Cuckoo\u2019s Egg\u201c verwendet, in dem Ereignisse zur Verfolgung eines Hackers im Lawrence Berkeley National Laboratory (USA) beschrieben werden. In der Praxis wurde diese Idee 1999 von Lance Spitzner, einem IT-Sicherheitsspezialisten bei Sun Microsystems, umgesetzt, der das Forschungsprojekt \u201eHoneynet Project\u201c ins Leben rief. Die ersten Honeypots waren sehr ressourcenintensiv sowie kompliziert in der Einrichtung und Wartung. <\/p>\n

Lassen Sie uns genauer betrachten, was Honeypots <\/strong>und Honeynets<\/strong>. Honeypots sind separate Hosts, deren Zweck es ist, Angreifer anzuziehen, um in das Netzwerk eines Unternehmens einzudringen und zu versuchen, wertvolle Daten zu stehlen, sowie die Reichweite des Netzwerks zu erweitern. Ein Honeypot (w\u00f6rtlich \u00fcbersetzt als \u201eHonigtopf\u201c) ist ein spezieller Server mit einer Vielzahl verschiedener Netzwerkdienste und -protokolle wie HTTP, FTP usw. (siehe Abb. 1).<\/p>\n

\"Honeypot<\/p>\n

Wenn man mehrere Honeypots <\/strong>zu einem Netzwerk verbindet, erh\u00e4lt man ein deutlich effektiveres System Honeynet<\/strong>, das eine Emulation des Unternehmensnetzwerks darstellt (Webserver, Dateiserver und andere Netzwerkkomponenten). Diese L\u00f6sung erm\u00f6glicht es, die Strategie der Angreifer zu verstehen und sie in die Irre zu f\u00fchren. Typischerweise arbeitet ein Honeynet parallel zu einem Unternehmensnetzwerk und ist v\u00f6llig unabh\u00e4ngig davon. Solch ein \u201eNetzwerk\u201c kann \u00fcber einen separaten Kanal im Internet ver\u00f6ffentlicht werden, und es k\u00f6nnen auch separate IP-Adressbereiche daf\u00fcr zugewiesen werden (siehe Abb. 2).<\/p>\n

\"Honeypot<\/p>\n

Der Zweck der Verwendung eines Honeynets besteht darin, dem Hacker zu zeigen, dass er angeblich in das Unternehmensnetzwerk der Organisation eingedrungen ist, w\u00e4hrend sich der Angreifer in einer \u201eisolierten Umgebung\u201c befindet und von IT-Sicherheitsspezialisten genau \u00fcberwacht wird (siehe Abb. 3).<\/p>\n

\"Honeypot<\/p>\n

Hier sollte auch eines der Mittel erw\u00e4hnt werden, wie z. B. \u201eSandkasten<\/strong>\u201c (eng., sandbox<\/strong>), das es Angreifern erm\u00f6glicht, schadhafte Software in einer isolierten Umgebung zu installieren und auszuf\u00fchren, in der IT-Spezialisten ihre Aktivit\u00e4ten zur Identifizierung potenzieller Risiken \u00fcberwachen und die erforderlichen Gegenma\u00dfnahmen ergreifen k\u00f6nnen. Derzeit wird Sandboxing in der Regel auf dedizierten virtuellen Maschinen auf einem virtuellen Host umgesetzt. Es ist jedoch zu beachten, dass Sandboxing nur zeigt, wie sich gef\u00e4hrliche und sch\u00e4dliche Programme verhalten, w\u00e4hrend ein Honeynet dem Spezialisten hilft, das Verhalten der \u201egef\u00e4hrlichen Akteure\u201c zu analysieren. <\/p>\n

Der offenkundige Nutzen von Honeynets besteht darin, dass sie Angreifer in die Irre f\u00fchren, indem sie deren Kr\u00e4fte, Ressourcen und Zeit verschwenden. Dadurch greifen sie statt auf echte Ziele falsche an und k\u00f6nnen die Angriffe auf das Netzwerk einstellen, ohne etwas erreicht zu haben. Honeynets werden h\u00e4ufig in Regierungsbeh\u00f6rden und gro\u00dfen Unternehmen sowie in Finanzorganisationen eingesetzt, da gerade diese Strukturen Ziel gro\u00dfangelegter Cyberangriffe sind. Allerdings ben\u00f6tigen auch kleine und mittelst\u00e4ndische Unternehmen (KMU) effektive Werkzeuge zur Verhinderung von IT-Sicherheitsvorf\u00e4llen, wobei es jedoch aufgrund des Mangels an qualifiziertem Personal f\u00fcr diese komplexe Arbeit nicht so einfach ist, Honeynets im KMU-Sektor zu nutzen.<\/p>\n

Einschr\u00e4nkungen von Honeypots und Honeynets<\/u><\/strong><\/p>\n

Warum sind Honeypots und Honeynets heutzutage nicht die besten L\u00f6sungen zur Bek\u00e4mpfung von Angriffen? Es sei darauf hingewiesen, dass Angriffe immer umfangreicher, technisch komplexer und in der Lage sind, schwerwiegende Sch\u00e4den an der IT-Infrastruktur einer Organisation zu verursachen. Cyberkriminalit\u00e4t hat ein ganz anderes Niveau erreicht und stellt hochorganisierte Schattengesch\u00e4ftsstrukturen dar, die mit allen notwendigen Ressourcen ausgestattet sind. Hinzu kommt der \"menschliche Faktor\" (Fehler bei der Konfiguration von Software und Hardware, Handlungen von Insidern usw.), weshalb der Einsatz alleiniger Technologien zur Verhinderung von Angriffen derzeit nicht mehr ausreicht. <\/p>\n

Im Folgenden sind die wichtigsten Einschr\u00e4nkungen und Nachteile von Honeypots (Honeynets) aufgelistet:<\/p>\n

    \n
  1. \n

    Honeypots wurden urspr\u00fcnglich entwickelt, um Bedrohungen zu identifizieren, die au\u00dferhalb des Unternehmensnetzwerks liegen. Sie sind eher auf die Analyse des Verhaltens von Angreifern ausgelegt und nicht f\u00fcr eine schnelle Reaktion auf Bedrohungen konzipiert. <\/p>\n<\/li>\n

  2. \n

    Angreifer haben in der Regel bereits gelernt, emulierte Systeme zu erkennen und Honeypots zu meiden. <\/p>\n<\/li>\n

  3. \n

    Honeynets (Honeypots) bieten ein \u00e4u\u00dferst geringes Ma\u00df an Interaktivit\u00e4t und Interaktion mit anderen Sicherheitssystemen, weshalb es schwierig ist, umfassende Informationen \u00fcber Angriffe und Angreifer zu erhalten und somit effektiv und schnell auf IT-Sicherheitsvorf\u00e4lle zu reagieren. Dar\u00fcber hinaus erhalten IT-Sicherheitsexperten eine Vielzahl von Fehlalarmen zu Bedrohungen. <\/p>\n<\/li>\n

  4. \n

    In einigen F\u00e4llen k\u00f6nnen Hacker einen kompromittierten Honeypot als Ausgangspunkt f\u00fcr die Fortsetzung eines Angriffs auf das Netzwerk einer Organisation nutzen. <\/p>\n<\/li>\n

  5. \n

    Es treten h\u00e4ufig Probleme mit der Skalierbarkeit von Honeypots, hoher Betriebslast und der Einrichtung solcher Systeme auf (sie erfordern hochqualifizierte Spezialisten, haben keine benutzerfreundliche Verwaltungsoberfl\u00e4che usw.). Es bestehen gro\u00dfe Schwierigkeiten bei der Bereitstellung von Honeypots in spezialisierten Umgebungen wie IoT, POS, Cloud-Systemen usw.<\/p>\n<\/li>\n<\/ol>\n

    2. T\u00e4uschungstechnologie: Vorteile und grundlegende Funktionsprinzipien.<\/h2>\n

    Nach der Analyse aller Vor- und Nachteile von Honeypots kommen wir zu dem Schluss, dass ein v\u00f6llig neuer Ansatz f\u00fcr die Reaktion auf sicherheitsrelevante Vorf\u00e4lle erforderlich ist, um eine schnelle und angemessene Antwort auf die Aktionen von Angreifern zu entwickeln. Und diese L\u00f6sung sind Technologien. Cyber-Deception (Sicherheitst\u00e4uschung)<\/strong>. <\/p>\n

    Die Terminologie \u201eCyber-Deception\u201c, \u201eSicherheitst\u00e4uschung\u201c, \u201eT\u00e4uschungstechnologie\u201c, \u201eDistributed Deception Platform\u201c (DDP) ist relativ neu und entstand erst k\u00fcrzlich. Tats\u00e4chlich bedeuten all diese Begriffe die Verwendung von \u201eT\u00e4uschungstechnologien\u201c oder \u201eTechniken zur Nachahmung von IT-Infrastrukturen und zur Desinformation von Angreifern\u201c. Die einfachsten L\u00f6sungen der T\u00e4uschung sind die Weiterentwicklung der Ideen von Honeypots, jedoch auf einem technologisch fortgeschritteneren Niveau, das eine h\u00f6here Automatisierung bei der Bedrohungserkennung und -reaktion voraussetzt. Auf dem Markt gibt es bereits ernsthafte L\u00f6sungen der Klasse DDP, die eine einfache Bereitstellung und Skalierung erm\u00f6glichen und \u00fcber ein umfangreiches Arsenal an \u201eFallen\u201c und \u201eLockstoffen\u201c f\u00fcr Angreifer verf\u00fcgen. Zum Beispiel erm\u00f6glicht T\u00e4uschung die Emulation solcher Objekte der IT-Infrastruktur wie Datenbanken, Arbeitsstationen, Router, Switches, Geldautomaten, Server sowie SCADA, medizinische Ger\u00e4te und IoT. <\/p>\n

    Wie funktioniert die \u201eDistributed Deception Platform\u201c? Nach der Bereitstellung von DDP wird die IT-Infrastruktur der Organisation so aufgebaut, als best\u00fcnde sie aus zwei Schichten: Die erste Schicht ist die reale Infrastruktur des Unternehmens, die zweite ist die \u201eemulierte\u201c Umgebung, die aus Fallen (engl. decoys, traps) und Lockstoffen (engl. lures) besteht, die auf realen physischen Ger\u00e4ten im Netzwerk platziert sind (siehe Abb. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Ein Beispiel: Ein Angreifer kann gef\u00e4lschte Datenbanken mit \u201evertraulichen Dokumenten\u201c oder gef\u00e4lschte Anmeldeinformationen, die angeblich von \u201eprivilegierten Benutzern\u201c stammen, entdecken \u2013 all dies sind falsche Ziele, die die Aufmerksamkeit der Angreifer auf sich ziehen k\u00f6nnen, und somit von den tats\u00e4chlichen Informationswerten des Unternehmens ablenken (siehe Abb. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP ist eine Neuheit auf dem Markt f\u00fcr Informationssicherheit. Diese L\u00f6sungen sind erst seit wenigen Jahren verf\u00fcgbar und k\u00f6nnen bisher nur von Unternehmen genutzt werden. Aber auch kleine und mittlere Unternehmen werden bald in der Lage sein, Deception zu nutzen, indem sie DDP von spezialisierten Anbietern \u201eals Dienstleistung\u201c anmieten. Diese M\u00f6glichkeit ist sogar noch bequemer, da kein Bedarf an eigenen hochqualifizierten Fachkr\u00e4ften besteht.<\/p>\n

    Im Folgenden sind die wichtigsten Vorteile der Deception-Technologie aufgef\u00fchrt:<\/p>\n