{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception am Beispiel von Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Auf Habr\u00e9 gibt es bereits einige Artikel \u00fcber Honeypot- und Deception-Technologien (1 Artikel<\/a><\/noindex>, Artikel 2<\/a><\/noindex>). Dennoch sind wir nach wie vor mit einem Unverst\u00e4ndnis der Unterschiede zwischen diesen Schutzklassen konfrontiert. Daher haben unsere Kollegen von Xello Deception<\/a><\/noindex> (der erste russische Entwickler der Deception-Plattform<\/a><\/noindex>) beschlossen, die Unterschiede, Vorteile und architektonischen Besonderheiten dieser L\u00f6sungen ausf\u00fchrlich zu beschreiben.<\/p>\n

Lassen Sie uns kl\u00e4ren, was «Honeypots» und «Deception» sind:<\/h2>\n

Die «T\u00e4uschungstechnologien» (engl. Deception technology) sind relativ neu auf dem Markt f\u00fcr Informationssicherheit. Dennoch betrachten einige Fachleute Security Deception weiterhin lediglich als eine fortschrittlichere Version von «Honeypots» (engl. honeypot). <\/p>\n

In diesem Artikel werden wir sowohl die \u00c4hnlichkeiten als auch die grundlegenden Unterschiede dieser beiden L\u00f6sungen beleuchten. Im ersten Teil werden wir \u00fcber Honeypots sprechen, wie sich diese Technologie entwickelt hat und welche Vorteile und Nachteile sie hat. Im zweiten Teil werden wir uns detailliert mit den Arbeitsprinzipien von Plattformen zur Erstellung einer verteilten Infrastruktur f\u00fcr falsche Ziele (engl. Distributed Deception Platform \u2014 DDP) befassen. <\/p>\n

Das grundlegende Prinzip hinter Honeypots besteht darin, Fallen f\u00fcr Hacker zu schaffen. Nach diesem Prinzip wurden auch die ersten Deception-L\u00f6sungen entwickelt. Moderne DDP \u00fcbertreffen jedoch die Honeypots erheblich in Funktionalit\u00e4t und Effektivit\u00e4t. Deception-Plattformen umfassen: Fallen (engl. decoys, traps), K\u00f6der (engl. lures), Anwendungen, Daten, Datenbanken und Active Directory. Moderne DDP bieten umfassende M\u00f6glichkeiten zur Bedrohungserkennung, Analyse von Angriffen und Automatisierung von Reaktionen. <\/p>\n

Somit stellen Deception-Techniken eine Nachahmung der IT-Infrastruktur eines Unternehmens dar und t\u00e4uschen Hacker. Dadurch erm\u00f6glichen solche Plattformen, Angriffe zu stoppen, bevor erheblicher Schaden an den Verm\u00f6genswerten des Unternehmens entsteht. Honeypots bieten selbstverst\u00e4ndlich nicht denselben Funktionsumfang und Automatisierungsgrad, weshalb ihre Anwendung eine h\u00f6here Qualifikation der Mitarbeiter in den Abteilungen f\u00fcr Informationssicherheit erfordert.<\/p>\n

1. Honeypots, Honeynets und Sandboxing: Was ist das und wie wird es angewendet?<\/h2>\n

Der Begriff «Honeypots» wurde erstmals 1989 in Clifford Stolls Buch «The Cuckoo\u2019s Egg» verwendet, in dem die Ereignisse zur Verfolgung eines Hackers im Lawrence Berkeley National Laboratory (USA) beschrieben werden. Praktisch wurde diese Idee 1999 von Lance Spitzner, einem Informationssicherheitsexperten bei Sun Microsystems, umgesetzt, der das Forschungsprojekt «Honeynet Project» ins Leben rief. Die ersten Honeypots waren sehr ressourcenintensiv und kompliziert in der Einrichtung und Wartung. <\/p>\n

Lassen Sie uns genauer betrachten, was Honeypots <\/strong>und Honeynets<\/strong>. Honeypots sind separate Hosts, deren Zweck es ist, Angreifer anzuziehen, um in das Netz des Unternehmens einzudringen und wertvolle Daten zu stehlen sowie die Reichweite des Netzwerks zu erweitern. Ein Honeypot (w\u00f6rtlich \u00fcbersetzt als \u201eHonigfass\u201c) ist ein spezieller Server mit einer Reihe von verschiedenen Netzwerkdiensten und -protokollen wie HTTP, FTP usw. (siehe Abb. 1).<\/p>\n

\"Honeypot<\/p>\n

Wenn wir mehrere Honeypots <\/strong>in ein Netzwerk integrieren, erhalten wir ein noch effektiveres System Honeynet<\/strong>, die eine Emulation eines Unternehmensnetzwerks (Webserver, Dateiserver und andere Netzwerkkomponenten) darstellt. Diese L\u00f6sung erm\u00f6glicht es, die Strategien von Angreifern zu verstehen und sie in die Irre zu f\u00fchren. Ein typisches Honeynet arbeitet normalerweise parallel zu einem Arbeitsnetzwerk und v\u00f6llig unabh\u00e4ngig davon. Ein solches \"Netzwerk\" kann \u00fcber einen separaten Kanal ins Internet ver\u00f6ffentlicht werden, und es kann auch ein separater IP-Adressbereich daf\u00fcr zugewiesen werden (siehe Abbildung 2).<\/p>\n

\"Honeypot<\/p>\n

Der Sinn der Verwendung eines Honeynets besteht darin, dem Hacker zu zeigen, dass er angeblich in das Unternehmensnetzwerk der Organisation eingedrungen ist, w\u00e4hrend er sich tats\u00e4chlich in einer \"isolierten Umgebung\" befindet und unter genauer Beobachtung von IT-Sicherheitsspezialisten steht (siehe Abbildung 3).<\/p>\n

\"Honeypot<\/p>\n

Hier sollte auch ein solches Mittel wie \"Sandbox<\/strong>\" (engl. , der Wert allow-downloads oder allow-downloads-without-user-activation zugewiesen werden.<\/strong>), die es Angreifern erm\u00f6glicht, schadhafte Programme in einer isolierten Umgebung zu installieren und auszuf\u00fchren, in der IT-Experten ihre Aktivit\u00e4ten \u00fcberwachen k\u00f6nnen, um potenzielle Risiken zu erkennen und erforderliche Gegenma\u00dfnahmen zu ergreifen. Derzeit wird Sandbox-Umgebungen in der Regel auf dedizierten virtuellen Maschinen auf einem virtuellen Host implementiert. Es ist jedoch wichtig zu beachten, dass die Sandbox nur zeigt, wie sich gef\u00e4hrliche und schadhafte Programme verhalten, w\u00e4hrend ein Honeynet dem Fachmann hilft, das Verhalten von \u201egef\u00e4hrlichen Akteuren\u201c zu analysieren. <\/p>\n

Der offensichtliche Nutzen von Honeynets liegt darin, dass sie Angreifer irref\u00fchren, indem sie deren Kr\u00e4fte, Ressourcen und Zeit ersch\u00f6pfen. Infolgedessen greifen sie anstatt echter Ziele falsche an und k\u00f6nnen die Angriffe auf das Netzwerk abbrechen, ohne etwas erreicht zu haben. Am h\u00e4ufigsten werden Honeynet-Technologien in Regierungsbeh\u00f6rden und gro\u00dfen Unternehmen sowie in Finanzorganisationen eingesetzt, da diese Strukturen oft Ziel gro\u00dfangelegter Cyberangriffe sind. jedoch auch kleine und mittlere Unternehmen (KMU) ben\u00f6tigen effektive Werkzeuge zur Verhinderung von IT-Sicherheitsvorf\u00e4llen. Der Einsatz von Honeynets im KMU-Sektor ist jedoch nicht einfach, da es an qualifiziertem Personal f\u00fcr diese komplexe Aufgabe mangelt.<\/p>\n

Die Begrenzung von Honeypot- und Honeynet-L\u00f6sungen<\/u><\/strong><\/p>\n

Warum sind Honeypots und Honeynets heutzutage nicht die besten L\u00f6sungen zur Bek\u00e4mpfung von Angriffen? Es ist zu beachten, dass die Angriffe immer umfangreicher und technisch komplexer werden und erhebliche Sch\u00e4den an der IT-Infrastruktur von Unternehmen verursachen k\u00f6nnen. Cyberkriminalit\u00e4t hat ein v\u00f6llig neues Niveau erreicht und stellt hochorganisierte Schattenbusiness-Strukturen dar, die mit allen notwendigen Ressourcen ausgestattet sind. Hinzu kommt der \"menschliche Faktor\" (Fehler bei der Konfiguration von Software und Hardware, Handlungen von Insidern usw.). Daher gen\u00fcgt es derzeit nicht mehr, sich ausschlie\u00dflich auf Technologien zur Bek\u00e4mpfung von Angriffen zu verlassen. <\/p>\n

Im Folgenden werden die wichtigsten Einschr\u00e4nkungen und Nachteile von Honeypots (Honeynets) aufgelistet:<\/p>\n

    \n
  1. \n

    Honeypots wurden urspr\u00fcnglich entwickelt, um Bedrohungen au\u00dferhalb des Unternehmensnetzwerks zu identifizieren, sie sind eher auf die Analyse des Verhaltens von Angreifern ausgelegt und nicht f\u00fcr eine schnelle Reaktion auf Bedrohungen optimiert. <\/p>\n<\/li>\n

  2. \n

    Angreifer haben in der Regel bereits gelernt, emulierte Systeme zu erkennen und Honeypots zu meiden. <\/p>\n<\/li>\n

  3. \n

    Honeynets (Honeypots) weisen ein extrem niedriges Ma\u00df an Interaktivit\u00e4t und Interaktion mit anderen Sicherheitssystemen auf, was es schwierig macht, umfassende Informationen \u00fcber Angriffe und Angreifer zu erhalten. Dies beeintr\u00e4chtigt die effektive und schnelle Reaktion auf IT-Sicherheitsvorf\u00e4lle. Dar\u00fcber hinaus erhalten IT-Sicherheitsspezialisten eine gro\u00dfe Anzahl falscher Bedrohungswarnungen. <\/p>\n<\/li>\n

  4. \n

    In einigen F\u00e4llen k\u00f6nnen Hacker einen kompromittierten Honeypot als Ausgangspunkt f\u00fcr einen fortgesetzten Angriff auf das Netzwerk der Organisation nutzen. <\/p>\n<\/li>\n

  5. \n

    H\u00e4ufig treten Probleme mit der Skalierbarkeit von Honeypots auf, die durch hohe operative Belastung und Konfiguration solcher Systeme entstehen (sie erfordern hochqualifizierte Fachkr\u00e4fte und bieten keine benutzerfreundliche Verwaltungsoberfl\u00e4che usw.). Dar\u00fcber hinaus gibt es erhebliche Schwierigkeiten beim Einsatz von Honeypots in spezialisierten Umgebungen wie IoT, POS, Cloud-Systemen usw.<\/p>\n<\/li>\n<\/ol>\n

    2. Betrugstechnologie: Vorteile und grundlegende Funktionsprinzipien<\/h2>\n

    Nach der Untersuchung aller Vor- und Nachteile von Honeypots kommen wir zu dem Schluss, dass es einen v\u00f6llig neuen Ansatz zur Reaktion auf IT-Sicherheitsvorf\u00e4lle ben\u00f6tigt, um schnelle und angemessene Antworten auf die Handlungen von Angreifern zu entwickeln. Und eine solche L\u00f6sung sind Technologien. Cyber-Deception (Sicherheitsdeception)<\/strong>. <\/p>\n

    Die Terminologie \u201eCyber-Deception\u201c, \u201eSecurity Deception\u201c, \u201eDeception Technology\u201c, \u201eDistributed Deception Platform\u201c (DDP) ist relativ neu und hat erst vor kurzem an Bedeutung gewonnen. Tats\u00e4chlich beziehen sich all diese Begriffe auf den Einsatz von \u201eT\u00e4uschungstechnologien\u201c oder \u201eTechniken zur Simulation von IT-Infrastrukturen und der Desinformation von Angreifern\u201c. Die einfachsten Deception-L\u00f6sungen sind Weiterentwicklungen der Ideen von Honeypots, jedoch auf einem technologisch fortschrittlicheren Niveau, das eine gr\u00f6\u00dfere Automatisierung bei der Bedrohungserkennung und -reaktion vorsieht. Auf dem Markt existieren bereits ernsthafte DDP-L\u00f6sungen, die einfache Bereitstellung und Skalierung erm\u00f6glichen und \u00fcber ein umfangreiches Arsenal an \u201eFallen\u201c und \u201eK\u00f6dern\u201c f\u00fcr Angreifer verf\u00fcgen. Zum Beispiel erm\u00f6glicht Deception die Emulation von Komponenten der IT-Infrastruktur wie Datenbanken, Workstations, Router, Switches, Geldautomaten, Server und SCADA-Systemen, medizinischen Ger\u00e4ten und IoT. <\/p>\n

    Wie funktioniert die \u201eDistributed Deception Platform\u201c? Nach der Bereitstellung der DDP wird die IT-Infrastruktur der Organisation in zwei Schichten aufgebaut: die erste Schicht ist die reale Infrastruktur des Unternehmens, und die zweite ist eine \u201eemulierte\u201c Umgebung, die aus Fallen (engl. decoys, traps) und K\u00f6dern (engl. lures) besteht, die auf echten physischen Ger\u00e4ten im Netzwerk platziert sind (siehe Abb. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Zum Beispiel kann ein Angreifer falsche Datenbanken mit \u201evertraulichen Dokumenten\u201c oder gef\u00e4lschte Anmeldedaten angeblicher \u201eprivilegierter Benutzer\u201c entdecken \u2013 all dies sind falsche Ziele, die das Interesse der Angreifer wecken k\u00f6nnen, wodurch sie von den tats\u00e4chlichen Informationen des Unternehmens abgelenkt werden (siehe Abb. 5).<\/p>\n

    \"Honeypot<\/p>\n

    Die DDP ist ein Neuling auf dem Markt f\u00fcr Sicherheitsprodukte, diese L\u00f6sungen sind erst seit einigen Jahren verf\u00fcgbar und bislang k\u00f6nnen sie sich nur gro\u00dfe Unternehmen leisten. Aber auch kleine und mittelst\u00e4ndische Unternehmen werden bald in der Lage sein, Deception zu nutzen, indem sie DDP bei spezialisierten Anbietern \u201eals Dienstleistung\u201c mieten. Diese Option ist sogar bequemer, da es nicht notwendig ist, eigene hochqualifizierte Fachkr\u00e4fte zu besch\u00e4ftigen.<\/p>\n

    Im Folgenden sind die wichtigsten Vorteile der Deception-Technologie aufgef\u00fchrt:<\/p>\n