{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Inevitablemente atractivo: c\u00f3mo creamos un honeypot que no puede ser descubierto","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Inevitablemente
\nLas empresas de antivirus, expertos en seguridad y simples entusiastas publican en internet sistemas trampa: honeypots, para \"atrapar\" nuevas variedades de virus o identificar t\u00e1cticas de hackers inusuales. Los honeypots son tan comunes que los cibercriminales han desarrollado una especie de inmunidad: r\u00e1pidamente identifican que se trata de una trampa y simplemente la ignoran. Para investigar la t\u00e1ctica de los hackers modernos, creamos un honeypot realista que vivi\u00f3 en internet durante siete meses, atrayendo ataques diversos. Sobre c\u00f3mo fue eso, hablamos en nuestra investigaci\u00f3n \"Atrapados en el Acto: Ejecutando un Honeypot Industrial Realista para Capturar Amenazas Reales<\/a><\/noindex>\u201c. Algunos hechos de la investigaci\u00f3n se presentan en este post. <\/i>
\n<\/a><\/noindex><\/p>\n

Desarrollo del honeypot: lista de verificaci\u00f3n<\/h3>\n

\nLa principal tarea al crear nuestra super trampa fue evitar que los hackers, que mostraron inter\u00e9s en ella, nos descubrieran. Para esto, tuvimos que realizar un gran trabajo: <\/p>\n

    \n
  1. Crear una leyenda realista sobre la empresa, que incluyera nombres y fotos de empleados, n\u00fameros de tel\u00e9fono y correos electr\u00f3nicos.<\/li>\n
  2. Dise\u00f1ar e implementar un modelo de infraestructura industrial que coincidiera con la leyenda de las actividades de nuestra empresa. <\/li>\n
  3. Decidir qu\u00e9 servicios de red estar\u00edan disponibles externamente, pero sin abrir puertos vulnerables, para que esto no pareciera una trampa obvia. <\/li>\n
  4. Organizar la visibilidad de una filtraci\u00f3n de informaci\u00f3n sobre un sistema vulnerable y difundir esos datos entre posibles atacantes.<\/li>\n
  5. Implementar una observaci\u00f3n discreta de las acciones de los hackers dentro de la infraestructura de la trampa. <\/li>\n<\/ol>\n

    \nY ahora, hablemos de todo en orden.<\/p>\n

    Creando la leyenda<\/b><\/h3>\n

    \nLos cibercriminales ya est\u00e1n acostumbrados a encontrar muchos honeypots, as\u00ed que la parte m\u00e1s avanzada de ellos realiza una investigaci\u00f3n profunda de cada sistema vulnerable para asegurarse de que no es una trampa. Por la misma raz\u00f3n, buscamos no solo la realismo del honeypot en t\u00e9rminos de dise\u00f1o y aspectos t\u00e9cnicos, sino que tambi\u00e9n creamos la apariencia de una empresa real.<\/p>\n

    Poni\u00e9ndonos en el lugar de un hipot\u00e9tico culhacker, desarrollamos un algoritmo de verificaci\u00f3n que pudiera distinguir un sistema real de una trampa. Inclu\u00eda la b\u00fasqueda de direcciones IP de la empresa en sistemas de reputaci\u00f3n, la investigaci\u00f3n inversa de la historia de direcciones IP, la b\u00fasqueda de nombres y palabras clave relacionadas con la empresa, as\u00ed como con sus contrapartes y muchas otras cosas. Al final, la leyenda result\u00f3 ser bastante convincente y atractiva.<\/p>\n

    Decidimos posicionar la trampa como una peque\u00f1a boutique de prototipado industrial que trabaja para clientes an\u00f3nimos de gran envergadura en los sectores militar y aeron\u00e1utico. Esto nos libraba de las complicaciones legales asociadas al uso de una marca ya existente.<\/p>\n

    A continuaci\u00f3n, necesit\u00e1bamos idear una visi\u00f3n, una misi\u00f3n y un nombre para la organizaci\u00f3n. Decidimos que nuestra empresa ser\u00eda una startup con un peque\u00f1o n\u00famero de empleados, cada uno de los cuales era un fundador. Esto a\u00f1ad\u00eda credibilidad a la leyenda sobre la especializaci\u00f3n de nuestro negocio, lo que le permit\u00eda trabajar en proyectos delicados para clientes grandes e importantes. Quer\u00edamos que nuestra empresa aparentara ser d\u00e9bil en t\u00e9rminos de ciberseguridad, pero al mismo tiempo deb\u00eda ser obvio que trabajamos con activos importantes en sistemas objetivo.<\/p>\n

    \"Inevitablemente
    \nCaptura de pantalla del sitio web del honeypot MeTech. Fuente: Trend Micro<\/i><\/p>\n

    Elegimos la palabra MeTech como nombre para la empresa. Creamos el sitio utilizando una plantilla gratuita. Las im\u00e1genes las tomamos de bancos de fotos, usando las menos populares y modific\u00e1ndolas para hacerlas menos reconocibles. <\/p>\n

    Quer\u00edamos que la empresa pareciera real, por lo que necesit\u00e1bamos a\u00f1adir empleados con habilidades profesionales que coincidieran con el perfil de la empresa. Creamos nombres y personalidades para ellos, y luego intentamos elegir im\u00e1genes de bancos de fotos de acuerdo con la pertenencia \u00e9tnica. <\/p>\n

    \"Inevitablemente
    \nCaptura de pantalla del sitio web del honeypot MeTech. Fuente: Trend Micro<\/i><\/i><\/p>\n

    Para no ser descubiertos, busc\u00e1bamos fotos grupales de buena calidad de las que poder seleccionar los rostros que necesit\u00e1bamos. Sin embargo, luego desechamos esta opci\u00f3n, ya que un potencial hacker podr\u00eda utilizar la b\u00fasqueda inversa de im\u00e1genes y descubrir que nuestros \"empleados\" solo exist\u00edan en bancos de fotos. Al final, utilizamos fotograf\u00edas de personas inexistentes, creadas mediante redes neuronales.<\/p>\n

    Los perfiles de empleados publicados en el sitio conten\u00edan informaci\u00f3n importante sobre sus habilidades t\u00e9cnicas, pero evitamos mencionar instituciones educativas y ciudades espec\u00edficas.
    \nPara crear los buzones de correo, utilizamos el servidor del proveedor de hosting, y luego alquilamos varios n\u00fameros de tel\u00e9fono en EE. UU. y los combinamos en una central telef\u00f3nica virtual con men\u00fa de voz y contestador autom\u00e1tico.<\/p>\n

    Infraestructura del honeypot<\/b><\/h3>\n

    \nPara evitar ser descubiertos, decidimos utilizar una combinaci\u00f3n de hardware industrial real, computadoras f\u00edsicas y m\u00e1quinas virtuales protegidas. Anticip\u00e1ndonos, podemos decir que verificamos los resultados de nuestros esfuerzos con el motor de b\u00fasqueda Shodan, y mostr\u00f3 que el honeypot parece un sistema industrial real.<\/p>\n

    \"Inevitablemente
    \nResultado del escaneo del honeypot con Shodan. Fuente: Trend Micro<\/i><\/p>\n

    Como \"hardware\" para nuestra trampa, utilizamos cuatro PLC:<\/p>\n