{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception tomando como ejemplo Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

En Habr ya hay varios art\u00edculos sobre las tecnolog\u00edas Honeypot y Deception (1 art\u00edculo<\/a><\/noindex>, art\u00edculo 2<\/a><\/noindex>). Sin embargo, todav\u00eda nos encontramos con la falta de comprensi\u00f3n sobre la diferencia entre estas dos clases de herramientas de protecci\u00f3n. Para ello, nuestros colegas de Xello Deception<\/a><\/noindex> (primer desarrollador ruso de la plataforma Deception<\/a><\/noindex>) han decidido describir en detalle las diferencias, ventajas y caracter\u00edsticas arquitect\u00f3nicas de estas soluciones.<\/p>\n

Vamos a entender qu\u00e9 son los \u00abhoneypots\u00bb y los \u00abdeception technologies\u00bb:<\/h2>\n

Las \u00abtecnolog\u00edas de enga\u00f1o\u00bb (ingl\u00e9s, Deception technology) han aparecido en el mercado de los sistemas de seguridad inform\u00e1tica relativamente recientemente. Sin embargo, algunos expertos a\u00fan consideran la Seguridad Deception como unos \u00abhoneypots\u00bb (ingl\u00e9s, honeypot) m\u00e1s avanzados. <\/p>\n

En este art\u00edculo, intentaremos aclarar tanto la similitud como las diferencias fundamentales entre estas dos soluciones. En la primera parte, hablaremos sobre el \u00abhoneypot\u00bb, c\u00f3mo ha evolucionado esta tecnolog\u00eda y cu\u00e1les son sus ventajas y desventajas. En la segunda parte, nos detendremos a fondo en los principios de funcionamiento de las plataformas para crear infraestructuras distribuidas de objetivos ficticios (ingl., Distributed Deception Platform \u2014 DDP). <\/p>\n

El principio b\u00e1sico que subyace en los honeypots es la creaci\u00f3n de trampas para los hackers. Con el mismo principio se desarrollaron las primeras soluciones de Deception. Sin embargo, los DDP modernos superan significativamente a los honeypots, tanto en funcionalidad como en eficacia. Las plataformas Deception incluyen: trampas (ingl., decoys, traps), cebos (ingl., lures), aplicaciones, datos, bases de datos, Active Directory. Los DDP modernos pueden proporcionar amplias oportunidades para la detecci\u00f3n de amenazas, el an\u00e1lisis de ataques y la automatizaci\u00f3n de respuestas. <\/p>\n

Por lo tanto, el Deception representa t\u00e9cnicas de imitaci\u00f3n de la infraestructura de TI de la empresa y confundir a los hackers. Como resultado, estas plataformas permiten detener ataques antes de causar un da\u00f1o significativo a los activos de la empresa. Los honeypots, por supuesto, no tienen tal funcionalidad amplia y nivel de automatizaci\u00f3n, por lo que su uso requiere una mayor calificaci\u00f3n de los empleados de los departamentos de seguridad inform\u00e1tica.<\/p>\n

1. Honeypots, Honeynets y Sandboxing: qu\u00e9 son y c\u00f3mo se aplican<\/h2>\n

Por primera vez, el t\u00e9rmino \u00abhoneypots\u00bb fue utilizado en 1989 en el libro de Clifford Stoll \u00abThe Cuckoo\u2019s Egg\u00bb, que describe los eventos relacionados con el rastreo de un hacker en el Laboratorio Nacional Lawrence Berkeley (EE. UU.). En la pr\u00e1ctica, esta idea fue implementada en 1999 por Lance Spitzner, un especialista en seguridad de la empresa Sun Microsystems, quien fund\u00f3 el proyecto de investigaci\u00f3n \u00abHoneynet Project\u00bb. Los primeros honeypots eran muy intensivos en recursos, complejos de configurar y mantener. <\/p>\n

Analicemos m\u00e1s detenidamente qu\u00e9 son honeypots <\/strong>y honeynets<\/strong>. Los honeypots son hosts separados, cuyo prop\u00f3sito es atraer a los atacantes a infiltrarse en la red de la empresa y tratar de robar datos valiosos, as\u00ed como expandir el dominio de la red. Un honeypot (traducido literalmente como \u00abtarro de miel\u00bb) es un servidor especial con un conjunto de diversos servicios y protocolos de red, como HTTP, FTP, etc. (ver fig. 1).<\/p>\n

\"Honeypot<\/p>\n

Si agrupamos varios honeypots <\/strong>en una red, obtendremos un sistema m\u00e1s efectivo de honeynet<\/strong>, que emula la red corporativa de la empresa (servidor web, servidor de archivos y otros componentes de la red). Esta soluci\u00f3n permite entender la estrategia de los atacantes y enga\u00f1arlos. Un honeynet t\u00edpico generalmente opera en paralelo a la red de trabajo y es completamente independiente de ella. Esta \u00abred\u00bb puede ser publicada en Internet a trav\u00e9s de un canal separado, y tambi\u00e9n se puede asignar un rango de direcciones IP espec\u00edfico para ella (ver fig. 2).<\/p>\n

\"Honeypot<\/p>\n

El prop\u00f3sito de utilizar honeynet es mostrar al hacker que supuestamente ha infiltrado la red corporativa de la organizaci\u00f3n, mientras que en realidad el atacante est\u00e1 en un \u00abentorno aislado\u00bb y bajo vigilancia cercana de expertos en seguridad de la informaci\u00f3n (ver fig. 3).<\/p>\n

\"Honeypot<\/p>\n

Aqu\u00ed tambi\u00e9n es necesario mencionar una herramienta llamada \u00absandbox<\/strong>\u00bb (en ingl\u00e9s, sandbox<\/strong>), que permite a los atacantes instalar y ejecutar programas maliciosos en un entorno aislado, donde los especialistas en TI pueden rastrear sus acciones con el fin de identificar riesgos potenciales y tomar las contramedidas necesarias. Actualmente, el sandboxing generalmente se implementa en m\u00e1quinas virtuales dedicadas en un host virtual. Sin embargo, es importante destacar que el sandboxing solo muestra c\u00f3mo se comportan los programas peligrosos y maliciosos, mientras que honeynet ayuda al especialista a analizar el comportamiento de los \u00abjugadores peligrosos\u00bb. <\/p>\n

La evidente ventaja de las honeynets es que enga\u00f1an a los infractores, desperdiciando sus fuerzas, recursos y tiempo. Como resultado, en lugar de atacar objetivos reales, atacan falsos y pueden desistir de la ataque a la red sin haber logrado nada. Con mayor frecuencia, las tecnolog\u00edas de honeynets se utilizan en instituciones gubernamentales y grandes corporaciones, as\u00ed como en organizaciones financieras, ya que estas estructuras son las que se convierten en objetivos de grandes ciberataques. Sin embargo, las peque\u00f1as y medianas empresas (SMB) tambi\u00e9n necesitan herramientas efectivas para prevenir incidentes de ciberseguridad, pero las honeynets en el sector SMB no son tan f\u00e1ciles de implementar debido a la falta de personal calificado para un trabajo tan complicado.<\/p>\n

Limitaciones de las soluciones Honeypots y Honeynets<\/u><\/strong><\/p>\n

\u00bfPor qu\u00e9 los honeypots y honeynets no son las mejores soluciones para contrarrestar ataques hoy en d\u00eda? Es importante se\u00f1alar que los ataques est\u00e1n volvi\u00e9ndose cada vez m\u00e1s sofisticados, t\u00e9cnicamente complejos y pueden causar serios da\u00f1os a la infraestructura de TI de una organizaci\u00f3n, adem\u00e1s el ciberdelito ha alcanzado un nivel completamente diferente y representa estructuras empresariales oscuras altamente organizadas, equipadas con todos los recursos necesarios. A esto se debe a\u00f1adir el \u2018factor humano\u2019 (errores en la configuraci\u00f3n del software y hardware, acciones de insiders, etc.), por lo que el uso exclusivo de tecnolog\u00edas para prevenir ataques es ya insuficiente en este momento. <\/p>\n

A continuaci\u00f3n, enumeramos las principales limitaciones y desventajas de los honeypots (honeynets):<\/p>\n

    \n
  1. \n

    Los \u2018honeypots\u2019 fueron dise\u00f1ados originalmente para identificar amenazas que est\u00e1n fuera de la red corporativa, est\u00e1n destinados m\u00e1s bien para analizar el comportamiento de los intrusos y no est\u00e1n dise\u00f1ados para una respuesta r\u00e1pida a las amenazas. <\/p>\n<\/li>\n

  2. \n

    Los infractores, por lo general, ya han aprendido a reconocer sistemas emulados y evitar honeypots. <\/p>\n<\/li>\n

  3. \n

    Las honeynets (honeypots) tienen un nivel extremadamente bajo de interactividad e interacci\u00f3n con otros sistemas de seguridad, lo que dificulta obtener informaci\u00f3n detallada sobre los ataques y los atacantes, y por lo tanto, responder de manera efectiva y r\u00e1pida a los incidentes de ciberseguridad. Adem\u00e1s, los especialistas en ciberseguridad reciben una gran cantidad de falsos avisos sobre amenazas. <\/p>\n<\/li>\n

  4. \n

    En algunos casos, los hackers pueden utilizar un honeypot comprometido como punto de partida para continuar el ataque a la red de la organizaci\u00f3n. <\/p>\n<\/li>\n

  5. \n

    A menudo surgen problemas con la escalabilidad de los honeypots, la alta carga operativa y la configuraci\u00f3n de tales sistemas (requieren especialistas altamente calificados, no tienen una interfaz de gesti\u00f3n amigable, etc.). Hay grandes dificultades para implementar honeypots en entornos especializados, como IoT, POS, sistemas en la nube, etc.<\/p>\n<\/li>\n<\/ol>\n

    2. Tecnolog\u00eda de enga\u00f1o: ventajas y principios b\u00e1sicos de funcionamiento<\/h2>\n

    Al estudiar todas las ventajas y desventajas de los honeypots, llegamos a la conclusi\u00f3n de que se necesita un enfoque completamente nuevo para la respuesta a incidentes de ciberseguridad con el objetivo de generar una respuesta r\u00e1pida y adecuada a las acciones de los atacantes. Y esa soluci\u00f3n son las tecnolog\u00edas. Ciber enga\u00f1o (Enga\u00f1o de seguridad)<\/strong>. <\/p>\n

    La terminolog\u00eda \u00abCyber deception\u00bb, \u00abSecurity deception\u00bb, \u00abDeception technology\u00bb y \u00abDistributed Deception Platform\u00bb (DDP) es relativamente nueva y apareci\u00f3 no hace mucho. De hecho, todos estos t\u00e9rminos se refieren al uso de \u00abtecnolog\u00edas de enga\u00f1o\u00bb o \u00abt\u00e9cnicas de simulaci\u00f3n de la infraestructura IT y desinformaci\u00f3n de los atacantes\u00bb. Las soluciones m\u00e1s simples de Deception son el desarrollo de las ideas de honeypots, pero a un nivel tecnol\u00f3gicamente m\u00e1s avanzado, que implica una mayor automatizaci\u00f3n en la detecci\u00f3n de amenazas y su respuesta. Sin embargo, ya hay soluciones serias en el mercado de tipo DDP, que permiten una f\u00e1cil implementaci\u00f3n y escalado, y cuentan con un considerable arsenal de \u00abtrampas\u00bb y \u00abcebos\u00bb para los atacantes. Por ejemplo, Deception permite emular objetos de la infraestructura IT, como bases de datos, estaciones de trabajo, enrutadores, conmutadores, cajeros autom\u00e1ticos, servidores y SCADA, equipos m\u00e9dicos e IoT. <\/p>\n

    \u00bfC\u00f3mo funciona la \u00abDistributed Deception Platform\u00bb? Despu\u00e9s de desplegar el DDP, la infraestructura IT de la organizaci\u00f3n se estructurar\u00e1 como si estuviera compuesta de dos capas: la primera capa es la infraestructura real de la empresa, y la segunda es un entorno \u00abemulado\u00bb compuesto de trampas (ingl\u00e9s, decoys, traps) y cebos (ingl\u00e9s, lures), que se encuentran en dispositivos f\u00edsicos reales de la red (ver figura 4).<\/p>\n

    \"Honeypot<\/p>\n

    Por ejemplo, un atacante puede descubrir bases de datos falsas con \"documentos confidenciales\", credenciales falsas que supuestamente pertenecen a \"usuarios privilegiados\". Estos son objetivos enga\u00f1osos que pueden interesar a los infractores, desviando as\u00ed su atenci\u00f3n de los verdaderos activos informativos de la empresa (ver figura 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP es una novedad en el mercado de productos de seguridad de la informaci\u00f3n, estas soluciones tienen apenas unos pocos a\u00f1os y actualmente solo el sector corporativo puede permit\u00edrselas. Sin embargo, las peque\u00f1as y medianas empresas pronto tambi\u00e9n podr\u00e1n beneficiarse del Deception, alquilando DDP a proveedores especializados, \"como servicio\". Esta opci\u00f3n es incluso m\u00e1s conveniente, ya que no hay necesidad de contar con personal altamente calificado propio.<\/p>\n

    A continuaci\u00f3n se presentan las principales ventajas de la tecnolog\u00eda Deception:<\/p>\n