🥇Honeypot vs Deception Xello näitel

Habr'is on juba mitmeid artikleid tehnoloogiate Honeypot ja Deception kohta (1 artikkel, 2 artiklit). Siiski, me seisame siiani silmitsi arusaamatusega nende kaitsemeetmete klasside erinevustest. Selleks on meie kolleegid Xello Deception (esimene Venemaa arendaja Deception platvormide) otsustanud detailselt kirjeldada nende lahenduste erinevusi, eeliseid ja arhitektuurilisi omadusi.

Uurime, mis on "haanipotid" ja "desepšendid":

"Petmise tehnoloogiad" (ingl. Deception technology) on infotehnoloogia turvalisuse süsteemide turule ilmunud suhteliselt hiljuti. Siiski, mõned spetsialistid peavad Security Deception'i vaid täiustatud "haanipotiks" (ingl. honeypot).

Selles artiklis püüame nimetada nii sarnasusi kui ka põhilisi erinevusi nende kahe lahenduse vahel. Esimeses osas räägime "haanipotist", kuidas see tehnoloogia on arenenud ja millised on selle eelised ja puudused. Teises osas peatume põhjalikumalt vale sihtmärkide jaotatud infrastruktuuri loomise platvormide tööpõhimõtetel (ingl. Distributed Deception Platform — DDP).

Baasprint, mis on honeypot'ide aluseks, seisneb rünnakute püüdmisel. Samadele põhimõtetele on rajatud varased Deception lahendused. Kuid kaasaegsed DDP-d ületavad honeypot'id nii funktsionaalsuse kui ka tõhususe poolest. Deception platvormid hõlmavad: lõkse (ingl. decoys, traps), ahvatlusi (ingl. lures), rakendusi, andmeid, andmebaase, Active Directory't. Kaasaegsed DDP-d suudavad pakkuda laialdasi võimalusi ohtude tuvastamiseks, rünnakute analüüsimiseks ja vastuste automatiseerimiseks.

Nii esindavad Deception tehnikad ettevõtte IT-infrastruktuuri jäljendamist ja häkkerite eksitamise meetodeid. Lõpptulemusena võimaldavad need platvormid peatada rünnakud enne, kui need tekitavad ettevõtte varadele olulist kahju. Honeypot'id ei oma loomulikult nii laia funktsionaalsust ega nii suurt automatiseerimist, mistõttu nende kasutamine nõuab infotehnoloogia osakondadelt suuremat kvalifikatsiooni.

1. Honeypot'id, Honeynet'id ja Sandboxing: mis need on ja kuidas neid rakendatakse

Esmakordselt kasutati mõistet „honeypots“ 1989. aastal Clifford Stolli raamatust „The Cuckoo’s Egg“, kus kirjeldatakse sündmusi häkkeri jälgimisel Lawrence Berkeley rahvuslaboris (USA). Praktikas viidi see idee ellu 1999. aastal Lance Spitzneri, Sun Microsystems'i küberturbe eksperdi, poolt, kes asutas uurimisprojekti „Honeynet Project“. Esimesed honeypot'id olid väga ressursimahukad, keerulised seadistada ja hooldada.

Vaatame lähemalt, mis on honeypots ja honeynets. Honeypots on eraldi hostid, mille eesmärk on meelitada kurjategijaid, et need siseneksid ettevõtte võrku ja prooviksid varastada väärtuslikke andmeid ning laiendada võrgu tegevusala. Honeypot (tõlgituna „meepott“) on spetsiaalne server, millel on erinevate võrguteenuste ja protokollide, näiteks HTTP, FTP jne (vt joonis 1) kogum.

Kui ühendame mitu honeypots võrguks, saame juba tõhusama süsteemi honeynet, mis on ettevõtte (veebiserver, failiserver ja muud võrgu komponendid) korporatiivse võrgu emulatsioon. See lahendus aitab mõista küberkurjategijate tegevusstrateegiat ja suunata neid valele teele. Tüüpiline honeynet töötab tavaliselt paralleelselt töösuhtevõrguga ja on sellest täiesti sõltumatu. Sellist "võrku" saab avaldada Internetis eraldi kanali kaudu ning sellele võib määrata eraldi IP-aadressi ruumi (vt joonis 2).

Honeyneti kasutamise mõte on näidata häkkerile, et ta olevat tunginud organisatsiooni korporatiivvõrku, kuid tegelikult viibib küberkurjategija "isoleeritud keskkonnas" ning on küberjulgeoleku spetsialiste pideva jälgimise all (vt joonis 3).

Siin tuleb samuti mainida sellist vahendit nagu „liivakast(ingl., sandbox), mis võimaldab häkkeritel paigaldada ja käitada pahavarasid isoleeritud keskkonnas, kus IT-spetsialistid saavad jälgida nende tegevust potentsiaalsete riskide tuvastamiseks ja vajalike meetmete võtmiseks. Praegu rakendatakse sandboksi reeglina eraldatud virtuaalmasinatel virtuaalses hostis. Siiski tuleb märkida, et sandboksi abil saab näha vaid ohtlike ja pahatahtlike programmide käitumist, samas kui honeynet aitab spetsialistil analüüsida «ohtlike mängijate» käitumist.

Honeyneti peamine eelis on see, et need segavad ründajaid, raisates nende jõude, ressursse ja aega. Selle tulemusena ründavad nad vale sihtmärke, mitte reaalseid eesmärke, ja võivad lõpetada rünnaku, saavutamata midagi. Honeynetehnoloogiaid kasutatakse kõige sagedamini valitsusasutustes, suurtes ettevõtetes ja finantsorganisatsioonides, kuna need struktuurid on suurte küberrünnakute sihtmärgid. Kuid ka väikestel ja keskmise suurusega ettevõtetel (VKEd) on vaja tõhusaid tööriistu küberohtude ennetamiseks, kuigi honeynete kasutamine VKEde sektoris ei ole nii lihtne, kuna kvalifitseeritud spetsialistide puudus muudab selle ülesande teostamise keerulisemaks.

Honeypotide ja honeynete lahenduste piirangud

Miks pole honeypot'id ja honeynet'id tänapäeval parimad lahendused rünnakute tõrjumiseks? Tuleb märkida, et rünnakud muutuvad üha laiemaks, tehniliselt keerukamaks ja suudavad põhjustada tõsist kahju organisatsiooni IT-infrastruktuurile. Küberkuritegevus on jõudnud täiesti uuele tasemele ja esindab kõrgelt organiseeritud varjuäri, millel on kõik vajalikud ressursid. Siia tuleb lisada ka „inimfaktor“ (näiteks tarkvara ja riistvara seadistustega seotud vead, siseringi töötajate tegevus jne), seetõttu pole ainult tehnoloogiate kasutamine rünnakute vältimiseks praegu enam piisav.

Allpool on välja toodud peamised honeypot'ide (honeynet'ide) piirangud ja puudused:

Honeypot'id loodi algselt ohtude määratlemiseks, mis asuvad väljaspool ettevõtte võrgustikku, ning need on pigem mõeldud ründajate käitumise analüüsimiseks, mitte kiireks reageerimiseks ohtudele.
Ründajad on tavaliselt juba õppinud tuvastama emuleeritud süsteeme ja vältima honeypot'e.
Honeynetid (honeypot'id) omavad äärmiselt madalat interaktiivsuse ja suhtlemise taset teiste turvasüsteemidega, mistõttu on nende kasutamisel keeruline saada põhjalikku teavet rünnakute ja ründajate kohta, ning seega ka tõhusalt ja kiiresti reageerida infoturbe intsidentidele. Lisaks saavad infoturbe spetsialistid suure hulga valehäireid ohutuse kohta.
Mõnel juhul võivad häkkerid kasutada kompromiteeritud honeypoti, et jätkata rünnakut organisatsiooni võrku.
Honeypot'idega tekivad sageli probleemid skaleeritavuse, kõrgete operatiivsete koormuste ja süsteemide seadistamise osas (nende seadistamine nõuab kõrgelt kvalifitseeritud spetsialiste, puudub mugav haldusliides jne). Honeypot'ide juurutamine spetsialiseeritud keskkondades, nagu IoT, POS, pilvesüsteemides jne, on väga keeruline.

2. Petetehnoloogia: eelised ja põhiprintsiibid

Uurides kõiki honeypotide eeliseid ja puudusi, jõuame järeldusele, et on vajalik täiesti uus lähenemine küberturvakaamerate olukordadele reageerimise osas, et anda kiire ja asjakohane vastus ründajate tegevustele. Ja selliseks lahenduseks on tehnoloogiad Küberpetmine (turvalisuse petmine).

Terminoloogia „Cyber deception“, „Security deception“, „Deception technology“, „Distributed Deception Platform“ (DDP) on suhteliselt uus ja on ilmnenud hiljuti. Tegelikult tähendavad kõik need terminid „petmistehnoloogiate“ või „IT-infrastruktuuri modelleerimise ja pahatahtlikele valeinformatsiooni andmise tehnikaid“. Lihtsaimad Deception lahendused põhinevad honeypot ideedel, kuid kõrgemal tehnoloogia tasemel, mis eeldab suuremat automatiseerimist ohtude avastamisel ja neile reageerimisel. Turul on juba tõsised DDP-tüüpi lahendused, mis pakuvad lihtsat juurutamist ja skaleeritavust ning sisaldavad tõsist arsenali „lõkse“ ja „meelitusi“ ründajate jaoks. Näiteks võimaldab Deception emuleerida IT-infrastruktuuri objekte nagu andmebaasid, tööjaamad, ruuterid, lülitid, sularahaautomaadid, serverid ja SCADA, meditsiiniseadmed ja IoT.

Kuidas töötab Distributed Deception Platform? Pärast DDP deployimist on organisatsiooni IT-infrastruktuur üles ehitatud nagu kahekihiline struktuur: esimene kiht on ettevõtte reaalne infrastruktuur, teine kiht on 'emuleeritud' keskkond, mis koosneb lõksudest (ingl. decoys, traps) ja meelitustest (ingl. lures), mis on paigutatud reaalsesse füüsilisse seadmesse võrku (vt joonis 4).

Näiteks võib kurjategija avastada valeandmebaasid 'konfidentsiaalsete dokumentidega', valekasutajate õiguskaitsetooted — kõik need on valeeesmärgid, mis võivad rikkumiste häirib ja suunata nende tähelepanu kõrvale ettevõtte tegelikelt teabevaradelt (vt joonis 5).

DDP on uus toode infoturbe turul, need lahendused on vaid paar aastat vanad ja seni on need olnud hinnas ainult korporatiivse sektori jaoks. Kuid väike- ja keskmise suurusega ettevõtted saavad peagi ka Deception'ist kasu, üürides DDP-d spetsialiseeritud teenusepakkujatelt 'teenusena'. Selline variant on isegi mugavam, kuna ei ole vajalik kõrgelt kvalifitseeritud töötajate olemasolu.

Allpool on toodud peamised Deception-tehnoloogia eelised:

Authenticity. Deception tehnoloogia suudab luua täielikult autentse IT-keskkonna, emuleerides kvaliteetselt operatsioonisüsteeme, IoT, POS, spetsialiseeritud süsteeme (meditsiinilised, tööstuslikud jne), teenuseid, rakendusi, andmeid jne. Lõksud (decoys) segunevad hoolikalt töökeskkonnaga, mistõttu ei suuda ründaja neid identifitseerida kui honeypots.
Rakendamine. DDP kasutab oma töös masinõpet (ingl. machine learning, ML). ML võimaldab hõlpsust, seadmise kohandatavust ja Deceptioni efektiivset rakendamist. „Lõksud“ ja „alitused“ värskendatakse väga kiiresti, kaasates ründajat „vale“ IT-infrastruktuuri, samal ajal kui arenenud tehisintellekti analüüsisüsteemid suudavad avastada häkkerite aktiivseid tegevusi ja neid ennetada (nt juurdepääsu katse Active Directory kaudu vale kontode põhjal).
Lihtne kasutada. Kaasaegsed „jaotatud petmisplatvormid“ on lihtsad hooldada ja hallata. Need on tavaliselt hallatavad kohalikest või pilvepõhistest konsoolidest, pakuvad integratsiooni võimalusi ettevõtte SOC (turbeoperatsioonide keskusega) läbi API ja paljude olemasolevate turvakontrolli vahenditega. DDP hooldamiseks ja töötamiseks ei ole vaja kõrgelt kvalifitseeritud infoturbe eksperte.
Skaleeritavus. Turvapetmislahendusi saab juurutada füüsilistes, virtuaalsetes ja pilveteenustes. DDP töötab edukalt ka spetsialiseeritud keskkondades, nagu IoT, ICS, POS, SWIFT jne. Edasijõudnud petmisplatvormid suudavad projekteerida „petmisetehnoloogiad“ ka kaugkontoritesse ja isoleeritud keskkondadesse, ilma et oleks vajalik täiendav täisjuurutamine platvormile.
Koostoime. Kasutades tõhusalt ja meelelahutuslikult kujundatud püüniseid (decoys), mis põhinevad tegelikel opsüsteemidel ja on nutikalt paigutatud tõelisse IT-infrastruktuuri, kogub petmisplatvorm ulatuslikku teavet ründaja kohta. Seejärel tagab DDP ohtude teavitamise, genereeritakse aruanded ja toimub automaatne reageerimine infoturbeintsidentidele.
Rünnaku alguspunkt. Kaasaegsetes Deception süsteemides paigutatakse lõksud ja meelitused võrgu ulatuses, mitte selle piiril (nagu honeypotide puhul). Selline lõksude juurutusmudel ei luba ründajal neid kasutada selleks, et rünnata ettevõtte tegelikku IT-infrastruktuuri. Edasijõudnud Deception lahendustes on olemas liiklust suunamise võimalused, võimaldades suunata kogu ründajate liiklus spetsiaalselt eraldatud ühenduse kaudu. See võimaldab analüüsida ründajate tegevust ilma ettevõtte väärtuslike varade riskeerimiseta.
Petmiseks mõeldud tehnoloogiate veenvus. Rünnaku algstaadiumis koguvad ja analüüsivad ründajad andmeid IT-infrastruktuuri kohta ning seejärel kasutavad neid ettevõttevõrgus horisontaalseteks liikumisteks. „Petmistööstus“ aitab ründajal kindlasti sattuda „lõksudesse“, mis suunavad teda organisatsiooni tegelikelt varadelt eemale. DDP analüüsib võimalikke juurdepääsuteid ettevõtte võrgu kontoandmetele ja pakub ründajale „vale sihtmärke“ reaalse kontoandmete asemel. Need võimalused on honeypot-tehnoloogiate osas üldiselt puudulikud. (Vaata joonist 6).

Petmine VS Honeypot

Ja lõpuks jõuame meie uurimise kõige huvitavama hetkeni. Püüame välja tuua peamised erinevused petmise ja honeypot-tehnoloogiate vahel. Kuigi mõningaid sarnasusi on, erinevad need kaks tehnoloogiat siiski oluliselt, alustades põhimõttelisest ideest ja lõpetades töö efektiivsusega.

Erinevad põhialused. Nagu juba eespool mainitud, paigaldatakse honeypot'id ettevõtte väärtuslike varade ümber „ahvatlustena” (väljaspool ettevõtte võrku), püüdes seeläbi röövlite tähelepanu kõrvale juhtida. Honeypot'i tehnoloogia põhineb organisatsiooni infrastruktuuri jaotusel, kuid honeypot'id võivad saada rünnaku alguspunkiks ettevõtte võrku. Deception-tehnoloogia on välja töötatud, pidades silmas ründaja vaatenurka, ning võimaldab tuvastada rünnaku varajases staadiumis, andes sellega küberturbe spetsialistidele märkimisväärse eelise ründajate ees ja võites aega.
„Meelitamine” VS „Segadusse ajamine”. Kapseldatud kasutamisel sõltub edu rünnakute tähelepanu köitmisest ja ründajate motivatsioonist liikuda sihtmärgi poole honeypot'is. See tähendab, et ründaja peab ikkagi jõudma honeypot'ini, ja alles siis saate teda peatada. Seega võib kurjategijate kohalolek võrgus kesta mitu kuud või enam, mis viib andmemurede ja kahjustuste tekkimiseni. DDP imiteerib kvaliteetselt ettevõtte tegelikku IT-infrastruktuuri, nende sissetoomise eesmärk ei ole ainult kurjategija tähelepanu köitmine, vaid segaduse tekitamine, et ta raiskaks aega ja ressursse, kuid ei saaks juurdepääsu ettevõtte tegelikele varadele.
„Piiratud skaleeritavus“ VS „automaatne skaleeritavus“. Nagu varem mainitud, on honeypotidel ja honeynetidel skaleerimisega probleeme. See on keeruline ja kulukas ning ettevõtte süsteemis honeypotide arvu suurendamiseks tuleb lisada uusi arvuteid, operatsioonisüsteeme, osta litsentse ja eraldada IP-aadresse. Veel enam, vajalik on kvalifitseeritud personal nende süsteemide haldamiseks. Deception platvormid saavad automaatselt rakenduda, kui infrastruktuur skaleerub, ilma oluliste lisakuludeta.
„Suurte valehäirete arv” VS „valehäirete puudumine”. Probleemi tuum on see, et isegi tavaline kasutaja võib kokku puutuda honeypotiga, seega on selle tehnoloogia „tagakülg” suur valehäirete hulk, mis häirib küberjulgeoleku spetsialiste nende töös. „Köidikud” ja „lõksud” DDP-s on hoolikalt varjatud tavaliste kasutajate eest ning mõeldud ainult kurjategijatele, seega iga signaal sellisest süsteemist on tegeliku ohusignali teavitamine, mitte valehäire.

Kokkuvõte

Meie arvates on Deception-tehnoloogia suur edasiminek võrreldes vanema Honeypoti tehnoloogiaga. Tegelikult on DDP muutunud terviklikuks turvalisuse platvormiks, mis on lihtne juurutada ja hallata.

Selle klassi kaasaegsed platvormid mängivad olulist rolli võrguhädade täpses tuvastamises ja tõhusas reageerimises, samas kui nende integreerimine teiste turvaplatvormide komponentidega suurendab automatiseerimise taset, tõhusust ja reageerimise tulemuslikkust. Deception-platvormid tuginevad autentssusele, skaleeritavusele, lihtsusele haldamisel ning integreeritavusele teiste süsteemidega. See kõik annab märkimisväärse eelise küberintsidentidele reageerimise kiirusel.

Samuti, tuginedes ettevõtete pentestide vaatlustele, kus Xello Deception platvormi on rakendatud või katsetatud, võib järeldada, et isegi kogenud pentesterid ei suuda sageli ettevõtte sisevõrgus ahve tuvastada ja kukuvad püünistesse. See fakt kinnitab veel kord Deceptioni tõhusust ja suuri võimalusi, mis selle tehnoloogia ees tulevikus avanevad.