🥇Honeypot vs Deception Xello näitel

Habr on juba postitanud mitu artiklit Honeypot ja Deception tehnoloogiate kohta (1 artikkel, 2 artikkel). Siiski, me seisame endiselt silmitsi arusaamatusega nende kahe kaitsemeetodi klassi vahel. Selleks on meie kolleegid Xello Deception (esimene Venemaa arendaja Deception platvorm) otsustanud üksikasjalikult kirjeldada nende lahenduste erinevusi, eeliseid ja arhitektuurilisi omadusi.

Vaatame, mis on «Honeypotid» ja «Deceptionid»:

Deception tehnoloogiad on turule ilmunud suhteliselt hiljuti. Siiski arvavad mõned spetsialistid, et Security Deception on vaid täiustatud «Honeypot» (inglise keeles, honeypot).

Selles artiklis püüame tuua esile nii sarnasused kui ka põhilised erinevused nende kahe lahenduse vahel. Esimeses osas räägime «Honeypotist», kuidas see tehnoloogia on arenenud ning millised on selle eelised ja puudused. Teises osas peatume üksikasjalikult jaotatud vale eesmärkide infrastruktuuri (inglise keeles, Distributed Deception Platform — DDP) loomise platvormide tööpõhimõtetel.

Honeypoti põhialuseks on luua lõkse häkkeritele. Samal põhimõttel töötati välja ka esimesed Deception lahendused. Kuid kaasaegsed DDP-d ületavad oluliselt honeypote nii funktsionaalsuse kui ka efektiivsuse poolest. Deception platvormid sisaldavad: lõkse (inglise keeles, decoys, traps), ahvatlusi (inglise keeles, lures), rakendusi, andmeid, andmebaase, Active Directory. Kaasaegsed DDP-d võivad pakkuda laialdasi võimalusi ohtude avastamiseks, rünnakute analüüsimiseks ja vastuste automatiseerimiseks.

Seega esindavad Deception tehnikad ettevõtte IT-infrastruktuuri simuleerimise ja häkkerite eksitusse viimise tehnikaid. Lõppkokkuvõttes võimaldavad sellised platvormid peatada rünnakud enne, kui need kätkestavad märkimisväärset kahju ettevõtte varadele. Honeypotidel ei ole muidugi sellist laialdast funktsionaalsust ja automatiseerimise taset, seega nende rakendamine nõuab töötajatelt suuremat kvalifikatsiooni, kellel on vastutus infojulgeoleku eest.

1. Honeypotid, Honeynet'id ja Sandboxing: mis need on ja kuidas neid rakendatakse

Esimest korda kasutati terminit "honeypots" 1989. aastal Clifford Stolli raames "The Cuckoo’s Egg", kus kirjeldatakse sündmusi häkkeri jälgimisest Lawrence Berkeley rahvuslaboris (Ameerikas). Praktikas viidi see idee ellu 1999. aastal Lance Spitzneri, Sun Microsystems'i küberkatkestuste spetsialisti, poolt, kes asutas Honeynet Project'i uurimisprojekti. Esimesed honeypot'd olid väga ressursimahukad ja keerulised seadistada ja hooldada.

Vaatame lähemalt, mida tähendab honeypots ja honeynets. Honeypot'id on eraldi hostid, mille eesmärgiks on meelitada kurjategijaid sisenema ettevõtte võrgustikku ja proovida varastada väärtuslikke andmeid ning laiendada võrgu tegevusala. Honeypot (tõlgituna sõna otseses mõttes kui „mesi täis anum“) on eriline server, millel on erinevate võrgu teenuste ja protokollide komplekt, näiteks HTTP, FTP jms. (vt joonis 1).

Kui ühendada mitu honeypots võrguks, loome tõhusama süsteemi honeynet, mis kujutab endast ettevõtte võrgu emuleerimist (veebiserver, failiserver ja mitmed võrgu komponendid). Selline lahendus võimaldab mõista kurjategijate tegevustrateegiat ja eksitada neid. Tüüpiline honeynet töötab tavaliselt paralleelselt töövõrguga ja on sellest täiesti sõltumatu. Sellist "võrku" saab avaldada Internetis eraldi kanalil ning sellele saab eraldada ka kindla IP-aadresside vahemiku (vt joonis 2).

Honeynet'i rakendamise mõte on näidata häkkerile, et ta on väidetavalt sisenenud organisatsiooni ettevõtte võrku, samas kui kurjategija on tegelikult "isoleeritud keskkonnas" ja küberspetsialistide pideva järelevalve all (vt joonis 3).

Siin tuleb samuti mainida sellist vahendit nagu "sandbox", mis võimaldab kurjategijatel installida ja käivitada pahavara isoleeritud keskkonnas, kus IT-spetsialistid saavad jälgida nende tegevust potentsiaalsete riskide tuvastamiseks ja vajalike vastumeetmete rakendamiseks. Praegu rakendatakse tavaliselt sandboxingut eraldatud virtuaalmasinatel virtuaalses hostis. Siiski tuleb märkida, et sandboxing näitab ainult, kuidas käituvad ohtlikud ja pahatahtlikud programmid, samas kui honeynet aitab spetsialistil analüüsida "ohtlike mängijate" käitumist. sandbox.

Honeynet'ide ilmne kasu seisneb selles, et need petavad ründajaid, raiskades nende jõud, ressursid ja aega. Tulemuseks on, et nad ründavad vale sihtmärke, mitte reaalseid, ja võivad katkestada rünnaku võrgule, saamata midagi tehtud. Honeynet-tehnoloogiaid kasutatakse kõige sagedamini riigiasutustes ja suurtes korporatsioonides, finantsorganisatsioonides, kuna just need struktuurid on suured küberrünnakute sihtmärgid. Siiski vajavad ka väikesed ja keskmise suurusega ettevõtted (SMB) tõhusaid tööriistu küberintsidentide vältimiseks, kuid honeynetide kasutamine SMB-sektoris ei ole sugugi lihtne, kuna kvalifitseeritud töötajate puudus muudab selle keeruliseks.

Honeypot'ide ja Honeynet'ide lahenduste piiratus

Miks ei ole honeypot'id ja honeynet'id tänapäeval parimad lahendused rünnakute tõrjumiseks? Tuleb märkida, et rünnakud muutuvad järjest ulatuslikumaks, tehniliselt keerukamaks ja võivad põhjustada tõsiseid kahjustusi organisatsiooni IT-infrastruktuurile. Küberkuritegevus on jõudnud täiesti uuele tasemele, olles tugevalt organiseeritud varjatud äritegevus, millel on kõik vajalikud ressursid. Siia tuleb lisada ka 'inimfaktor' (vead tarkvara ja seadmete seadistustes, inimeste tegevus jne), seetõttu on ainul lahenduse tehnoloogiatelt rünnakute vältimiseks tänapäeval juba ebapiisav.

Allpool loetleme peamised piirangud ja puudused honeypot'ide (honeynet'ide) puhul:

Honeypot'id loodi algselt sihtmärkide määramiseks, mis asuvad väljaspool ettevõtte võrku, olles pigem mõeldud ründajate käitumise analüüsimiseks ja mitte kiirete reageerimistehnoloogiate jaoks.
Ründajad on tavaliselt juba õppinud ära tundma emuleeritud süsteeme ja vältima honeypot'e.
Honeynet'id (honeypot'id) omavad äärmiselt madalat taset interaktiivsuses ja suhtlemises teiste turvasüsteemidega, mistõttu on honeypot'e kasutades raske saada põhjalikku teavet rünnakute ja ründajate kohta, seega ei ole võimalik efektiivselt ja kiiresti reageerida küberintsidentidele. Veelgi enam, IT-spetsialistid saavad hulga valehoiatuste kaudu ohtudest.
Mõnel juhul võivad häkkerid kasutada kompromiteeritud honeypoti, et alustada rünnakut organisatsiooni võrgule.
Tihti esinevad probleemid honeypottide skaleeritavuse, suure operatiivkoormuse ja selliste süsteemide seadistamisega (need nõuavad kõrgelt kvalifitseeritud spetsialiste, neil puudub mugav halduskeskkond jne). Honeypottide juurutamisel spetsialiseeritud keskkondades, nagu IoT, POS, pilvesüsteemides jne, on suured raskused.

2. Petmisetehnoloogia: eelised ja põhialused

Uurides kõiki honeypottide eeliseid ja puudusi, jõuame järeldusele, et on vajalik täiesti uus lähenemine infoturbelistele intsidentidele reageerimisele, et saavutada kiire ja adekvaatne vastus ründajate tegevusele. Ja selline lahendus on tehnoloogiad. Küberpetmine (Security deception).

Terminoloogia "Küberpetmine", "Security deception", "Deception technology", "Distributed Deception Platform" (DDP) on suhteliselt uus ja ilmutas end mitte nii kaua aega tagasi. Tegelikult tähendavad kõik need terminid "petmistehnoloogiate" või "IT-infrastruktuuri simuleerimise ja ründajate desinformatsioonitehnika" kasutamist. Lihtsaimad Deception lahendused on honeypottide ideede arendamine, kuid tehnoloogiliselt arenenumal tasemel, mis eeldab suuremat automatiseerimist ohtude tuvastamisel ja neile vastamisel. Turul on juba tõsised DDP klassi lahendused, mis eeldavad lihtsat juurutamist ja skaleerimist ning nende arsenalis on tõsised "püünised" ja "meelitused" ründajatele. Näiteks võimaldab Deception emuleerida IT-infrastruktuuri objekte nagu andmebaasid, tööjaamad, ruuteriid, lülitid, ATM-id, serverid ja SCADA, meditsiiniseadmed ja IoT.

Kuidas töötab "Distributed Deception Platform"? Pärast DDP juurutamist on organisatsiooni IT-infrastruktuur üles ehitatud nagu kahest kihist: esimene kiht on firma tegelik infrastruktuur ja teine on "emuleeritud" keskkond, mis koosneb püünistest (ingl. decoys, traps) ja meelitustest (ingl. lures), mis on paigutatud reaalsesse füüsilisse seadmesse võrgus (vt joonis 4).

Näiteks võib pahatahtlik kasutaja avastada valeandmebaasid, milles on "salajased dokumendid", valeandmed väidetelt "privilegeeritud kasutajatelt" — kõik need on vale sihtmärgid, mis võivad huvitada ründajaid, suunates nende tähelepanu eemale ettevõtte tõelistelt informatiivsetelt varadelt (vt joonis 5).

DDP on uudne toode küberturbe turul, need lahendused on olnud turul vaid paar aastat ja hetkel saavad neid endale lubada vaid ettevõtted. Kuid väike- ja keskmine äri saavad peagi ka kasutada Deception'i, üürides DDP-d spetsialiseeritud teenusepakkujatelt, "teenusena". See variant on isegi mugavam, kuna pole vaja omada kõrgelt kvalifitseeritud töötajaid.

Allpool on toodud Deception tehnoloogia peamised eelised:

Autentsus (audiit). Deception tehnoloogia suudab reprodutseerida täielikult autentset IT-keskkonda, kvaliteetselt emuleerides operatsioonisüsteeme, IoT-d, POS-e, spetsialiseeritud süsteeme (meditsiinilised, tööstuslikud jne), teenuseid, rakendusi, kasutajat töötlemise andmeid jne. Püünised (decoys) segatakse hoolikalt töökeskkonnaga, ja pahatahtlik kasutaja ei suuda neid tuvastada kui honeypotte.
Rakendamine. DDP kasutab oma töös masinõpet. Masinõppe abil tagatakse lihtsus, paindlikkus seadistustes ja Deception'i efektiivne rakendamine. "Püünised" ja "meelitused" värskendatakse väga kiiresti, kaasates pahatahtlikku kasutajat "vale" IT-infrastruktuuri, samas kui arenenud tehisintellektil põhinevad analüüsi süsteemid suudavad tuvastada aktiivseid häkkerite tegevusi ja nende tõkestada (näiteks katse pääseda Active Directory'sse valeandmete põhjal).
Lihtsus kasutamisel. Tänapäevased "Distributed Deception Platform" on kergesti hooldatavad ja hallatavad. Üldiselt hallatakse neid kohaliku või pilves konsoli kaudu, on olemas võimalused integreerimiseks ettevõtte SOC (Security Operations Center) kaudu API ja paljude olemasolevate turvaseirevahenditega. DDP töötamiseks ja haldamiseks ei ole vajadust kõrgelt kvalifitseeritud küberturbe ekspertide teenuste järele.
Skaleeritavus. Turvalisuse petmine võib toimuda füüsilistes, virtuaalsetes ja pilveteenustes. DDP töötab edukalt ka spetsialiseeritud keskkondades, nagu IoT, ICS, POS, SWIFT jne. Täiustatud Deception platvormid saavad projekteerida "petmistehnoloogiaid" ka eemal kontoritest, isolatsioonikeskkondadesse, ilma vajaduseta platvormi täiendava täieliku juurutamise järele.
Koostöö. Kasutades tõhusat ja atraktiivset lõkse (decoys), mis põhinevad reaalsetel operatsioonisüsteemidel ja on oskuslikult paigutatud tõelise IT-infrastruktuuri hulka, kogub Deception platvorm ulatuslikku teavet ründaja kohta. Seejärel tagab DDP ohuteadete edastamise, genereeritakse aruanded ja toimub automaatne vastamine küberturvalisuse intsidentidele.
Rünnaku alguspunkt. Kaasaegsetes Deception lõksudes ja meelitustes paigutatakse need võrgupiiride sisse, mitte väljapoole (nagu honeypotide puhul). Selline lõksude juurutamise mudel ei võimalda ründajal neid kasutada tõelise IT-infrastruktuuri ründamiseks. Edasijõudnud Deception lahendustes on olemas liikluse marsruutimise võimalused, võimaldades suunata kogu ründajate liiklus läbi spetsiaalselt määratud ühenduse. See võimaldab analüüsida ründajate tegevust ilma ettevõtte väärtuslike varade ohtu seadmata.
Petmistehnoloogiate veenvus. Rünnaku esimeses etapis koguvad ründajad ja analüüsivad andmeid IT-infrastruktuuri kohta, seejärel kasutavad neid ettevõtte võrgus horisontaalseks liikumiseks. "Petmistehnoloogiate" abil satub ründaja kindlasti "lõksudesse", mis viivad ta eemale organisatsiooni tõelistest varadest. DDP analüüsib potentsiaalseid juurdepääsuteid ettevõtte võrgus ja annab ründajale "vale sihtmärgid" tõeliste andmete asemel. Nendest võimalustest on honeypot-tehnoloogiatel tõeliselt puudu. (Vt joonis 6).

Petmine VS Honeypot

Ja lõpuks jõuame oma uurimise kõige huvitavamasse punkt. Püüame välja tuua Deception ja Honeypot tehnoloogiate peamised erinevused. Vaatamata mõningasele sarnasele, on need kaks tehnoloogiat siiski suuresti erinevad, alates põhialusideest kuni töö efektiivsuseni.

Erinevad põhikontseptsioonid. Nagu me oleme juba eelnevalt kirjutanud, paigaldatakse honeypot'id ettevõtte väärtuslike varade ümber (väljaspool ettevõtte võrku), püüdes seeläbi ahvatleda kurjategijaid. Honeypot'i tehnoloogia põhineb organisatsiooni infrastruktuuri mõistmisel, kuid honeypot'id võivad muutuda rünnaku alguspunktiks ettevõtte võrgule. Deception tehnoloogia on loodud kurjategija perspektiivist lähtuvalt ja võimaldab tuvastada rünnaku varases staadiumis, võimaldades seega info- ja küberturbe spetsialistidel saada märkimisväärset eelise kurjategijate ees ning kaotada nendele aega.
„Ligimeelitamine” VS „Segadusseajamine”. Honeypot'ide kasutamisel sõltub edu ründajate tähelepanu äratamisest ning nende hilisemast motiveerimisest honeypoti suunas liikuma. See tähendab, et ründaja peab kuidagi honeypoti juurde jõudma, ja alles siis saad teda peatada. Seega võib kurjategijate kohalolek võrkus kesta mitu kuud ja rohkem, mis omakorda võib viia andmelekke ja kahjude tekkimiseni. DDP simuleerivad täpselt ettevõtte reaalse IT-infrastruktuuri, nende eesmärk ei ole mitte ainult ründaja tähelepanu äratamine, vaid ka segadusse ajamine, et ta raiskaks aega ja ressursse, saamata juurdepääsu ettevõtte reaalsetele varadele.
„Piiratud skaleeritavus” VS „automaatne skaleeritavus”. Nagu eelnevalt mainitud, on honeypot'id ja honeynet'id skaleeritavuse probleemiga. See on keeruline ja kulukas ning ettevõtte süsteemi honeypot'ide arvu suurendamiseks tuleb lisada uusi arvuteid, operatsioonisüsteeme, osta litsentse, eraldada IP. Pealegi on vaja ka kvalifitseeritud personali selliste süsteemide haldamiseks. Deception platvormid paigaldatakse automaatselt infrastruktuuri skaleerimise käigus, ilma olulisemate kulude lisandumiseta.
„Suur hulk valehäireid” VS „valehäirete puudumine”Probleemi tuum on selles, et isegi tavaline kasutaja võib kokku puutuda eksitusvõrguga, seetõttu on selle tehnoloogia "tagakülg" suur hulk valehäireid, mis häirib turbe spetsialiste nende töös. DDP-s peidetud "kotkad" ja "lõksud" on hoolikalt varjatud tavakasutaja eest ja on mõeldud ainult pahatahtlikule, seega iga signaal sellisest süsteemist on tegeliku ohu teade, mitte valehäire.

Kokkuvõte

Meie arvates on Deception-tehnoloogia tohutu edasiminek võrreldes vanemate Honeypot-tehnoloogiatega. Sisuliselt on DDP saanud turvalisuse integreeritud platvormiks, mida on lihtne kasutada ja hallata.

Tänapäeva klassi platvormid mängivad olulist rolli võrguhäirete täpses tuvastamises ja tõhusas reageerimises, ning nende integreerimine teiste turvakihtide komponentidega suurendab automatiseerimise taset, tõhusust ja analüüside tulemuslikkust. Deception-platvormid põhinevad autentsusel, skaleeritavusel, kergel haldamisel ja integreerimisel teiste süsteemidega. Kõik see annab märkimisväärse eelise küberohtudele reageerimise kiirusel.

Lisaks, tuginedes ettevõtete pentestide vaatlustele, kus Xello Deception platvormi on rakendatud või pilotitud, võib järeldada, et isegi kogenud pentesterid ei suuda sageli äratunda lõkse organisatsiooni võrgus ja saavad petetuks, langedes püünistesse. See fakt kinnitab veel kord Deceptioni tõhusust ja suuri väljavaateid, mis selle tehnoloogia ees tulevikus avanevad.