{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot ja Deception Xello n\u00e4itel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Habr on juba postitanud mitu artiklit Honeypot ja Deception tehnoloogiate kohta (1 artikkel<\/a><\/noindex>, 2 artikkel<\/a><\/noindex>). Siiski, me seisame endiselt silmitsi arusaamatusega nende kahe kaitsemeetodi klassi vahel. Selleks on meie kolleegid Xello Deception<\/a><\/noindex> (esimene Venemaa arendaja Deception platvorm<\/a><\/noindex>) otsustanud \u00fcksikasjalikult kirjeldada nende lahenduste erinevusi, eeliseid ja arhitektuurilisi omadusi.<\/p>\n

Selgitame, mis on «hanipoodid» ja «desep\u0161enid»:<\/h2>\n

«Petustehnoloogiad» (ingl. k., Deception technology) on turvaarhitektuuri turul suhteliselt hiljuti ilmunud. Siiski peavad m\u00f5ned spetsialistid siiani Security Deceptionit vaid edasij\u00f5udnute \u00abhanipoodideks\u00bb (ingl. k., honeypot). <\/p>\n

Selles artiklis p\u00fc\u00fcame tuua esile nii sarnasused kui ka p\u00f5hilised erinevused nende kahe lahenduse vahel. Esimeses osas r\u00e4\u00e4gime \u00abHoneypotist\u00bb, kuidas see tehnoloogia on arenenud ning millised on selle eelised ja puudused. Teises osas peatume \u00fcksikasjalikult jaotatud vale eesm\u00e4rkide infrastruktuuri (inglise keeles, Distributed Deception Platform \u2014 DDP) loomise platvormide t\u00f6\u00f6p\u00f5him\u00f5tetel. <\/p>\n

Honeypoti p\u00f5hialuseks on luua l\u00f5kse h\u00e4kkeritele. Samal p\u00f5him\u00f5ttel t\u00f6\u00f6tati v\u00e4lja ka esimesed Deception lahendused. Kuid kaasaegsed DDP-d \u00fcletavad oluliselt honeypote nii funktsionaalsuse kui ka efektiivsuse poolest. Deception platvormid sisaldavad: l\u00f5kse (inglise keeles, decoys, traps), ahvatlusi (inglise keeles, lures), rakendusi, andmeid, andmebaase, Active Directory. Kaasaegsed DDP-d v\u00f5ivad pakkuda laialdasi v\u00f5imalusi ohtude avastamiseks, r\u00fcnnakute anal\u00fc\u00fcsimiseks ja vastuste automatiseerimiseks. <\/p>\n

Seega esindavad Deception tehnikad ettev\u00f5tte IT-infrastruktuuri simuleerimise ja h\u00e4kkerite eksitusse viimise tehnikaid. L\u00f5ppkokkuv\u00f5ttes v\u00f5imaldavad sellised platvormid peatada r\u00fcnnakud enne, kui need k\u00e4tkestavad m\u00e4rkimisv\u00e4\u00e4rset kahju ettev\u00f5tte varadele. Honeypotidel ei ole muidugi sellist laialdast funktsionaalsust ja automatiseerimise taset, seega nende rakendamine n\u00f5uab t\u00f6\u00f6tajatelt suuremat kvalifikatsiooni, kellel on vastutus infojulgeoleku eest.<\/p>\n

1. Honeypotid, Honeynet'id ja Sandboxing: mis need on ja kuidas neid rakendatakse<\/h2>\n

Esmakordselt kasutati terminit «honeypots» 1989. aastal Cliff Stoll'i raamatus «The Cuckoo\u2019s Egg», kus kirjeldatakse s\u00fcndmusi, mis puudutavad h\u00e4kkeri j\u00e4lgimist Lawrence Berkeley National Laboratory's (Ameerika \u00dchendriigid). Praktiliselt viidi see idee ellu 1999. aastal Lance Spitzneri, Sun Microsystems'i k\u00fcberturbe spetsialisti, poolt, kes asutas uurimisprojekti «Honeynet Project». Esimesed hanipoodid olid v\u00e4ga ressursoonsed, keerulised seadistada ja hooldada. <\/p>\n

Vaatame l\u00e4hemalt, mida t\u00e4hendab honeypots <\/strong>ja honeynets<\/strong>. Honeypot'id on eraldi hostid, mille eesm\u00e4rgiks on meelitada kurjategijaid sisenema ettev\u00f5tte v\u00f5rgustikku ja proovida varastada v\u00e4\u00e4rtuslikke andmeid ning laiendada v\u00f5rgu tegevusala. Honeypot (t\u00f5lgituna s\u00f5na otseses m\u00f5ttes kui \u201emesi t\u00e4is anum\u201c) on eriline server, millel on erinevate v\u00f5rgu teenuste ja protokollide komplekt, n\u00e4iteks HTTP, FTP jms. (vt joonis 1).<\/p>\n

\"Honeypot<\/p>\n

Kui \u00fchendada mitu honeypots <\/strong>v\u00f5rguks, loome t\u00f5husama s\u00fcsteemi honeynet<\/strong>, mis kujutab endast ettev\u00f5tte v\u00f5rgu emuleerimist (veebiserver, failiserver ja mitmed v\u00f5rgu komponendid). Selline lahendus v\u00f5imaldab m\u00f5ista kurjategijate tegevustrateegiat ja eksitada neid. T\u00fc\u00fcpiline honeynet t\u00f6\u00f6tab tavaliselt paralleelselt t\u00f6\u00f6v\u00f5rguga ja on sellest t\u00e4iesti s\u00f5ltumatu. Sellist \"v\u00f5rku\" saab avaldada Internetis eraldi kanalil ning sellele saab eraldada ka kindla IP-aadresside vahemiku (vt joonis 2).<\/p>\n

\"Honeypot<\/p>\n

Honeynet'i rakendamise m\u00f5te on n\u00e4idata h\u00e4kkerile, et ta on v\u00e4idetavalt sisenenud organisatsiooni ettev\u00f5tte v\u00f5rku, samas kui kurjategija on tegelikult \"isoleeritud keskkonnas\" ja k\u00fcberspetsialistide pideva j\u00e4relevalve all (vt joonis 3).<\/p>\n

\"Honeypot<\/p>\n

Siin tuleb samuti mainida sellist vahendit nagu \"sandbox<\/strong>\", mis v\u00f5imaldab kurjategijatel installida ja k\u00e4ivitada pahavara isoleeritud keskkonnas, kus IT-spetsialistid saavad j\u00e4lgida nende tegevust potentsiaalsete riskide tuvastamiseks ja vajalike vastumeetmete rakendamiseks. Praegu rakendatakse tavaliselt sandboxingut eraldatud virtuaalmasinatel virtuaalses hostis. Siiski tuleb m\u00e4rkida, et sandboxing n\u00e4itab ainult, kuidas k\u00e4ituvad ohtlikud ja pahatahtlikud programmid, samas kui honeynet aitab spetsialistil anal\u00fc\u00fcsida \"ohtlike m\u00e4ngijate\" k\u00e4itumist. sandbox<\/strong>. <\/p>\n

Honeynet'ide ilmne kasu seisneb selles, et need petavad r\u00fcndajaid, raiskades nende j\u00f5ud, ressursid ja aega. Tulemuseks on, et nad r\u00fcndavad vale sihtm\u00e4rke, mitte reaalseid, ja v\u00f5ivad katkestada r\u00fcnnaku v\u00f5rgule, saamata midagi tehtud. Honeynet-tehnoloogiaid kasutatakse k\u00f5ige sagedamini riigiasutustes ja suurtes korporatsioonides, finantsorganisatsioonides, kuna just need struktuurid on suured k\u00fcberr\u00fcnnakute sihtm\u00e4rgid. Siiski vajavad ka v\u00e4ikesed ja keskmise suurusega ettev\u00f5tted (SMB) t\u00f5husaid t\u00f6\u00f6riistu k\u00fcberintsidentide v\u00e4ltimiseks, kuid honeynetide kasutamine SMB-sektoris ei ole sugugi lihtne, kuna kvalifitseeritud t\u00f6\u00f6tajate puudus muudab selle keeruliseks.<\/p>\n

Honeypot'ide ja Honeynet'ide lahenduste piiratus<\/u><\/strong><\/p>\n

Miks ei ole honeypot'id ja honeynet'id t\u00e4nap\u00e4eval parimad lahendused r\u00fcnnakute t\u00f5rjumiseks? Tuleb m\u00e4rkida, et r\u00fcnnakud muutuvad j\u00e4rjest ulatuslikumaks, tehniliselt keerukamaks ja v\u00f5ivad p\u00f5hjustada t\u00f5siseid kahjustusi organisatsiooni IT-infrastruktuurile. K\u00fcberkuritegevus on j\u00f5udnud t\u00e4iesti uuele tasemele, olles tugevalt organiseeritud varjatud \u00e4ritegevus, millel on k\u00f5ik vajalikud ressursid. Siia tuleb lisada ka 'inimfaktor' (vead tarkvara ja seadmete seadistustes, inimeste tegevus jne), seet\u00f5ttu on ainul lahenduse tehnoloogiatelt r\u00fcnnakute v\u00e4ltimiseks t\u00e4nap\u00e4eval juba ebapiisav. <\/p>\n

Allpool loetleme peamised piirangud ja puudused honeypot'ide (honeynet'ide) puhul:<\/p>\n

    \n
  1. \n

    Honeypot'id loodi algselt sihtm\u00e4rkide m\u00e4\u00e4ramiseks, mis asuvad v\u00e4ljaspool ettev\u00f5tte v\u00f5rku, olles pigem m\u00f5eldud r\u00fcndajate k\u00e4itumise anal\u00fc\u00fcsimiseks ja mitte kiirete reageerimistehnoloogiate jaoks. <\/p>\n<\/li>\n

  2. \n

    R\u00fcndajad on tavaliselt juba \u00f5ppinud \u00e4ra tundma emuleeritud s\u00fcsteeme ja v\u00e4ltima honeypot'e. <\/p>\n<\/li>\n

  3. \n

    Honeynet'id (honeypot'id) omavad \u00e4\u00e4rmiselt madalat taset interaktiivsuses ja suhtlemises teiste turvas\u00fcsteemidega, mist\u00f5ttu on honeypot'e kasutades raske saada p\u00f5hjalikku teavet r\u00fcnnakute ja r\u00fcndajate kohta, seega ei ole v\u00f5imalik efektiivselt ja kiiresti reageerida k\u00fcberintsidentidele. Veelgi enam, IT-spetsialistid saavad hulga valehoiatuste kaudu ohtudest. <\/p>\n<\/li>\n

  4. \n

    M\u00f5nel juhul v\u00f5ivad h\u00e4kkerid kasutada kompromiteeritud honeypoti, et alustada r\u00fcnnakut organisatsiooni v\u00f5rgule. <\/p>\n<\/li>\n

  5. \n

    Tihti esinevad probleemid honeypottide skaleeritavuse, suure operatiivkoormuse ja selliste s\u00fcsteemide seadistamisega (need n\u00f5uavad k\u00f5rgelt kvalifitseeritud spetsialiste, neil puudub mugav halduskeskkond jne). Honeypottide juurutamisel spetsialiseeritud keskkondades, nagu IoT, POS, pilves\u00fcsteemides jne, on suured raskused.<\/p>\n<\/li>\n<\/ol>\n

    2. Petmisetehnoloogia: eelised ja p\u00f5hialused<\/h2>\n

    Uurides k\u00f5iki honeypottide eeliseid ja puudusi, j\u00f5uame j\u00e4reldusele, et on vajalik t\u00e4iesti uus l\u00e4henemine infoturbelistele intsidentidele reageerimisele, et saavutada kiire ja adekvaatne vastus r\u00fcndajate tegevusele. Ja selline lahendus on tehnoloogiad. K\u00fcberpetmine (Security deception)<\/strong>. <\/p>\n

    Terminoloogia «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) on suhteliselt uus ja ilmus alles hiljuti. Tegelikult t\u00e4hendavad k\u00f5ik need terminid \u00abpetustehnoloogiate\u00bb v\u00f5i \u00abIT-infrastruktuuri j\u00e4ljendamise ja kurjategijate desinformatsiooni\u00bb kasutamise. Lihtsaimad Deception lahendused on honeypoodide ideede edasiarendamine, kuid tehnoloogiliselt arenenumal tasemel, mis eeldab suuremat automaatikat threatide avastamisel ja neile reageerimisel. Turul on juba olemas t\u00f5siseid DDP klassi lahendusi, mis pakuvad lihtsat kasutusele v\u00f5tmist ja skaleeritavust, samuti v\u00e4gevate \u00abp\u00fc\u00fcniste\u00bb ja \u00abs\u00f6\u00f6date\u00bb arsenalit r\u00fcndajate jaoks. N\u00e4iteks v\u00f5imaldab Deception emuleerida IT-infrastruktuuri komponente nagu andmebaasid, t\u00f6\u00f6kohad, ruuterid, l\u00fclitid, sularahaautomaadid, serverid ja SCADA, meditsiiniseadmed ja IoT. <\/p>\n

    Kuidas t\u00f6\u00f6tab «Distributed Deception Platform»? P\u00e4rast DDP kasutusele v\u00f5tmist on organisatsiooni IT-infrastruktuur \u00fcles ehitatud kahekihilisena: esimene kiht on ettev\u00f5tte tegelik infrastruktuur, teine kiht on \u00abemuleeritud\u00bb keskkond, mis koosneb p\u00fc\u00fcnistest (ingl. k., decoys, traps) ja s\u00f6\u00f6tidest (ingl. k., lures), mis asuvad reaalses f\u00fc\u00fcsilises v\u00f5rgus (vt joonis 4).<\/p>\n

    \"Honeypot<\/p>\n

    N\u00e4iteks v\u00f5ib pahatahtlik kasutaja avastada valeandmebaasid, milles on \"salajased dokumendid\", valeandmed v\u00e4idetelt \"privilegeeritud kasutajatelt\" \u2014 k\u00f5ik need on vale sihtm\u00e4rgid, mis v\u00f5ivad huvitada r\u00fcndajaid, suunates nende t\u00e4helepanu eemale ettev\u00f5tte t\u00f5elistelt informatiivsetelt varadelt (vt joonis 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP on uudne toode k\u00fcberturbe turul, need lahendused on olnud turul vaid paar aastat ja hetkel saavad neid endale lubada vaid ettev\u00f5tted. Kuid v\u00e4ike- ja keskmine \u00e4ri saavad peagi ka kasutada Deception'i, \u00fc\u00fcrides DDP-d spetsialiseeritud teenusepakkujatelt, \"teenusena\". See variant on isegi mugavam, kuna pole vaja omada k\u00f5rgelt kvalifitseeritud t\u00f6\u00f6tajaid.<\/p>\n

    Allpool on toodud Deception tehnoloogia peamised eelised:<\/p>\n