{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception n\u00e4idete abil Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Habr'is on juba mitmeid artikleid tehnoloogiate Honeypot ja Deception kohta (1 artikkel<\/a><\/noindex>, 2 artiklit<\/a><\/noindex>). Siiski, me seisame siiani silmitsi arusaamatusega nende kaitsemeetmete klasside erinevustest. Selleks on meie kolleegid Xello Deception<\/a><\/noindex> (esimene Venemaa arendaja Deception platvormide<\/a><\/noindex>) otsustanud detailselt kirjeldada nende lahenduste erinevusi, eeliseid ja arhitektuurilisi omadusi.<\/p>\n

Selgitame, mis on «hanipoodid» ja «desep\u0161eenid»:<\/h2>\n

«Petetehnoloogiad» (inglise k., Deception technology) on suhteliselt hiljuti turule j\u00f5udnud infotehnoloogia turvasektsioon. Siiski arvavad m\u00f5ned spetsialistid endiselt, et Security Deception on lihtsalt arenenum versioon \"hanipoodidest\" (inglise k., honeypot). <\/p>\n

Selles artiklis p\u00fc\u00fcame nimetada nii sarnasusi kui ka p\u00f5hilisi erinevusi nende kahe lahenduse vahel. Esimeses osas r\u00e4\u00e4gime \"haanipotist\", kuidas see tehnoloogia on arenenud ja millised on selle eelised ja puudused. Teises osas peatume p\u00f5hjalikumalt vale sihtm\u00e4rkide jaotatud infrastruktuuri loomise platvormide t\u00f6\u00f6p\u00f5him\u00f5tetel (ingl. Distributed Deception Platform \u2014 DDP). <\/p>\n

Baasprint, mis on honeypot'ide aluseks, seisneb r\u00fcnnakute p\u00fc\u00fcdmisel. Samadele p\u00f5him\u00f5tetele on rajatud varased Deception lahendused. Kuid kaasaegsed DDP-d \u00fcletavad honeypot'id nii funktsionaalsuse kui ka t\u00f5hususe poolest. Deception platvormid h\u00f5lmavad: l\u00f5kse (ingl. decoys, traps), ahvatlusi (ingl. lures), rakendusi, andmeid, andmebaase, Active Directory't. Kaasaegsed DDP-d suudavad pakkuda laialdasi v\u00f5imalusi ohtude tuvastamiseks, r\u00fcnnakute anal\u00fc\u00fcsimiseks ja vastuste automatiseerimiseks. <\/p>\n

Nii esindavad Deception tehnikad ettev\u00f5tte IT-infrastruktuuri j\u00e4ljendamist ja h\u00e4kkerite eksitamise meetodeid. L\u00f5pptulemusena v\u00f5imaldavad need platvormid peatada r\u00fcnnakud enne, kui need tekitavad ettev\u00f5tte varadele olulist kahju. Honeypot'id ei oma loomulikult nii laia funktsionaalsust ega nii suurt automatiseerimist, mist\u00f5ttu nende kasutamine n\u00f5uab infotehnoloogia osakondadelt suuremat kvalifikatsiooni.<\/p>\n

1. Honeypot'id, Honeynet'id ja Sandboxing: mis need on ja kuidas neid rakendatakse<\/h2>\n

Esmakordselt kasutati terminit «honeypots» 1989. aastal Clifford Stalli raamatus «The Cuckoo\u2019s Egg», kus kirjeldatakse s\u00fcndmusi h\u00e4kkeri j\u00e4litamisest Lawrence Berkley National Laboratory (USA) juures. Praktiliselt viidi see idee ellu 1999. aastal Lance Spitzneri, Sun Microsystems'i k\u00fcberturbe spetsialisti, poolt, kes asutas uurimisprojekti «Honeynet Project». Esimesed hanipoodid olid v\u00e4ga ressursimahukad ning keerulised seadistada ja hooldada. <\/p>\n

Vaatame l\u00e4hemalt, mis on honeypots <\/strong>ja honeynets<\/strong>. Honeypots on eraldi hostid, mille eesm\u00e4rk on meelitada kurjategijaid, et need siseneksid ettev\u00f5tte v\u00f5rku ja prooviksid varastada v\u00e4\u00e4rtuslikke andmeid ning laiendada v\u00f5rgu tegevusala. Honeypot (t\u00f5lgituna \u201emeepott\u201c) on spetsiaalne server, millel on erinevate v\u00f5rguteenuste ja protokollide, n\u00e4iteks HTTP, FTP jne (vt joonis 1) kogum.<\/p>\n

\"Honeypot<\/p>\n

Kui \u00fchendame mitu honeypots <\/strong>v\u00f5rguks, saame juba t\u00f5husama s\u00fcsteemi honeynet<\/strong>, mis on ettev\u00f5tte (veebiserver, failiserver ja muud v\u00f5rgu komponendid) korporatiivse v\u00f5rgu emulatsioon. See lahendus aitab m\u00f5ista k\u00fcberkurjategijate tegevusstrateegiat ja suunata neid valele teele. T\u00fc\u00fcpiline honeynet t\u00f6\u00f6tab tavaliselt paralleelselt t\u00f6\u00f6suhtev\u00f5rguga ja on sellest t\u00e4iesti s\u00f5ltumatu. Sellist \"v\u00f5rku\" saab avaldada Internetis eraldi kanali kaudu ning sellele v\u00f5ib m\u00e4\u00e4rata eraldi IP-aadressi ruumi (vt joonis 2).<\/p>\n

\"Honeypot<\/p>\n

Honeyneti kasutamise m\u00f5te on n\u00e4idata h\u00e4kkerile, et ta olevat tunginud organisatsiooni korporatiivv\u00f5rku, kuid tegelikult viibib k\u00fcberkurjategija \"isoleeritud keskkonnas\" ning on k\u00fcberjulgeoleku spetsialiste pideva j\u00e4lgimise all (vt joonis 3).<\/p>\n

\"Honeypot<\/p>\n

Siin tuleb samuti mainida sellist vahendit nagu \u201eliivakast<\/strong>(ingl., sandbox<\/strong>), mis v\u00f5imaldab h\u00e4kkeritel paigaldada ja k\u00e4itada pahavarasid isoleeritud keskkonnas, kus IT-spetsialistid saavad j\u00e4lgida nende tegevust potentsiaalsete riskide tuvastamiseks ja vajalike meetmete v\u00f5tmiseks. Praegu rakendatakse sandboksi reeglina eraldatud virtuaalmasinatel virtuaalses hostis. Siiski tuleb m\u00e4rkida, et sandboksi abil saab n\u00e4ha vaid ohtlike ja pahatahtlike programmide k\u00e4itumist, samas kui honeynet aitab spetsialistil anal\u00fc\u00fcsida \u00abohtlike m\u00e4ngijate\u00bb k\u00e4itumist. <\/p>\n

Honeyneti peamine eelis on see, et need segavad r\u00fcndajaid, raisates nende j\u00f5ude, ressursse ja aega. Selle tulemusena r\u00fcndavad nad vale sihtm\u00e4rke, mitte reaalseid eesm\u00e4rke, ja v\u00f5ivad l\u00f5petada r\u00fcnnaku, saavutamata midagi. Honeynetehnoloogiaid kasutatakse k\u00f5ige sagedamini valitsusasutustes, suurtes ettev\u00f5tetes ja finantsorganisatsioonides, kuna need struktuurid on suurte k\u00fcberr\u00fcnnakute sihtm\u00e4rgid. Kuid ka v\u00e4ikestel ja keskmise suurusega ettev\u00f5tetel (VKEd) on vaja t\u00f5husaid t\u00f6\u00f6riistu k\u00fcberohtude ennetamiseks, kuigi honeynete kasutamine VKEde sektoris ei ole nii lihtne, kuna kvalifitseeritud spetsialistide puudus muudab selle \u00fclesande teostamise keerulisemaks.<\/p>\n

Honeypotide ja honeynete lahenduste piirangud<\/u><\/strong><\/p>\n

Miks pole honeypot'id ja honeynet'id t\u00e4nap\u00e4eval parimad lahendused r\u00fcnnakute t\u00f5rjumiseks? Tuleb m\u00e4rkida, et r\u00fcnnakud muutuvad \u00fcha laiemaks, tehniliselt keerukamaks ja suudavad p\u00f5hjustada t\u00f5sist kahju organisatsiooni IT-infrastruktuurile. K\u00fcberkuritegevus on j\u00f5udnud t\u00e4iesti uuele tasemele ja esindab k\u00f5rgelt organiseeritud varju\u00e4ri, millel on k\u00f5ik vajalikud ressursid. Siia tuleb lisada ka \u201einimfaktor\u201c (n\u00e4iteks tarkvara ja riistvara seadistustega seotud vead, siseringi t\u00f6\u00f6tajate tegevus jne), seet\u00f5ttu pole ainult tehnoloogiate kasutamine r\u00fcnnakute v\u00e4ltimiseks praegu enam piisav. <\/p>\n

Allpool on v\u00e4lja toodud peamised honeypot'ide (honeynet'ide) piirangud ja puudused:<\/p>\n

    \n
  1. \n

    Honeypot'id loodi algselt ohtude m\u00e4\u00e4ratlemiseks, mis asuvad v\u00e4ljaspool ettev\u00f5tte v\u00f5rgustikku, ning need on pigem m\u00f5eldud r\u00fcndajate k\u00e4itumise anal\u00fc\u00fcsimiseks, mitte kiireks reageerimiseks ohtudele. <\/p>\n<\/li>\n

  2. \n

    R\u00fcndajad on tavaliselt juba \u00f5ppinud tuvastama emuleeritud s\u00fcsteeme ja v\u00e4ltima honeypot'e. <\/p>\n<\/li>\n

  3. \n

    Honeynetid (honeypot'id) omavad \u00e4\u00e4rmiselt madalat interaktiivsuse ja suhtlemise taset teiste turvas\u00fcsteemidega, mist\u00f5ttu on nende kasutamisel keeruline saada p\u00f5hjalikku teavet r\u00fcnnakute ja r\u00fcndajate kohta, ning seega ka t\u00f5husalt ja kiiresti reageerida infoturbe intsidentidele. Lisaks saavad infoturbe spetsialistid suure hulga valeh\u00e4ireid ohutuse kohta. <\/p>\n<\/li>\n

  4. \n

    M\u00f5nel juhul v\u00f5ivad h\u00e4kkerid kasutada kompromiteeritud honeypoti, et j\u00e4tkata r\u00fcnnakut organisatsiooni v\u00f5rku. <\/p>\n<\/li>\n

  5. \n

    Honeypot'idega tekivad sageli probleemid skaleeritavuse, k\u00f5rgete operatiivsete koormuste ja s\u00fcsteemide seadistamise osas (nende seadistamine n\u00f5uab k\u00f5rgelt kvalifitseeritud spetsialiste, puudub mugav haldusliides jne). Honeypot'ide juurutamine spetsialiseeritud keskkondades, nagu IoT, POS, pilves\u00fcsteemides jne, on v\u00e4ga keeruline.<\/p>\n<\/li>\n<\/ol>\n

    2. Petetehnoloogia: eelised ja p\u00f5hiprintsiibid<\/h2>\n

    Uurides k\u00f5iki honeypotide eeliseid ja puudusi, j\u00f5uame j\u00e4reldusele, et on vajalik t\u00e4iesti uus l\u00e4henemine k\u00fcberturvakaamerate olukordadele reageerimise osas, et anda kiire ja asjakohane vastus r\u00fcndajate tegevustele. Ja selliseks lahenduseks on tehnoloogiad K\u00fcberpetmine (turvalisuse petmine)<\/strong>. <\/p>\n

    Terminoloogia \u201eKyberpetmine\u201c, \u201eTurvapetmine\u201c, \u201ePetmistehnoloogia\u201c ja \u201eJaotatud Petmisplatvorm\u201c (DDP) on suhteliselt uus ja on hiljuti ilmnenud. Tegelikult t\u00e4hendavad k\u00f5ik need terminid \u201epetmistehnoloogiate\u201c v\u00f5i \u201eIT-infrastruktuuri imitatsioonitehnikate ja k\u00fcberkurjategijate valeinformatsiooni\u201c kasutamist. K\u00f5ige lihtsamad lahendused Deception'i valdkonnas p\u00f5hinevad honeypotide ideedel, kuid suurema tehnoloogilise arengu tasemega, mis eeldab ulatuslikku automaatikat, et avastada ja neile reageerida. Turul on juba t\u00f5siseid DDP tasemel lahendusi, mis pakuvad lihtsat juurutamist ja skaleerimist ning on varustatud t\u00f5husate \u201ep\u00fc\u00fcniste\u201c ja \u201emeelituste\u201c arsenali, et r\u00fcnnakute eest kaitsta. N\u00e4iteks v\u00f5imaldab Deception emuleerida selliseid IT-infrastruktuuri objekte nagu andmebaasid, t\u00f6\u00f6stusjaamad, marsruuterid, l\u00fclitid, sularahaautomaadid, serverid ja SCADA, meditsiiniseadmed ja IoT. <\/p>\n

    Kuidas t\u00f6\u00f6tab «Distributed Deception Platform»? P\u00e4rast DDP juurutamist organiseeritakse ettev\u00f5tte IT-infrastruktuur kahe kihina: esimene kiht on ettev\u00f5tte tegelik infrastruktuur, teine aga \"emuleeritud\" keskkond, mis koosneb l\u00f5ksudest (inglise keeles decoys, traps) ja ahvatlustest (inglise keeles lures), mis asuvad v\u00f5rgu tegelikel f\u00fc\u00fcsilistel seadmetel (vt joonis 4).<\/p>\n

    \"Honeypot<\/p>\n

    N\u00e4iteks v\u00f5ib kurjategija avastada valeandmebaasid 'konfidentsiaalsete dokumentidega', valekasutajate \u00f5iguskaitsetooted \u2014 k\u00f5ik need on valeeesm\u00e4rgid, mis v\u00f5ivad rikkumiste h\u00e4irib ja suunata nende t\u00e4helepanu k\u00f5rvale ettev\u00f5tte tegelikelt teabevaradelt (vt joonis 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP on uus toode infoturbe turul, need lahendused on vaid paar aastat vanad ja seni on need olnud hinnas ainult korporatiivse sektori jaoks. Kuid v\u00e4ike- ja keskmise suurusega ettev\u00f5tted saavad peagi ka Deception'ist kasu, \u00fc\u00fcrides DDP-d spetsialiseeritud teenusepakkujatelt 'teenusena'. Selline variant on isegi mugavam, kuna ei ole vajalik k\u00f5rgelt kvalifitseeritud t\u00f6\u00f6tajate olemasolu.<\/p>\n

    Allpool on toodud peamised Deception-tehnoloogia eelised:<\/p>\n