Tha grunn artaigilean ann mu thràth air Habré mu theicneòlasan Honeypot agus Deception (, ). Ach, tha sinn fhathast mu choinneimh dìth tuigse air an eadar-dhealachadh eadar na clasaichean sin de uidheamachd dìon. Airson seo, tha ar co-obraichean bho (a’ chiad leasaiche Ruiseanach ) co-dhùnadh cunntas mionaideach a thoirt air na h-eadar-dhealachaidhean, buannachdan agus feartan ailtireil nam fuasglaidhean sin.
Feuch an obraich sinn a-mach dè a th’ ann an “honeypots” agus “deceptions”:
Nochd “teicneòlasan meallta” air margaidh nan siostaman tèarainteachd fiosrachaidh an ìre mhath o chionn ghoirid. Ach, tha cuid de dh’eòlaichean fhathast den bheachd gu bheil mealladh tèarainteachd dìreach mar phoitean meala nas adhartaiche.
San artaigil seo feuchaidh sinn ri cuideam a chuir air an dà chuid na rudan a tha coltach agus eadar-dhealachaidhean bunaiteach eadar an dà fhuasgladh seo. Anns a 'chiad phàirt, bidh sinn a' bruidhinn mu dheidhinn mil, mar a leasaich an teicneòlas seo agus dè na buannachdan agus na h-eas-bhuannachdan a th 'ann. Agus anns an dàrna pàirt, bidh sinn a’ beachdachadh gu mionaideach air prionnsapalan obrachaidh àrd-ùrlaran airson a bhith a’ cruthachadh bun-structar sgaoilte de dhecoys (Beurla, Distributed Deception Platform - DDP).
Is e am prionnsapal bunaiteach a tha aig poitean meala a bhith a’ cruthachadh ribeachan airson hackers. Chaidh a’ chiad fhuasglaidhean meallta a leasachadh air an aon phrionnsapal. Ach tha DDPn an latha an-diugh gu math nas fheàrr na poitean meala, an dà chuid a thaobh gnìomhachd agus èifeachdas. Tha àrd-ùrlaran meallta a’ toirt a-steach: decoys, ribeachan, lures, tagraidhean, dàta, stòran-dàta, Active Directory. Faodaidh DDPn ùr-nodha comasan cumhachdach a thoirt seachad airson lorg bagairtean, mion-sgrùdadh ionnsaigh, agus fèin-ghluasad freagairt.
Mar sin, tha mealladh na dhòigh air a bhith ag atharrais air bun-structar IT iomairt agus a bhith a’ mealladh luchd-tarraing. Mar thoradh air an sin, tha àrd-ùrlaran mar sin ga dhèanamh comasach stad a chuir air ionnsaighean mus dèan iad milleadh mòr air maoin companaidh. Gu dearbh, chan eil comas-gnìomh cho farsaing agus ìre fèin-ghluasaid aig Honeypots, agus mar sin feumaidh an cleachdadh barrachd teisteanasan bho luchd-obrach roinnean tèarainteachd fiosrachaidh.
1. Honeypots, Honeynets agus Sandboxing: dè th' annta agus mar a tha iad gan cleachdadh
Chaidh am facal "honeypots" a chleachdadh an toiseach ann an 1989 ann an leabhar Clifford Stoll "The Cuckoo's Egg", a tha a 'toirt cunntas air na tachartasan a thachair nuair a chaidh neach-tarraing a lorg aig Saotharlann Nàiseanta Lawrence Berkeley (USA). Chaidh am beachd seo a chuir an gnìomh ann an 1999 le Lance Spitzner, eòlaiche tèarainteachd fiosrachaidh aig Sun Microsystems, a stèidhich pròiseact rannsachaidh Pròiseact Honeynet. Bha a’ chiad phoitean meala gu math dian air goireasan, duilich an stèidheachadh agus an cumail suas.
Bheir sinn sùil nas mionaidiche air dè a th’ ann poitean-mheala и lèanagan meala. Tha Honeypots nan luchd-aoigheachd fa leth a tha ag amas air luchd-ionnsaigh a thàladh gus a dhol a-steach do lìonra companaidh agus feuchainn ri dàta luachmhor a ghoid, a bharrachd air raon còmhdaich an lìonra a leudachadh. Tha Honeypot (air eadar-theangachadh gu litireil mar “baraille meala”) na fhrithealaiche sònraichte le seata de dhiofar sheirbheisean lìonra agus phròtacalan, leithid HTTP, FTP, msaa. (faic Fig. 1).
Ma chuireas tu grunnan còmhla poitean-mheala a-steach don lìonra, an uairsin gheibh sinn siostam nas èifeachdaiche liont-mheala, a tha na aithris air lìonra corporra companaidh (frithealaiche lìn, frithealaiche faidhle, agus co-phàirtean lìonra eile). Leigidh am fuasgladh seo dhut ro-innleachd luchd-ionnsaigh a thuigsinn agus am mealladh. Bidh honeynet àbhaisteach, mar riaghailt, ag obair ann an co-shìnte ris an lìonra obrach agus tha e gu tur neo-eisimeileach bhuaithe. Faodar a leithid de “lìonra” fhoillseachadh air an eadar-lìn tro sheanail air leth; faodar raon eadar-dhealaichte de sheòlaidhean IP a thoirt dha cuideachd (faic Fig. 2).
Is e a’ phuing a bhith a’ cleachdadh honeynet a bhith a’ sealltainn don neach-tarraing gu bheil e air a dhol a-steach do lìonra corporra na buidhne; gu dearbh, tha an neach-ionnsaigh ann an “àrainneachd iomallach” agus fo stiùireadh dlùth eòlaichean tèarainteachd fiosrachaidh (faic Fig. 3).
An seo feumaidh sinn cuideachd iomradh a thoirt air inneal mar “bogsa gainmhich"(Sasannach, bogsa gainmhich), a leigeas le luchd-ionnsaigh malware a chuir a-steach agus a ruith ann an àrainneachd iomallach far an urrainn do IT sùil a chumail air na gnìomhan aca gus cunnartan a chomharrachadh agus ceumannan iomchaidh a ghabhail. An-dràsta, mar as trice bidh bogsa gainmhich air a chuir an gnìomh air innealan brìgheil sònraichte air aoigheachd brìgheil. Ach, bu chòir a thoirt fa-near gu bheil bogsa-gainmhich a-mhàin a 'sealltainn mar a tha prògraman cunnartach agus droch-rùnach gan giùlan fhèin, fhad' sa tha honeynet a 'cuideachadh eòlaiche a' sgrùdadh giùlan "cluicheadairean cunnartach".
Is e buannachd follaiseach honeynets gu bheil iad a’ mealladh luchd-ionnsaigh, a’ caitheamh an lùth, an goireasan agus an ùine. Mar thoradh air an sin, an àite targaidean fìor, bidh iad a 'toirt ionnsaigh air feadhainn meallta agus faodaidh iad stad a chur air ionnsaigh a thoirt air an lìonra gun a bhith a' coileanadh dad. Mar as trice, bidh teicneòlasan honeynets air an cleachdadh ann am buidhnean riaghaltais agus corporaidean mòra, buidhnean ionmhais, leis gur iad sin na structaran a thig gu bhith nan targaidean airson prìomh ionnsaighean saidhbear. Ach, feumaidh gnìomhachasan beaga is meadhanach (SMBn) innealan èifeachdach cuideachd gus casg a chuir air tachartasan tèarainteachd fiosrachaidh, ach chan eil honeynets ann an roinn SMB cho furasta an cleachdadh air sgàth dìth luchd-obrach le teisteanas airson obair cho iom-fhillte.
Crìochan air Honeypots agus Honeynets Solutions
Carson nach e poitean meala agus honeynets na fuasglaidhean as fheàrr airson cuir an-aghaidh ionnsaighean an-diugh? Bu chòir a thoirt fa-near gu bheil ionnsaighean a’ sìor fhàs mòr, iom-fhillte gu teicnigeach agus comasach air milleadh mòr a dhèanamh air bun-structar IT na buidhne, agus tha cybercrime air ìre gu tur eadar-dhealaichte a ruighinn agus a’ riochdachadh structaran gnìomhachais sgàil làn eagraichte uidheamaichte leis na goireasan riatanach uile. Feumar am “bàillidh daonna” a chuir ris an seo (mearachdan ann an suidheachaidhean bathar-bog is bathar-cruaidh, gnìomhan luchd-ionnsaigh, msaa), agus mar sin chan eil cleachdadh teicneòlas a-mhàin gus casg a chuir air ionnsaighean gu leòr an-dràsta.
Gu h-ìosal tha sinn a 'toirt liosta de na prìomh chuingealachaidhean agus eas-bhuannachdan de phoitean meala (honeynets):
-
Chaidh Honeypots a leasachadh an toiseach gus bagairtean a chomharrachadh a tha taobh a-muigh an lìonra corporra, a tha an dùil a bhith a’ sgrùdadh giùlan luchd-ionnsaigh agus nach eil air an dealbhadh gus dèiligeadh gu sgiobalta ri bagairtean.
-
Tha luchd-ionnsaigh, mar riaghailt, air ionnsachadh mar-thà a bhith ag aithneachadh siostaman emulated agus a’ seachnadh phoitean meala.
-
Tha ìre glè ìosal de eadar-ghnìomhachd agus eadar-obrachadh le siostaman tèarainteachd eile aig Honeynets (honeypots), agus mar thoradh air an sin, le bhith a’ cleachdadh poitean meala, tha e duilich fiosrachadh mionaideach fhaighinn mu ionnsaighean agus luchd-ionnsaigh, agus mar sin dèiligeadh gu h-èifeachdach agus gu sgiobalta ri tachartasan tèarainteachd fiosrachaidh. . A bharrachd air an sin, bidh eòlaichean tèarainteachd fiosrachaidh a’ faighinn àireamh mhòr de rabhaidhean bagairt meallta.
-
Ann an cuid de shuidheachaidhean, faodaidh luchd-tarraing inneal-meala a chleachdadh mar thoiseach tòiseachaidh gus leantainn air adhart leis an ionnsaigh air lìonra buidhne.
-
Bidh duilgheadasan gu tric ag èirigh le scalability phoitean meala, luchd obrachaidh àrd agus rèiteachadh nan siostaman sin (feumaidh iad eòlaichean le teisteanas àrd, chan eil eadar-aghaidh riaghlaidh goireasach aca, msaa). Tha duilgheadasan mòra ann a bhith a’ cleachdadh phoitean meala ann an àrainneachdan sònraichte leithid IoT, POS, siostaman sgòthan, msaa.
2. Teicneòlas meallta: buannachdan agus prionnsapalan obrachaidh bunaiteach
Às deidh dhuinn sgrùdadh a dhèanamh air na buannachdan agus na h-eas-bhuannachdan a tha aig poitean meala, thig sinn chun cho-dhùnadh gu bheil feum air dòigh-obrach gu tur ùr airson dèiligeadh ri tachartasan tèarainteachd fiosrachaidh gus freagairt luath is iomchaidh a leasachadh do ghnìomhan luchd-ionnsaigh. Agus is e fuasgladh mar sin teicneòlas Mealladh saidhbear (mealladh tèarainteachd).
Tha am briathrachas “Cyber mealladh”, “mealladh tèarainteachd”, “Teicneòlas meallta”, “Àrd-ùrlar Mealladh Sgaoilte” (DDP) gu math ùr agus cha do nochd e cho fada air ais. Gu dearbh, tha na teirmean sin uile a’ ciallachadh cleachdadh “teicneòlasan meallta” no “teicneòlasan airson a bhith ag atharrais air bun-structar IT agus dì-ghalarachadh luchd-ionnsaigh.” Is e na fuasglaidhean meallta as sìmplidh leasachadh air beachdan phoitean meala, dìreach aig ìre nas adhartaiche gu teicneòlach, a tha a’ toirt a-steach barrachd fèin-ghluasaid airson lorg bagairtean agus freagairt dhaibh. Ach, tha fìor fhuasglaidhean clas DDP air a’ mhargaidh mu thràth a tha furasta an cleachdadh agus an sgèile, agus cuideachd aig a bheil fìor arsenal de “ribe” agus “biathadh” airson luchd-ionnsaigh. Mar eisimpleir, leigidh Mealladh leat atharrais a dhèanamh air nithean bun-structair IT leithid stòran-dàta, ionadan-obrach, routers, suidsichean, ATMan, frithealaichean agus SCADA, uidheamachd meidigeach agus IoT.
Ciamar a tha an Àrd-ùrlar Mealladh Sgaoilte ag obair? Às deidh DDP a bhith air a chuir a-steach, thèid bun-structar IT na buidhne a thogail mar gum biodh bho dhà shreath: is e a’ chiad ìre fìor bhun-structar a ’chompanaidh, agus an dàrna fear na àrainneachd“ emulated ”anns a bheil sgeadachadh agus biathadh. ), a tha suidhichte. air innealan lìonra corporra fìor (faic Fig. 4).
Mar eisimpleir, faodaidh neach-ionnsaigh stòran-dàta meallta a lorg le “sgrìobhainnean dìomhair”, teisteanasan meallta de “luchd-cleachdaidh sochairichte” a rèir coltais - tha iad sin uile nan sgeadachadh a dh’ fhaodadh ùidh a thoirt do luchd-brisidh, agus mar sin a ’tarraing an aire bho fhìor mhaoin fiosrachaidh na companaidh (faic Figear 5).
Is e toradh ùr a th’ ann an DDP air a’ mhargaidh toraidh tèarainteachd fiosrachaidh; chan eil na fuasglaidhean sin ach beagan bhliadhnaichean a dh’ aois agus gu ruige seo chan urrainn ach an roinn chorporra am pàigheadh. Ach a dh’ aithghearr bidh e comasach do ghnìomhachasan beaga is meadhanach brath a ghabhail air mealladh le bhith a’ faighinn DDP air màl bho sholaraichean sònraichte “mar sheirbheis.” Tha an roghainn seo eadhon nas goireasaiche, leis nach eil feum air an luchd-obrach àrd-teisteanasach agad fhèin.
Tha prìomh bhuannachdan teicneòlas meallta air an sealltainn gu h-ìosal:
-
Dearbh-aithne (dearbhachd). Tha teicneòlas meallta comasach air àrainneachd IT gu tur dearbhte de chompanaidh ath-riochdachadh, ag aithris gu càileachdail siostaman obrachaidh, IoT, POS, siostaman sònraichte (meidigeach, gnìomhachasach, msaa), seirbheisean, tagraidhean, teisteanasan, msaa. Tha sgeadachadh air a mheasgachadh gu faiceallach leis an àrainneachd obrach, agus chan urrainn dha neach-ionnsaigh an comharrachadh mar phoitean meala.
-
Gnìomhachadh. Bidh DDPn a’ cleachdadh ionnsachadh inneal (ML) nan cuid obrach. Le cuideachadh bho ML, tha sìmplidheachd, sùbailteachd ann an suidheachaidhean agus èifeachdas buileachadh Mealladh air a dhèanamh cinnteach. Bidh “Traps” agus “Decoys” air an ùrachadh gu math luath, a ’tàladh neach-ionnsaigh a-steach do bhun-structar IT“ meallta ”a’ chompanaidh, agus san eadar-ama, faodaidh siostaman sgrùdaidh adhartach stèidhichte air inntleachd fuadain gnìomhan gnìomhach luchd-hackers a lorg agus casg a chuir orra (mar eisimpleir, feuchainn ri faighinn gu cunntasan meallta stèidhichte air Active Directory).
-
Furasta obrachadh. Tha àrd-ùrlaran mealladh sgaoilte ùr-nodha furasta an cumail suas agus an riaghladh. Mar as trice bidh iad air an riaghladh tro chonsal ionadail no sgòthan, le comasan amalachaidh leis an SOC corporra (Ionad Gnìomhachd Tèarainteachd) tro API agus le mòran smachdan tèarainteachd a th’ ann mar-thà. Chan eil feum air cumail suas agus obrachadh DDP air seirbheisean eòlaichean tèarainteachd fiosrachaidh le teisteanas.
-
Scalability. Faodar mealladh tèarainteachd a chleachdadh ann an àrainneachdan fiosaigeach, brìgheil agus sgòthan. Bidh DDPn cuideachd ag obair gu soirbheachail le àrainneachdan sònraichte leithid IoT, ICS, POS, SWIFT, msaa. Faodaidh àrd-ùrlaran meallta adhartach “teicneòlasan meallta” a chuir a-steach gu oifisean iomallach agus àrainneachdan iomallach, gun fheum air cleachdadh àrd-ùrlair a bharrachd.
-
Eadar-obrachadh. A 'cleachdadh sgeadachaidhean cumhachdach agus tarraingeach a tha stèidhichte air fìor shiostaman obrachaidh agus air an suidheachadh gu glic am measg fìor bhun-structair IT, bidh an àrd-ùrlar Deception a' cruinneachadh fiosrachadh farsaing mun neach-ionnsaigh. Bidh DDP an uairsin a’ dèanamh cinnteach gun tèid rabhaidhean bagairt a chuir a-mach, gun tèid aithisgean a chruthachadh, agus gun tèid dèiligeadh gu fèin-ghluasadach ri tachartasan tèarainteachd fiosrachaidh.
-
Àite tòiseachaidh ionnsaigh. Ann am mealladh an latha an-diugh, tha ribeachan agus biathadh air an cur taobh a-staigh raon an lìonra, seach taobh a-muigh (mar a tha fìor le poitean meala). Tha am modal cleachdadh decoy seo a’ cur casg air neach-ionnsaigh bho bhith gan cleachdadh mar phuing luamhain gus ionnsaigh a thoirt air fìor bhun-structar IT na companaidh. Tha comasan slighe trafaic aig fuasglaidhean nas adhartaiche den chlas Mealladh, gus an urrainn dhut a h-uile trafaic ionnsaigh a stiùireadh tro cheangal sònraichte. Leigidh seo leat mion-sgrùdadh a dhèanamh air gnìomhachd luchd-ionnsaigh gun a bhith a’ cur maoin luachmhor companaidh ann an cunnart.
-
Dè cho làidir sa tha “teicneòlasan meallta”. Aig a 'chiad ìre den ionnsaigh, bidh luchd-ionnsaigh a' cruinneachadh agus a 'sgrùdadh dàta mun bhun-structair IT, agus an uairsin ga chleachdadh gus gluasad gu còmhnard tron lìonra corporra. Le cuideachadh bho “theicneòlasan meallta,” bidh an neach-ionnsaigh gu cinnteach a ’tuiteam a-steach do“ ribeachan ”a bheir air falbh e bho fhìor mhaoin na buidhne. Nì DDP mion-sgrùdadh air slighean a dh’ fhaodadh a bhith ann gus faighinn gu teisteanasan air lìonra corporra agus bheir e “targaidean decoy” don neach-ionnsaigh an àite fìor theisteanasan. Bha na comasan sin gu mòr gann ann an teicneòlasan meala. (Faic Figear 6).
Mealladh VS Honeypot
Agus mu dheireadh, thig sinn chun mhionaid as inntinniche den rannsachadh againn. Feuchaidh sinn ri cuideam a chuir air na prìomh eadar-dhealachaidhean eadar teicneòlas meallta agus Honeypot. A dh 'aindeoin cuid de choltasachd, tha an dà theicneòlas seo fhathast gu math eadar-dhealaichte, bhon bheachd bunaiteach gu èifeachdas obrachaidh.
-
Bun-bheachdan eadar-dhealaichte. Mar a sgrìobh sinn gu h-àrd, tha poitean meala air an cur a-steach mar “decoys” timcheall air maoin companaidh luachmhor (taobh a-muigh an lìonra corporra), mar sin a’ feuchainn ri aire a tharraing do luchd-ionnsaigh. Tha teicneòlas Honeypot stèidhichte air tuigse air bun-structar buidhne, ach faodaidh poitean meala a bhith na thoiseach tòiseachaidh airson ionnsaigh a chuir air lìonra companaidh. Tha teicneòlas meallta air a leasachadh a’ toirt aire do shealladh an neach-ionnsaigh agus a’ leigeil leat ionnsaigh a chomharrachadh aig ìre thràth, mar sin, bidh eòlaichean tèarainteachd fiosrachaidh a’ faighinn buannachd mhòr thairis air luchd-ionnsaigh agus a’ faighinn ùine.
-
"Tarraing" VS "Mì-mhisneachd". Nuair a bhios tu a’ cleachdadh phoitean meala, bidh soirbheachas an urra ri bhith a’ tarraing aire luchd-ionnsaigh agus gam brosnachadh gus gluasad chun targaid anns a’ phoit meala. Tha seo a 'ciallachadh gum feum an neach-ionnsaigh fhathast a' phoit meala a ruighinn mus urrainn dhut stad a chur air. Mar sin, faodaidh làthaireachd luchd-ionnsaigh air an lìonra mairsinn airson grunn mhìosan no barrachd, agus leanaidh seo gu dàta aoidionach agus milleadh. Bidh DDPn gu càileachdail a’ dèanamh atharrais air fìor bhun-structar IT companaidh; chan e adhbhar an cur an gnìomh dìreach aire neach-ionnsaigh a tharraing, ach a chuir troimhe-chèile gus am bi e a’ caitheamh ùine agus goireasan, ach nach fhaigh e cothrom air fìor mhaoin an neach-ionnsaigh. companaidh.
-
“Scalability cuibhrichte” VS “scalability fèin-ghluasadach”. Mar a chaidh a ràdh na bu tràithe, tha duilgheadasan sgèileachaidh aig poitean meala agus honeynets. Tha seo duilich agus daor, agus gus an àireamh de phoitean meala a mheudachadh ann an siostam corporra, feumaidh tu coimpiutairean ùra, OS, ceadan a cheannach, agus IP a riarachadh. A bharrachd air an sin, tha e riatanach cuideachd luchd-obrach le teisteanas a bhith agad gus na siostaman sin a riaghladh. Bidh àrd-ùrlaran meallta gan cleachdadh gu fèin-ghluasadach mar na sgàilean bun-structair agad, às aonais cosgais mòr.
-
“Àireamh mhòr de rudan ceàrr” VS “gun rudan ceàrr”. Is e brìgh na trioblaid gum faod eadhon neach-cleachdaidh sìmplidh a thighinn tarsainn air poit meala, agus mar sin is e “buannachd” an teicneòlais seo àireamh mhòr de rudan meallta, a tha a ’tarraing aire eòlaichean tèarainteachd fiosrachaidh bhon obair aca. Tha “baits” agus “ribe” ann an DDP falaichte gu faiceallach bhon neach-cleachdaidh cuibheasach agus tha iad air an dealbhadh airson neach-ionnsaigh a-mhàin, agus mar sin tha a h-uile comharra bho shiostam mar sin na fhios mu fhìor chunnart, agus chan e meallta meallta.
co-dhùnadh
Nar beachd-sa, tha teicneòlas mealladh na leasachadh mòr thairis air seann theicneòlas Honeypots. Gu dearbh, tha DDP air a thighinn gu bhith na àrd-ùrlar tèarainteachd coileanta a tha furasta a chleachdadh agus a riaghladh.
Tha àite cudromach aig àrd-ùrlaran ùr-nodha den chlas seo ann a bhith a’ lorg bagairtean lìonra gu ceart agus a’ freagairt gu h-èifeachdach, agus tha an aonachadh le co-phàirtean eile den chruach tèarainteachd ag àrdachadh ìre fèin-ghluasaid, a’ meudachadh èifeachdas agus èifeachdas freagairt tachartais. Tha àrd-ùrlaran meallta stèidhichte air dearbhteachd, scalability, furasta an riaghladh agus amalachadh le siostaman eile. Tha seo uile a’ toirt buannachd mhòr ann an luaths freagairt do thachartasan tèarainteachd fiosrachaidh.
Cuideachd, stèidhichte air beachdan air pentests de chompanaidhean far an deach an àrd-ùrlar Xello Deception a chuir an gnìomh no a phìleatadh, is urrainn dhuinn co-dhùnaidhean a dhèanamh nach urrainn eadhon eadhon pentesters eòlach am biathadh san lìonra corporra aithneachadh agus fàiligeadh nuair a thuiteas iad airson na ribeachan a chaidh a shuidheachadh. Tha an fhìrinn seo a-rithist a’ dearbhadh èifeachdas mealladh agus na cothroman mòra a bhios a’ fosgladh airson an teicneòlais seo san àm ri teachd.
Deuchainn toraidh
Ma tha ùidh agad san àrd-ùrlar Deception, tha sinn deiseil .
Cum sùil air airson ùrachaidhean anns na seanailean againn (, , , )!
Source: www.habr.com