સિંગાપોરમાં ડિજિટલ ઓશન નોડ પર હનીપોટ ઇન્સ્ટોલ કર્યા પછી 24 કલાકના આંકડા

પ્યુ પ્યુ! ચાલો હુમલાના નકશા સાથે તરત જ પ્રારંભ કરીએ

અમારો સુપર કૂલ નકશો અનન્ય ASN બતાવે છે જે 24 કલાકની અંદર અમારા Cowrie honeypot સાથે જોડાયેલા છે. પીળો SSH કનેક્શનને અનુલક્ષે છે, અને લાલ ટેલનેટને અનુલક્ષે છે. આવા એનિમેશન ઘણીવાર કંપનીના બોર્ડ ઓફ ડિરેક્ટર્સને પ્રભાવિત કરે છે, જે સુરક્ષા અને સંસાધનો માટે વધુ ભંડોળ સુરક્ષિત કરવામાં મદદ કરી શકે છે. જો કે, નકશાનું અમુક મૂલ્ય છે, જે ફક્ત 24 કલાકમાં અમારા હોસ્ટ પર હુમલાના સ્ત્રોતોનો ભૌગોલિક અને સંગઠનાત્મક ફેલાવો સ્પષ્ટપણે દર્શાવે છે. એનિમેશન દરેક સ્ત્રોતમાંથી ટ્રાફિકની માત્રાને પ્રતિબિંબિત કરતું નથી.

પ્યુ પ્યુ મેપ શું છે?

પ્યુ પ્યુ નકશો છે સાયબર હુમલાઓનું વિઝ્યુલાઇઝેશન, સામાન્ય રીતે એનિમેટેડ અને ખૂબ જ સુંદર. નોર્સ કોર્પ દ્વારા કુખ્યાત રીતે ઉપયોગમાં લેવાતી તમારી પ્રોડક્ટ વેચવાની આ એક ફેન્સી રીત છે. કંપની ખરાબ રીતે સમાપ્ત થઈ: તે બહાર આવ્યું કે સુંદર એનિમેશન તેમનો એકમાત્ર ફાયદો હતો, અને તેઓએ વિશ્લેષણ માટે ફ્રેગમેન્ટરી ડેટાનો ઉપયોગ કર્યો.

Leafletjs સાથે બનાવેલ છે

જેઓ ઓપરેશન સેન્ટરમાં મોટી સ્ક્રીન માટે એટેક મેપ ડિઝાઇન કરવા માગે છે (તમારા બોસને તે ગમશે), ત્યાં એક પુસ્તકાલય છે પત્રિકાઓ. અમે તેને પ્લગઇન સાથે જોડીએ છીએ પત્રિકા સ્થળાંતર સ્તર, Maxmind GeoIP સેવા - અને કર્યું.

WTF: આ કાઉરી હનીપોટ શું છે?

હનીપોટ એક એવી સિસ્ટમ છે જે નેટવર્ક પર ખાસ કરીને હુમલાખોરોને લલચાવવા માટે મૂકવામાં આવે છે. સિસ્ટમ સાથેના જોડાણો સામાન્ય રીતે ગેરકાયદેસર હોય છે અને તમને વિગતવાર લૉગ્સનો ઉપયોગ કરીને હુમલાખોરને શોધવાની મંજૂરી આપે છે. લોગ્સ માત્ર નિયમિત કનેક્શન માહિતી જ નહીં, પણ સત્રની માહિતી પણ સંગ્રહિત કરે છે જે જાહેર કરે છે તકનીકો, યુક્તિઓ અને પ્રક્રિયાઓ (TTP) ઘુસણખોર

હનીપોટ કોરી માટે બનાવેલ છે SSH અને ટેલનેટ કનેક્શન રેકોર્ડ્સ. હુમલાખોરોના ટૂલ્સ, સ્ક્રિપ્ટ્સ અને હોસ્ટને ટ્રેક કરવા માટે આવા હનીપોટ્સ ઘણીવાર ઇન્ટરનેટ પર મૂકવામાં આવે છે.

જે કંપનીઓને લાગે છે કે તેઓ પર હુમલો નહીં થાય તેમને મારો સંદેશ: "તમે સખત જોઈ રહ્યા છો."
- જેમ્સ સ્નૂક

લોગમાં શું છે?

જોડાણોની કુલ સંખ્યા

ઘણા યજમાનો તરફથી વારંવાર જોડાણના પ્રયાસો થયા હતા. આ સામાન્ય છે, કારણ કે હુમલાની સ્ક્રિપ્ટ્સમાં ઓળખપત્રોની સંપૂર્ણ સૂચિ હોય છે અને કેટલાક સંયોજનોનો પ્રયાસ કરો. Cowrie Honeypot ચોક્કસ વપરાશકર્તાનામ અને પાસવર્ડ સંયોજનો સ્વીકારવા માટે ગોઠવેલ છે. આમાં ગોઠવેલ છે user.db ફાઇલ.

હુમલાની ભૂગોળ

Maxmind ભૌગોલિક સ્થાન ડેટાનો ઉપયોગ કરીને, મેં દરેક દેશમાંથી કનેક્શન્સની સંખ્યા ગણી. બ્રાઝિલ અને ચીન વિશાળ માર્જિનથી આગળ છે, અને આ દેશોમાંથી આવતા સ્કેનર્સથી ઘણી વાર અવાજ આવે છે.

નેટવર્ક બ્લોક માલિક

નેટવર્ક બ્લોક્સ (ASN) ના માલિકો પર સંશોધન કરવાથી મોટી સંખ્યામાં હુમલાખોર યજમાનો ધરાવતી સંસ્થાઓને ઓળખી શકાય છે. અલબત્ત, આવા કિસ્સાઓમાં તમારે હંમેશા યાદ રાખવું જોઈએ કે ઘણા હુમલા ચેપગ્રસ્ત યજમાનો તરફથી આવે છે. એવું માનવું વાજબી છે કે મોટાભાગના હુમલાખોરો ઘરના કમ્પ્યુટરથી નેટવર્ક સ્કેન કરવા માટે એટલા મૂર્ખ નથી.

એટેકિંગ સિસ્ટમ્સ પર પોર્ટ ખોલો (Shodan.io માંથી ડેટા)

ઉત્કૃષ્ટ મારફતે IP યાદી ચાલી Shodan API ઝડપથી ઓળખે છે ખુલ્લા બંદરો સાથે સિસ્ટમો અને આ બંદરો શું છે? નીચેનો આંકડો દેશ અને સંસ્થા દ્વારા ખુલ્લા બંદરોની સાંદ્રતા દર્શાવે છે. સમાધાન કરેલ સિસ્ટમોના બ્લોક્સને ઓળખવાનું શક્ય બનશે, પરંતુ અંદર નાનો નમૂનો મોટી સંખ્યા સિવાય બાકી કંઈ દેખાતું નથી ચીનમાં 500 ખુલ્લા બંદરો.

એક રસપ્રદ શોધ એ છે કે બ્રાઝિલમાં મોટી સંખ્યામાં સિસ્ટમ્સ છે 22, 23 ખોલતા નથી અથવા અન્ય બંદરો, Censys અને Shodan અનુસાર. દેખીતી રીતે આ અંતિમ વપરાશકર્તા કમ્પ્યુટર્સના જોડાણો છે.

બૉટો? જરૂરી નથી

માહિતી સેન્સિસ પોર્ટ 22 અને 23 માટે તેઓએ તે દિવસે કંઈક વિચિત્ર બતાવ્યું. મેં ધાર્યું કે મોટાભાગના સ્કેન અને પાસવર્ડ હુમલા બૉટોમાંથી આવે છે. સ્ક્રિપ્ટ ખુલ્લા બંદરો પર ફેલાય છે, પાસવર્ડ્સનું અનુમાન લગાવે છે, અને નવી સિસ્ટમમાંથી તેની નકલ કરે છે અને તે જ પદ્ધતિનો ઉપયોગ કરીને ફેલાવવાનું ચાલુ રાખે છે.

પરંતુ અહીં તમે જોઈ શકો છો કે ટેલનેટ સ્કેન કરતા હોસ્ટ્સની માત્ર થોડી સંખ્યામાં જ પોર્ટ 23 બહારથી ખુલ્લું હોય છે. આનો અર્થ એ થાય છે કે સિસ્ટમ્સ કાં તો બીજી રીતે ચેડા કરે છે, અથવા હુમલાખોરો જાતે જ સ્ક્રિપ્ટ ચલાવી રહ્યા છે.

ઘર જોડાણો

બીજી રસપ્રદ શોધ એ નમૂનામાં ઘર વપરાશકારોની મોટી સંખ્યા હતી. ઉપયોગ કરીને રિવર્સ લુકઅપ મેં ચોક્કસ હોમ કોમ્પ્યુટરમાંથી 105 જોડાણો ઓળખ્યા. ઘણાં હોમ કનેક્શન્સ માટે, રિવર્સ DNS લુકઅપ હોસ્ટનામને dsl, home, cable, fiber, વગેરે શબ્દો સાથે દર્શાવે છે.

જાણો અને અન્વેષણ કરો: તમારો પોતાનો હનીપોટ ઉભા કરો

મેં તાજેતરમાં કેવી રીતે કરવું તેના પર એક ટૂંકું ટ્યુટોરીયલ લખ્યું તમારી સિસ્ટમ પર Cowrie honeypot ઇન્સ્ટોલ કરો. પહેલેથી જ ઉલ્લેખ કર્યો છે તેમ, અમારા કિસ્સામાં અમે સિંગાપોરમાં ડિજિટલ ઓશન VPS નો ઉપયોગ કર્યો છે. 24 કલાકના વિશ્લેષણ માટે, ખર્ચ શાબ્દિક રીતે થોડા સેન્ટનો હતો, અને સિસ્ટમને એસેમ્બલ કરવાનો સમય 30 મિનિટનો હતો.

ઇન્ટરનેટ પર Cowrie ચલાવવાને બદલે અને તમામ અવાજને પકડવાને બદલે, તમે તમારા સ્થાનિક નેટવર્ક પર હનીપોટથી લાભ મેળવી શકો છો. જો અમુક પોર્ટ પર વિનંતીઓ મોકલવામાં આવે તો સતત સૂચના સેટ કરો. આ ક્યાં તો નેટવર્કની અંદર હુમલાખોર છે, અથવા વિચિત્ર કર્મચારી છે, અથવા નબળાઈ સ્કેન છે.

તારણો

XNUMX-કલાકના સમયગાળા દરમિયાન હુમલાખોરોની ક્રિયાઓ જોયા પછી, તે સ્પષ્ટ થઈ જાય છે કે કોઈપણ સંસ્થા, દેશ અથવા ઓપરેટિંગ સિસ્ટમમાં હુમલાના સ્પષ્ટ સ્ત્રોતને ઓળખવું અશક્ય છે.

સ્ત્રોતોનું વ્યાપક વિતરણ દર્શાવે છે કે સ્કેન અવાજ સતત છે અને ચોક્કસ સ્ત્રોત સાથે સંકળાયેલ નથી. કોઈપણ જે ઈન્ટરનેટ પર કામ કરે છે તેની ખાતરી કરવી જોઈએ કે તેમની સિસ્ટમ કેટલાક સુરક્ષા સ્તરો. માટે એક સામાન્ય અને અસરકારક ઉકેલ SSH સેવા રેન્ડમ હાઇ પોર્ટ પર જશે. આ કડક પાસવર્ડ સુરક્ષા અને દેખરેખની જરૂરિયાતને દૂર કરતું નથી, પરંતુ ઓછામાં ઓછું ખાતરી કરે છે કે લોગ સતત સ્કેનિંગ દ્વારા ભરાયેલા નથી. ઉચ્ચ પોર્ટ કનેક્શન પર લક્ષિત હુમલા થવાની શક્યતા વધુ હોય છે, જે તમારા માટે રસપ્રદ હોઈ શકે છે.

ઘણીવાર ખુલ્લા ટેલનેટ પોર્ટ રાઉટર્સ અથવા અન્ય ઉપકરણો પર હોય છે, તેથી તેને સરળતાથી ઊંચા પોર્ટ પર ખસેડી શકાતા નથી. બધા ખુલ્લા બંદરો વિશે માહિતી и હુમલો સપાટી આ સેવાઓ ફાયરવોલ અથવા અક્ષમ છે તેની ખાતરી કરવાનો એકમાત્ર રસ્તો છે. જો શક્ય હોય તો, તમારે ટેલનેટનો બિલકુલ ઉપયોગ કરવો જોઈએ નહીં; આ પ્રોટોકોલ એન્ક્રિપ્ટેડ નથી. જો તમને તેની જરૂર હોય અને તેના વિના કરી શકતા નથી, તો કાળજીપૂર્વક તેનું નિરીક્ષણ કરો અને મજબૂત પાસવર્ડ્સનો ઉપયોગ કરો.

સોર્સ: www.habr.com