{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Neizrecivo privla\u010dno: kako smo stvorili honeypot koji se ne mo\u017ee razotkriti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Neizrecivo
\nAntivirusne tvrtke, stru\u010dnjaci za kiberneti\u010dku sigurnost i entuzijasti postavljaju u internet sustave mamce - honeypotove kako bi 'uhvatili' nove varijante virusa ili otkrili neobi\u010dne hakerske taktike. Honeypotovi su postali toliko uobi\u010dajeni da su kiberneti\u010dki kriminalci razvili svojevrsni imunitet: brzo prepoznaju da je pred njima zamka i jednostavno je ignoriraju. Kako bismo istra\u017eili taktiku modernih hakera, stvorili smo realisti\u010dno honeypot rje\u0161enje koje je devet mjeseci bilo online, privla\u010de\u0107i razne napade. O tome kako je to bilo, pi\u0161emo u na\u0161em istra\u017eivanju 'Uhva\u0107eni na djelu: Vo\u0111enje realisti\u010dno strukturiranog honypota za hvatanje stvarnih prijetnji<\/a><\/noindex>'. Neki podaci iz istra\u017eivanja nalaze se u ovom postu. <\/i>
\n<\/a><\/noindex><\/p>\n

Razvoj honeypota: kontrolna lista<\/h3>\n

\nGlavni cilj pri stvaranju na\u0161e superzamke bio je sprije\u010diti otkrivanje od strane hakera koji su pokazali interes. Za to je bilo potrebno napraviti opse\u017ean rad: <\/p>\n

    \n
  1. Stvoriti realisti\u010dnu legendu o tvrtki, uklju\u010duju\u0107i imena i fotografije zaposlenika, brojeve telefona i e-mail adrese.<\/li>\n
  2. Osmi\u0161ljavanje i implementacija industrijske infrastrukture uskla\u0111ene s legendom o djelatnosti na\u0161e tvrtke. <\/li>\n
  3. Odrediti koje mre\u017ene usluge \u0107e biti dostupne vani, a pritom ne pretjerivati s otvaranjem ranjivih portova kako to ne bi izgledalo kao zamka za naivne. <\/li>\n
  4. Organizirati vidljivost curenja informacija o ranjivom sustavu i pro\u0161iriti te informacije me\u0111u potencijalnim napada\u010dima.<\/li>\n
  5. Implementirati neprimjetno pra\u0107enje radnji hakera unutar infrastrukture zamke. <\/li>\n<\/ol>\n

    \nA sada o svemu redom.<\/p>\n

    Stvaramo legendu<\/b><\/h3>\n

    \nKiberneti\u010dki kriminalci ve\u0107 su se navikli na mno\u0161tvo honeypotova, pa najnapredniji me\u0111u njima provode dubinska istra\u017eivanja svake ranjive infrastrukture kako bi se uvjerili da to nije zamka. Iz istog razloga te\u017eili smo posti\u0107i ne samo realisti\u010dnost honeypota iz perspektive dizajna i tehni\u010dkih aspekata, nego i stvoriti dojam stvarne kompanije.<\/p>\n

    Stavljaju\u0107i se u poziciju hipotetskog kulhakera, razvili smo algoritam za provjeru koji bi mogao razlikovati stvarni sustav od zamke. Uklju\u010divao je pretra\u017eivanje IP adresa tvrtke u reputacijskim sustavima, reverzno istra\u017eivanje povijesti IP adresa, pretra\u017eivanje imena i klju\u010dnoh rije\u010di povezanih s tvrtkom, kao i njezinim protivnicima i mnogim drugim stvarima. Na kraju je legenda ispala prili\u010dno uvjerljiva i privla\u010dna.<\/p>\n

    Odlu\u010dili smo pozicionirati tvornicu-zamku kao mali butik industrijskog prototipiranja, koji radi za vrlo velike anonimne klijente iz vojnog i zrakoplovnog sektora. To nas je oslobodilo pravnih komplikacija vezanih uz kori\u0161tenje postoje\u0107eg brenda.<\/p>\n

    Sljede\u0107e \u0161to smo trebali u\u010diniti bilo je smisliti viziju, misiju i naziv organizacije. Odlu\u010dili smo da \u0107e na\u0161a tvrtka biti startup s malim brojem zaposlenika, od kojih je svaki osniva\u010d. To je dodalo uvjerljivosti legendi o specijalizaciji na\u0161eg poslovanja, \u0161to mu omogu\u0107uje rad s delikatnim projektima za velike i va\u017ene naru\u010ditelje. \u017deljeli smo da na\u0161a tvrtka izgleda slabo s aspekta cyber sigurnosti, ali da bude o\u010dito da radimo s va\u017enim aktivama u ciljnim sustavima.<\/p>\n

    \"Neizrecivo
    \nSnimka zaslona stranice honipota MeTech. Izvor: Trend Micro<\/i><\/p>\n

    Kao naziv tvrtke odabrali smo rije\u010d MeTech. Stranicu smo izradili koriste\u0107i besplatan predlo\u017eak. Slike smo preuzeli iz fotobanki, koriste\u0107i najmanje popularne i doradili ih kako bismo ih u\u010dinili manje prepoznatljivima. <\/p>\n

    \u017deljeli smo da tvrtka izgleda stvarno, pa smo trebali dodati zaposlenike s profesionalnim vje\u0161tinama koje odgovaraju profilu aktivnosti. Smislili smo imena i identitete, a zatim poku\u0161ali odabrati slike iz fotobanki prema etni\u010dkoj pripadnosti. <\/p>\n

    \"Neizrecivo
    \nSnimka zaslona stranice honipota MeTech. Izvor: Trend Micro<\/i><\/i><\/p>\n

    Kako nas ne bi otkrili, tra\u017eili smo grupne fotografije dobre kvalitete, iz kojih bismo mogli odabrati potrebna lica. Me\u0111utim, odustali smo od te opcije, jer bi potencijalni hakera mogao iskoristiti reverzni pretra\u017eiva\u010d slika i otkriti da na\u0161i \u201ezaposlenici\u201c \u017eive samo u fotobankama. Na kraju smo koristili fotografije nepostoje\u0107ih ljudi, stvorene uz pomo\u0107 neuronskih mre\u017ea.<\/p>\n

    Objavljeni profili zaposlenika na web stranici sadr\u017eavali su va\u017ene informacije o njihovim tehni\u010dkim vje\u0161tinama, no izbjegavali smo navo\u0111enje konkretnih obrazovnih institucija i gradova.
    \nZa postavljanje e-mail adresa koristili smo server hosting pru\u017eatelja, a zatim iznajmili nekoliko telefonskih brojeva u SAD-u i spojili ih u virtualnu PBX s govornim izbornikom i automatskim odgovara\u010dem.<\/p>\n

    Infrastruktura honeypota<\/b><\/h3>\n

    \nKako bismo izbjegli otkrivanje, odlu\u010dili smo se koristiti kombinaciju pravog industrijskog hardvera, fizi\u010dkih ra\u010dunala i za\u0161ti\u0107enih virtualnih ma\u0161ina. Da unaprijed ka\u017eemo, rezultat na\u0161ih napora provjerili smo pomo\u0107u pretra\u017eiva\u010da Shodan, i on je pokazao da honeypot izgleda kao prava industrijska sustava.<\/p>\n

    \"Neizrecivo
    \nRezultat skeniranja honeypota putem Shodan-a. Izvor: Trend Micro<\/i><\/p>\n

    Kao 'hardver' za na\u0161u zamku koristili smo \u010detiri PLC-a:<\/p>\n