{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Felfoghatatlanul vonz\u00f3: hogyan k\u00e9sz\u00edtett\u00fcnk egy olyan kanip\u00f3t, aminek nem lehet a nyom\u00e1ra bukkanni","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Felfoghatatlanul
\nAntiv\u00edrus c\u00e9gek, kiberbiztons\u00e1gi szak\u00e9rt\u0151k \u00e9s egyszer\u0171 lelkesed\u0151k az interneten csalifotelepeket, vagyis honeypotokat \u00e1ll\u00edtanak fel, hogy \u201e\u00e9l\u0151 csalival\u201d elkapj\u00e1k az \u00faj v\u00edrusfajt\u00e1kat vagy felfedj\u00e9k a szokatlan hackertaktik\u00e1kat. A honeypotok annyira elterjedtek, hogy a kiberb\u0171n\u00f6z\u0151k m\u00e1r szinte immuniss\u00e1 v\u00e1ltak r\u00e1juk: gyorsan \u00e9szlelik, hogy csapd\u00e1r\u00f3l van sz\u00f3, \u00e9s egyszer\u0171en figyelmen k\u00edv\u00fcl hagyj\u00e1k azokat. A modern hackerek taktik\u00e1j\u00e1nak tanulm\u00e1nyoz\u00e1sa \u00e9rdek\u00e9ben l\u00e9trehoztunk egy re\u00e1lis honeypotot, amely h\u00e9t h\u00f3napon kereszt\u00fcl az interneten \u00e9lt, k\u00fcl\u00f6nf\u00e9le t\u00e1mad\u00e1sokat vonzva. A tapasztalatainkr\u00f3l tanulm\u00e1nyunkban sz\u00e1moltunk be:A Tett Elkapva: Egy Re\u00e1lis Gy\u00e1ri Honeypot Futtat\u00e1sa Val\u00f3di Fenyeget\u00e9sek Megfog\u00e1s\u00e1ra<\/a><\/noindex>N\u00e9h\u00e1ny t\u00e9nyt a kutat\u00e1sb\u00f3l \u2013 ebben a posztban. <\/i>
\n<\/a><\/noindex><\/p>\n

Honeypot Fejleszt\u00e9s: Ellen\u0151rz\u0151 Lista<\/h3>\n

\nA f\u0151 feladatunk az volt, hogy a hackerek, akik \u00e9rdekl\u0151dtek ir\u00e1ntunk, ne leplezzenek le minket. Ehhez rengeteg munk\u00e1t kellett v\u00e9gezn\u00fcnk: <\/p>\n

    \n
  1. K\u00e9sz\u00edteni egy re\u00e1lis c\u00e9gt\u00f6rt\u00e9netet, amely tartalmazta a munkav\u00e1llal\u00f3k nev\u00e9t \u00e9s fot\u00f3j\u00e1t, telefonsz\u00e1mokat \u00e9s e-maileket.<\/li>\n
  2. Kital\u00e1lni \u00e9s megval\u00f3s\u00edtani egy ipari infrastrukt\u00fara modellt, amely megfelel a c\u00e9g\u00fcnk m\u0171k\u00f6d\u00e9s\u00e9r\u0151l alkotott t\u00f6rt\u00e9netnek. <\/li>\n
  3. Eld\u00f6nteni, mely h\u00e1l\u00f3zati szolg\u00e1ltat\u00e1sok lesznek el\u00e9rhet\u0151k k\u00edv\u00fclr\u0151l, de ne mer\u00fclj\u00fcnk el az sebezhet\u0151 portok megnyit\u00e1s\u00e1ban, hogy ne t\u0171nj\u00f6n csalinak az eg\u00e9sz. <\/li>\n
  4. L\u00e9trehozni az inform\u00e1ci\u00f3sziv\u00e1rg\u00e1s l\u00e1tszat\u00e1t a sebezhet\u0151 rendszerrel kapcsolatban, \u00e9s ezeket az adatokat eljuttatni a potenci\u00e1lis t\u00e1mad\u00f3khoz.<\/li>\n
  5. Felk\u00e9sz\u00fclni a hackerek cselekedeteinek diszkr\u00e9t megfigyel\u00e9s\u00e9re a csapda infrastrukt\u00far\u00e1j\u00e1ban. <\/li>\n<\/ol>\n

    \nMost pedig n\u00e9zz\u00fcnk mindent sorban.<\/p>\n

    L\u00e9trehozzuk a t\u00f6rt\u00e9netet<\/b><\/h3>\n

    \nA kiberb\u0171n\u00f6z\u0151k m\u00e1r hozz\u00e1szoktak ahhoz, hogy sz\u00e1mos honeypottal tal\u00e1lkoznak, ez\u00e9rt a legprofibb r\u00e9sz\u00fck alapos kutat\u00e1st v\u00e9gez minden sebezhet\u0151 rendszeren, hogy megbizonyosodjanak arr\u00f3l, hogy ez nem csapda. Pont ez\u00e9rt c\u00e9lunk volt, hogy ne csak a honeypot re\u00e1lis legyen a diz\u00e1jn \u00e9s a technikai szempontok szerint, hanem val\u00f3s c\u00e9get is teremts\u00fcnk.<\/p>\n

    Felt\u00e9telezve, hogy egy hipotetikus kult\u00far\u00e1z\u00f3 hely\u00e9ben vagyunk, kidolgoztunk egy ellen\u0151rz\u0151 algoritmust, amely megk\u00fcl\u00f6nb\u00f6ztetn\u00e9 a val\u00f3s rendszert a csapd\u00e1t\u00f3l. Ez mag\u00e1ban foglalta a c\u00e9g IP-c\u00edmeinek keres\u00e9s\u00e9t a h\u00edrn\u00e9vrendszerekben, az IP-c\u00edmek t\u00f6rt\u00e9net\u00e9nek visszaford\u00edtott kutat\u00e1s\u00e1t, a c\u00e9ghez, valamint annak partnereihez \u00e9s m\u00e9g sok m\u00e1s dologhoz kapcsol\u00f3d\u00f3 nevek \u00e9s kulcsszavak keres\u00e9s\u00e9t. V\u00e9g\u00fcl a legenda meglehet\u0151sen meggy\u0151z\u0151 \u00e9s vonz\u00f3 lett.<\/p>\n

    \u00dagy d\u00f6nt\u00f6tt\u00fcnk, hogy a csapdafabrik\u00e1t egy kis ipari protot\u00edpus-butik\u00e9nt pozicion\u00e1ljuk, amely nagyon nagy n\u00e9vtelen \u00fcgyfelek sz\u00e1m\u00e1ra dolgozik a katonai \u00e9s l\u00e9gik\u00f6zleked\u00e9si szegmensb\u0151l. Ez mentes\u00edtett minket a megl\u00e9v\u0151 m\u00e1rk\u00e1k haszn\u00e1lat\u00e1val j\u00e1r\u00f3 jogi bonyodalmak al\u00f3l.<\/p>\n

    Ezut\u00e1n ki kellett tal\u00e1lnunk a szervezet v\u00edzi\u00f3j\u00e1t, k\u00fcldet\u00e9s\u00e9t \u00e9s nev\u00e9t. \u00dagy d\u00f6nt\u00f6tt\u00fcnk, hogy c\u00e9g\u00fcnkb\u0151l egy startupot alak\u00edtunk, kevesebb alkalmazottal, akik mind alap\u00edt\u00f3k. Ez hitelesebb\u00e9 tette a v\u00e1llalkoz\u00e1sunkr\u00f3l alkotott legend\u00e1t, amely lehet\u0151v\u00e9 teszi, hogy \u00e9rz\u00e9keny projekteken dolgozzunk nagy \u00e9s fontos \u00fcgyfelek sz\u00e1m\u00e1ra. Azt akartuk, hogy c\u00e9g\u00fcnk a kiberv\u00e9delmi szempontb\u00f3l gyeng\u00e9nek t\u0171nj\u00f6n, de egyben egy\u00e9rtelm\u0171 legyen, hogy fontos eszk\u00f6z\u00f6kkel foglalkozunk a c\u00e9lzott rendszerekben.<\/p>\n

    \"Felfoghatatlanul
    \nA MeTech honeypot weboldal\u00e1nak k\u00e9perny\u0151felv\u00e9tele. Forr\u00e1s: Trend Micro<\/i><\/p>\n

    C\u00e9g\u00fcnk nev\u00e9nek a MeTech sz\u00f3t v\u00e1lasztottuk. A weboldalt egy ingyenes sablon alapj\u00e1n k\u00e9sz\u00edtett\u00fck. A k\u00e9peket fotobankokb\u00f3l vett\u00fck, a lehet\u0151 legkev\u00e9sb\u00e9 n\u00e9pszer\u0171akat, majd \u00e1tdolgoztuk, hogy ne legyenek olyan k\u00f6nnyen felismerhet\u0151ek. <\/p>\n

    Azt akartuk, hogy a c\u00e9g val\u00f3dinak t\u0171nj\u00f6n, ez\u00e9rt sz\u00fcks\u00e9g volt olyan alkalmazottakra, akiknek a szakmai k\u00e9szs\u00e9gei a tev\u00e9kenys\u00e9gi k\u00f6rh\u00f6z illeszkedtek. Neveket \u00e9s szem\u00e9lyis\u00e9geket tal\u00e1ltunk ki sz\u00e1mukra, majd megpr\u00f3b\u00e1ltunk k\u00e9peket v\u00e1lasztani a fotobankokb\u00f3l etnikai hovatartoz\u00e1s szerint. <\/p>\n

    \"Felfoghatatlanul
    \nA MeTech honeypot weboldal\u00e1nak k\u00e9perny\u0151felv\u00e9tele. Forr\u00e1s: Trend Micro<\/i><\/i><\/p>\n

    Annak \u00e9rdek\u00e9ben, hogy ne leplezzenek le minket, j\u00f3 min\u0151s\u00e9g\u0171 csoportk\u00e9peket kerest\u00fcnk, amelyekb\u0151l ki tudtuk v\u00e1lasztani a megfelel\u0151 arcokat. Azonban v\u00e9g\u00fcl elvetett\u00fck ezt a lehet\u0151s\u00e9get, mivel a potenci\u00e1lis hackerek visszafel\u00e9 kereshettek k\u00e9pet, \u00e9s felfedezhett\u00e9k, hogy a \"munkat\u00e1rsaink\" csak fotobankokban l\u00e9teznek. V\u00e9g\u00fcl val\u00f3s\u00e1gtalan szem\u00e9lyek fot\u00f3it haszn\u00e1ltuk, amelyeket mesters\u00e9ges intelligencia seg\u00edts\u00e9g\u00e9vel k\u00e9sz\u00edtettek.<\/p>\n

    A web publication of employee profiles contained important information about their technical skills, but we avoided mentioning specific educational institutions and cities.
    \nTo create email accounts, we used the hosting provider's server and then rented several phone numbers in the USA, integrating them into a virtual PBX with a voice menu and an answering machine.<\/p>\n

    The honeypot infrastructure<\/b><\/h3>\n

    \nTo avoid exposure, we decided to use a combination of real industrial hardware, physical computers, and secure virtual machines. As a preview, we can say that we verified the results of our efforts using the Shodan search engine, which showed that the honeypot looks like a real industrial system.<\/p>\n

    \"Felfoghatatlanul
    \nThe Shodan scan results for the honeypot. Source: Trend Micro<\/i><\/p>\n

    For our trap's 'hardware', we used four PLCs:<\/p>\n