{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot \u00e9s Deception a Xello p\u00e9ld\u00e1j\u00e1n","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

A Habr-on m\u00e1r van n\u00e9h\u00e1ny cikk a Honeypot \u00e9s Deception technol\u00f3gi\u00e1kr\u00f3l (1 cikk<\/a><\/noindex>, 2 cikk<\/a><\/noindex>). Azonban m\u00e9g mindig tal\u00e1lkozunk a k\u00e9t v\u00e9dekez\u00e9si forma k\u00f6z\u00f6tti k\u00fcl\u00f6nbs\u00e9gek nem teljes meg\u00e9rt\u00e9s\u00e9vel. Ehhez koll\u00e9g\u00e1ink a Xello Deception<\/a><\/noindex> (az els\u0151 orosz fejleszt\u0151je a Deception platformnak<\/a><\/noindex>) r\u00e9szletesen le\u00edrj\u00e1k az elt\u00e9r\u00e9seket, el\u0151ny\u00f6ket \u00e9s architektur\u00e1lis jellemz\u0151ket.<\/p>\n

N\u00e9zz\u00fck meg, mi is az a \"honeypot\" \u00e9s \"deception\".<\/h2>\n

\"Csal\u00e1si technol\u00f3gi\u00e1k\" (angolul: Deception technology) viszonylag nemr\u00e9g jelentek meg az inform\u00e1ci\u00f3biztons\u00e1gi rendszerek piac\u00e1n. Azonban egyes szak\u00e9rt\u0151k m\u00e9g mindig a Security Deception-t csak fejlettebb \"honeypot\"-nak (angolul: honeypot) tartj\u00e1k. <\/p>\n

Ebben a cikkben pr\u00f3b\u00e1ljuk megvil\u00e1g\u00edtani a hasonl\u00f3s\u00e1gokat \u00e9s a l\u00e9nyeges k\u00fcl\u00f6nbs\u00e9geket e k\u00e9t megold\u00e1s k\u00f6z\u00f6tt. Az els\u0151 r\u00e9szben a \"honey pot\"-r\u00f3l besz\u00e9l\u00fcnk, hogy fejl\u0151d\u00f6tt ez a technol\u00f3gia, \u00e9s mik az el\u0151nyei \u00e9s h\u00e1tr\u00e1nyai. A m\u00e1sodik r\u00e9szben pedig r\u00e9szletesen megvizsg\u00e1ljuk a hamis c\u00e9lok l\u00e9trehoz\u00e1s\u00e1nak elveit (angolul, Distributed Deception Platform \u2014 DDP). <\/p>\n

A honeypotok alapelv\u00e9t a hackerek csapd\u00e1ba csal\u00e1sa k\u00e9pezi. Ugyanezen elv alapj\u00e1n fejlesztett\u00e9k ki az els\u0151 Deception megold\u00e1sokat is. Azonban a modern DDP-k jelent\u0151sen fel\u00fclm\u00falj\u00e1k a honeypotokat mind funkcionalit\u00e1sban, mind hat\u00e9konys\u00e1gban. A Deception platformok magukban foglalj\u00e1k: csapd\u00e1k (angolul, decoys, traps), csal\u00e9kony elemek (angolul, lures), alkalmaz\u00e1sok, adatok, adatb\u00e1zisok, Active Directory. A modern DDP-k sz\u00e9les lehet\u0151s\u00e9geket k\u00edn\u00e1lnak a fenyeget\u00e9sek \u00e9szlel\u00e9s\u00e9re, a t\u00e1mad\u00e1sok elemz\u00e9s\u00e9re \u00e9s a v\u00e1laszl\u00e9p\u00e9sek automatiz\u00e1l\u00e1s\u00e1ra. <\/p>\n

\u00cdgy a Deception m\u00f3dszerek az IT-infrastrukt\u00fara imit\u00e1ci\u00f3j\u00e1t \u00e9s a hackerek megt\u00e9veszt\u00e9s\u00e9t jelentik. Ennek eredm\u00e9nyek\u00e9nt ezek a platformok lehet\u0151v\u00e9 teszik a t\u00e1mad\u00e1sok meg\u00e1ll\u00edt\u00e1s\u00e1t, miel\u0151tt a v\u00e1llalat eszk\u00f6zeiben jelent\u0151s k\u00e1rt okozn\u00e1nak. A honeypotok, term\u00e9szetesen, nem rendelkeznek ilyen sz\u00e9les funkcionalit\u00e1ssal \u00e9s automatiz\u00e1lts\u00e1ggal, ez\u00e9rt alkalmaz\u00e1suk nagyobb szaktud\u00e1st ig\u00e9nyel az IT-biztons\u00e1gi oszt\u00e1ly alkalmazottait\u00f3l.<\/p>\n

1. Honeypotok, Honeynetek \u00e9s Sandbox: mik ezek \u00e9s hogyan alkalmazz\u00e1k \u0151ket<\/h2>\n

A \"honeypot\" kifejez\u00e9st el\u0151sz\u00f6r 1989-ben haszn\u00e1lt\u00e1k, Clifford Stoll \"The Cuckoo\u2019s Egg\" c\u00edm\u0171 k\u00f6nyv\u00e9ben, amelyben a Berkeley-i Nemzeti Laborat\u00f3rium hacker\u00e9nek nyomoz\u00e1sa k\u00f6r\u00fcli esem\u00e9nyeket \u00edrja le. A gyakorlatban ezt az \u00f6tletet 1999-ben val\u00f3s\u00edtotta meg Lance Spitzner, a Sun Microsystems inform\u00e1ci\u00f3biztons\u00e1gi szak\u00e9rt\u0151je, aki megalap\u00edtotta a \"Honeynet Project\" kutat\u00e1si projektet. Az els\u0151 honeypot-ok nagyon er\u0151forr\u00e1spazarl\u00f3k voltak, nehezen be\u00e1ll\u00edthat\u00f3k \u00e9s karbantarthat\u00f3k. <\/p>\n

N\u00e9zz\u00fck meg r\u00e9szletesebben, hogy mi is az honeypots <\/strong>\u00e9s honeynets<\/strong>. A honeypotok k\u00fcl\u00f6n\u00e1ll\u00f3 hosztok, amelyek c\u00e9lja, hogy vonzz\u00e1k a t\u00e1mad\u00f3kat, hogy behatoljanak a v\u00e1llalat h\u00e1l\u00f3zat\u00e1ba \u00e9s megpr\u00f3b\u00e1lj\u00e1k ellopni az \u00e9rt\u00e9kes adatokat, valamint kiterjessz\u00e9k a h\u00e1l\u00f3zat hat\u00e1rait. A honeypot (sz\u00f3 szerint \"m\u00e9zesb\u00f6d\u00f6nk\u00e9nt\" ford\u00edtva) egy speci\u00e1lis szerver, amely k\u00fcl\u00f6nb\u00f6z\u0151 h\u00e1l\u00f3zati szolg\u00e1ltat\u00e1sok \u00e9s protokollok, mint p\u00e9ld\u00e1ul HTTP, FTP stb. k\u00e9szlet\u00e9t tartalmazza (l\u00e1sd az 1. \u00e1br\u00e1t).<\/p>\n

\"Honeypot<\/p>\n

Ha t\u00f6bb honeypots <\/strong>honeypotot \u00f6sszekapcsolunk egy h\u00e1l\u00f3zatba, akkor egy m\u00e1r hat\u00e9konyabb rendszert kapunk honeynet<\/strong>, amely a v\u00e1llalat v\u00e1llalati h\u00e1l\u00f3zat\u00e1nak emul\u00e1ci\u00f3j\u00e1t jelenti (webszerver, f\u00e1jlszerver \u00e9s a h\u00e1l\u00f3zat egy\u00e9b \u00f6sszetev\u0151i). Ez a megold\u00e1s lehet\u0151v\u00e9 teszi a t\u00e1mad\u00f3k m\u0171k\u00f6d\u00e9s\u00e9nek meg\u00e9rt\u00e9s\u00e9t \u00e9s megt\u00e9veszt\u00e9s\u00fcket. A tipikus honeynet jellemz\u0151en p\u00e1rhuzamosan m\u0171k\u00f6dik a munkah\u00e1l\u00f3zattal \u00e9s teljesen f\u00fcggetlen t\u0151le. Ez a \"h\u00e1l\u00f3zat\" k\u00fcl\u00f6n csatorn\u00e1n kereszt\u00fcl k\u00f6zz\u00e9tehet\u0151 az interneten, sz\u00e1m\u00e1ra k\u00fcl\u00f6n IP-c\u00edm tartom\u00e1ny is kijel\u00f6lhet\u0151 (l\u00e1sd a 2. \u00e1br\u00e1t).<\/p>\n

\"Honeypot<\/p>\n

A honeynet alkalmaz\u00e1s\u00e1nak l\u00e9nyege, hogy a hackernek azt mutassa, mintha behatolt volna a v\u00e1llalat h\u00e1l\u00f3zat\u00e1ba, mik\u00f6zben val\u00f3j\u00e1ban a t\u00e1mad\u00f3 egy \"izol\u00e1lt k\u00f6rnyezetben\" van, amelyet a kiberbiztons\u00e1gi szak\u00e9rt\u0151k szoros figyelemmel k\u00f6vetnek (l\u00e1sd a 3. \u00e1br\u00e1t).<\/p>\n

\"Honeypot<\/p>\n

Itt meg kell eml\u00edteni egy olyan eszk\u00f6zt is, mint a \"sandbox<\/strong>\" (angolul, sandbox<\/strong>), amely lehet\u0151v\u00e9 teszi a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra, hogy v\u00edrusos programokat telep\u00edtsenek \u00e9s futtassanak egy izol\u00e1lt k\u00f6rnyezetben, ahol az IT-szak\u00e9rt\u0151k nyomon tudj\u00e1k k\u00f6vetni a tev\u00e9kenys\u00e9g\u00fcket a potenci\u00e1lis kock\u00e1zatok azonos\u00edt\u00e1sa \u00e9s sz\u00fcks\u00e9ges ellenint\u00e9zked\u00e9sek megt\u00e9tele \u00e9rdek\u00e9ben. Jelenleg a sandboxing \u00e1ltal\u00e1ban dedik\u00e1lt virtu\u00e1lis g\u00e9peken val\u00f3sul meg virtu\u00e1lis h\u0151szt\u00f6k\u00f6n. Fontos megjegyezni, hogy a sandboxing csak azt mutatja meg, hogyan viselkednek a vesz\u00e9lyes \u00e9s rosszindulat\u00fa programok, m\u00edg a honeynet seg\u00edt a szakember sz\u00e1m\u00e1ra elemezni a \"vesz\u00e9lyes j\u00e1t\u00e9kosok\" viselked\u00e9s\u00e9t. <\/p>\n

A nyilv\u00e1nval\u00f3 el\u0151nye a honeyneteknek, hogy t\u00e9vesen vezetik a t\u00e1mad\u00f3kat, elpazarolva erej\u00fcket, er\u0151forr\u00e1saikat \u00e9s idej\u00fcket. Ennek eredm\u00e9nyek\u00e9nt a val\u00f3s c\u00e9lpontok helyett hamisakat t\u00e1madnak, \u00e9s k\u00e9pesek le\u00e1ll\u00edtani a h\u00e1l\u00f3zatra ir\u00e1nyul\u00f3 t\u00e1mad\u00e1st, an\u00e9lk\u00fcl hogy b\u00e1rmit el\u00e9rn\u00e9nek. Leggyakrabban a honeynet technol\u00f3gi\u00e1kat korm\u00e1nyzati int\u00e9zm\u00e9nyekben \u00e9s nagyv\u00e1llalatokn\u00e1l, illetve p\u00e9nz\u00fcgyi szervezetekn\u00e9l alkalmazz\u00e1k, mivel ezek a strukt\u00far\u00e1k a legnagyobb kiber t\u00e1mad\u00e1sok c\u00e9lpontjaiv\u00e1 v\u00e1lnak. Azonban a kis- \u00e9s k\u00f6z\u00e9pv\u00e1llalkoz\u00e1soknak (KKV-k) is sz\u00fcks\u00e9g\u00fck van hat\u00e9kony eszk\u00f6z\u00f6kre a kiberbiztons\u00e1gi esem\u00e9nyek megel\u0151z\u00e9s\u00e9re, de a honeynetek haszn\u00e1lata a KKV-szektorban nem is olyan egyszer\u0171, mivel hi\u00e1nyzik a magasan k\u00e9pzett munkaer\u0151 az ilyen bonyolult feladatokhoz.<\/p>\n

A honeypotok \u00e9s honeynetek korl\u00e1tai<\/u><\/strong><\/p>\n

Mi\u00e9rt nem a honeypotok \u00e9s honeynetek a legjobbak a t\u00e1mad\u00e1sok elleni v\u00e9dekez\u00e9s szempontj\u00e1b\u00f3l napjainkban? Meg kell jegyezni, hogy a t\u00e1mad\u00e1sok egyre ink\u00e1bb m\u00e9ret\u00fcket \u00e9s technikai bonyolults\u00e1gukat tekintve n\u00f6vekednek, \u00e9s k\u00e9pesek komoly k\u00e1rt okozni a szervezetek IT-infrastrukt\u00far\u00e1j\u00e1ban, m\u00edg a kiberb\u0171n\u00f6z\u00e9s egy teljesen \u00faj szintre l\u00e9pett, \u00e9s magasan szervezett \u00e1rny\u00e9kgazdas\u00e1gi strukt\u00far\u00e1kat k\u00e9pvisel, amelyek minden sz\u00fcks\u00e9ges er\u0151forr\u00e1ssal rendelkeznek. Ehhez hozz\u00e1 kell adni az \u201eemberi t\u00e9nyez\u0151t\u201d (szoftver- \u00e9s hardverbe\u00e1ll\u00edt\u00e1si hib\u00e1k, bels\u0151 t\u00e1mad\u00f3k tev\u00e9kenys\u00e9gei stb.), ez\u00e9rt a t\u00e1mad\u00e1sok megel\u0151z\u00e9s\u00e9re csak technol\u00f3gi\u00e1k alkalmaz\u00e1sa jelenleg m\u00e1r nem elegend\u0151. <\/p>\n

Az al\u00e1bbiakban felsoroljuk a honeypotok (honeynetek) legfontosabb korl\u00e1tait \u00e9s h\u00e1tr\u00e1nyait:<\/p>\n

    \n
  1. \n

    A \"honeypotok\" eredetileg olyan fenyeget\u00e9sek meghat\u00e1roz\u00e1s\u00e1ra k\u00e9sz\u00fcltek, amelyek a v\u00e1llalati h\u00e1l\u00f3zaton k\u00edv\u00fcl helyezkednek el, ink\u00e1bb a t\u00e1mad\u00f3k viselked\u00e9s\u00e9nek elemz\u00e9s\u00e9re szolg\u00e1lnak, \u00e9s nem arra lettek tervezve, hogy gyorsan reag\u00e1ljanak a fenyeget\u00e9sekre. <\/p>\n<\/li>\n

  2. \n

    A t\u00e1mad\u00f3k \u00e1ltal\u00e1ban m\u00e1r megtanult\u00e1k felismerni az emul\u00e1lt rendszereket, \u00e9s elker\u00fclik a honeypotokat. <\/p>\n<\/li>\n

  3. \n

    A honeynetek (honeypotok) rendk\u00edv\u00fcl alacsony szint\u0171 interaktivit\u00e1ssal rendelkeznek, \u00e9s nehezen tudnak egy\u00fcttm\u0171k\u00f6dni m\u00e1s biztons\u00e1gi rendszerekkel, \u00edgy a honeypotok haszn\u00e1lata sor\u00e1n neh\u00e9z r\u00e9szletes inform\u00e1ci\u00f3t nyerni a t\u00e1mad\u00e1sokr\u00f3l \u00e9s a t\u00e1mad\u00f3kr\u00f3l, ami megnehez\u00edti a kiberbiztons\u00e1gi esem\u00e9nyek hat\u00e9kony \u00e9s gyors kezel\u00e9s\u00e9t. Tov\u00e1bb\u00e1 a kiberbiztons\u00e1gi szakemberek sok hamis riaszt\u00e1st kapnak fenyeget\u00e9sekr\u0151l. <\/p>\n<\/li>\n

  4. \n

    N\u00e9h\u00e1ny esetben a hackerek kompromitt\u00e1lt honeypotot haszn\u00e1lhatnak a szervezet h\u00e1l\u00f3zat\u00e1nak tov\u00e1bbi t\u00e1mad\u00e1s\u00e1hoz. <\/p>\n<\/li>\n

  5. \n

    Gyakran felmer\u00fclnek a honeypotok m\u00e9retezhet\u0151s\u00e9g\u00e9vel, a magas operat\u00edv terhel\u00e9ssel \u00e9s az ilyen rendszerek be\u00e1ll\u00edt\u00e1s\u00e1val kapcsolatos probl\u00e9m\u00e1k (magasan k\u00e9pzett szakembereket ig\u00e9nyelnek, nem rendelkeznek k\u00f6nnyen kezelhet\u0151 vez\u00e9rl\u0151fel\u00fclettel, stb.). Jelent\u0151s neh\u00e9zs\u00e9gek ad\u00f3dnak a honeypotok telep\u00edt\u00e9s\u00e9ben olyan speci\u00e1lis k\u00f6rnyezetekben, mint az IoT, POS, felh\u0151alap\u00fa rendszerek, stb.<\/p>\n<\/li>\n<\/ol>\n

    2. Csal\u00e1si technol\u00f3gia: el\u0151ny\u00f6k \u00e9s f\u0151 m\u0171k\u00f6d\u00e9si elvek<\/h2>\n

    Minden el\u0151ny \u00e9s h\u00e1tr\u00e1ny megvizsg\u00e1l\u00e1sa ut\u00e1n arra a k\u00f6vetkeztet\u00e9sre jutunk, hogy teljesen \u00faj megk\u00f6zel\u00edt\u00e9s sz\u00fcks\u00e9ges az IT biztons\u00e1gi incidensek kezel\u00e9s\u00e9re, a t\u00e1mad\u00f3k cselekedeteire gyors \u00e9s megfelel\u0151 v\u00e1lasz kidolgoz\u00e1sa \u00e9rdek\u00e9ben. \u00c9s az ilyen megold\u00e1s a technol\u00f3gi\u00e1k. Cyberekcsal\u00e1s (Security deception)<\/strong>. <\/p>\n

    A \"Cyber deception\", \"Security deception\", \"Deception technology\", \"Distributed Deception Platform\" (DDP) kifejez\u00e9s viszonylag \u00faj, \u00e9s nemr\u00e9giben jelent meg. Ezek a kifejez\u00e9sek val\u00f3j\u00e1ban a \"csal\u00e1si technol\u00f3gi\u00e1k\" vagy az \"IT-infrastrukt\u00fara imit\u00e1ci\u00f3s technik\u00e1ival \u00e9s a kiberb\u0171n\u00f6z\u0151k f\u00e9lrevezet\u00e9s\u00e9vel\" kapcsolatosak. A Deception legegyszer\u0171bb megold\u00e1sai a honeypot-ok \u00f6tleteinek tov\u00e1bbfejleszt\u00e9s\u00e9vel sz\u00fcletnek, csak technol\u00f3giailag fejlettebb szinten, amely nagyobb automatiz\u00e1l\u00e1st felt\u00e9telez a fenyeget\u00e9sek \u00e9szlel\u00e9s\u00e9ben \u00e9s kezel\u00e9s\u00e9ben. Azonban m\u00e1r l\u00e9teznek komoly DDP oszt\u00e1lyba tartoz\u00f3 megold\u00e1sok is, amelyek k\u00f6nny\u0171 telep\u00edt\u00e9st \u00e9s sk\u00e1l\u00e1z\u00e1st k\u00edn\u00e1lnak, \u00e9s komoly \"csapd\u00e1k\" \u00e9s \"csalik\" arzen\u00e1lj\u00e1val rendelkeznek a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra. P\u00e9ld\u00e1ul, a Deception lehet\u0151v\u00e9 teszi az IT-infrastrukt\u00fara olyan objektumainak modellez\u00e9s\u00e9t, mint az adatb\u00e1zisok, munka\u00e1llom\u00e1sok, routerek, switchek, ATM-ek, szerverek \u00e9s SCADA, orvosi berendez\u00e9sek \u00e9s IoT. <\/p>\n

    Hogyan m\u0171k\u00f6dik a \"Distributed Deception Platform\"? A DDP telep\u00edt\u00e9se ut\u00e1n a szervezet IT-infrastrukt\u00far\u00e1ja \u00fagy fog kin\u00e9zni, mintha k\u00e9t r\u00e9tegb\u0151l \u00e1llna: az els\u0151 r\u00e9teg a c\u00e9g val\u00f3s infrastrukt\u00far\u00e1ja, a m\u00e1sodik pedig egy \"let\u00f6lt\u00f6tt\" k\u00f6rnyezet, amely csapd\u00e1kb\u00f3l (angolul: decoys, traps) \u00e9s csalikb\u00f3l (angolul: lures) \u00e1ll, amelyek val\u00f3s fizikai eszk\u00f6z\u00f6k\u00f6n helyezkednek el a h\u00e1l\u00f3zaton (l\u00e1sd: 4. \u00e1bra).<\/p>\n

    \"Honeypot<\/p>\n

    P\u00e9ld\u00e1ul a t\u00e1mad\u00f3 hamis adatb\u00e1zisokat tal\u00e1lhat, amelyek \u201ebizalmas dokumentumokat\u201d tartalmaznak, hamis bejelentkez\u00e9si adatokat alegys\u00e9ges \u201eprivileg\u00e1lt felhaszn\u00e1l\u00f3kt\u00f3l\u201d - ezek mind hamis c\u00e9lpontok, amelyek felkelthetik a jogs\u00e9rt\u0151k \u00e9rdekl\u0151d\u00e9s\u00e9t, \u00edgy elt\u00e9r\u00edtve figyelm\u00fcket a c\u00e9g val\u00f3di inform\u00e1ci\u00f3s vagyon\u00e1r\u00f3l (l\u00e1sd 5. \u00e1bra).<\/p>\n

    \"Honeypot<\/p>\n

    A DDP \u00fajdons\u00e1gnak sz\u00e1m\u00edt az inform\u00e1ci\u00f3biztons\u00e1gi term\u00e9kek piac\u00e1n, ezek a megold\u00e1sok mind\u00f6ssze n\u00e9h\u00e1ny \u00e9vesek, \u00e9s egyel\u0151re csak a v\u00e1llalati szektor engedheti meg mag\u00e1nak \u0151ket. De a kis- \u00e9s k\u00f6z\u00e9pv\u00e1llalkoz\u00e1sok is hamarosan \u00e9lvezhetik a Deception el\u0151nyeit, ha DDP-t b\u00e9relnek szakosodott szolg\u00e1ltat\u00f3kt\u00f3l, \u00bbmint szolg\u00e1ltat\u00e1st\u00ab. Ez a megold\u00e1s m\u00e9g k\u00e9nyelmesebb, mivel nem sz\u00fcks\u00e9ges saj\u00e1t magasan k\u00e9pzett szakembereket alkalmazni.<\/p>\n

    Az al\u00e1bbiakban bemutatjuk a Deception technol\u00f3gia f\u0151 el\u0151nyeit:<\/p>\n