Su Habr ci sono già diversi articoli sulle tecnologie Honeypot e Deception (, ). Tuttavia, continuiamo a riscontrare incomprensioni sulla differenza tra queste classi di strumenti di protezione. Per questo i nostri colleghi di (primo sviluppatore russo ) hanno deciso di descrivere dettagliatamente le differenze, i vantaggi e le caratteristiche architettoniche di queste soluzioni.
Chiariremo cosa siano i «honeypot» e i «deception»:
Le «tecnologie di inganno» (in inglese, Deception technology) sono entrate nel mercato dei sistemi di sicurezza informatica relativamente di recente. Tuttavia, alcuni esperti continuano a considerare la Security Deception come solo honeypot «più avanzati» (in inglese, honeypot).
In questo articolo cercheremo di descrivere sia le somiglianze che le differenze fondamentali tra queste due soluzioni. Nella prima parte, parleremo di «honeypot», di come si è sviluppata questa tecnologia e quali sono i suoi vantaggi e svantaggi. Nella seconda parte, ci soffermeremo dettagliatamente sui principi di funzionamento delle piattaforme per creare infrastrutture distribuite di obiettivi falsi (in inglese, Distributed Deception Platform — DDP).
Il principio fondamentale alla base dei honeypots è creare trappole per hacker. Sullo stesso principio sono state sviluppate anche le prime soluzioni di Deception. Tuttavia, i moderni DDP superano notevolmente i honeypots sia in termini di funzionalità che di efficacia. Le piattaforme di Deception includono: trappole (inglese: decoys, traps), esche (inglese: lures), applicazioni, dati, database, Active Directory. I moderni DDP possono offrire ampie opportunità per la rilevazione delle minacce, l'analisi degli attacchi e l'automazione delle risposte.
In questo modo, la Deception rappresenta tecniche di imitazione dell'infrastruttura IT dell'azienda e inganno degli hacker. Di conseguenza, queste piattaforme consentono di fermare gli attacchi prima che possano causare danni significativi agli asset dell'azienda. I honeypots, ovviamente, non possiedono una simile ampiezza di funzionalità e livello di automazione, quindi il loro utilizzo richiede maggiori competenze da parte del personale dei dipartimenti di sicurezza informatica.
1. Honeypots, Honeynets e Sandboxing: cosa sono e come vengono utilizzati
Il termine "honeypots" è stato utilizzato per la prima volta nel 1989 nel libro di Clifford Stoll "The Cuckoo’s Egg", che descrive eventi legati alla cattura di un hacker presso il Lawrence Berkeley National Laboratory (USA). Nella pratica, questa idea è stata realizzata nel 1999 da Lance Spitzner, esperto di sicurezza informatica di Sun Microsystems, che ha fondato il progetto di ricerca "Honeynet Project". I primi honeypot erano molto esosi in termini di risorse, complessi da configurare e manutenere.
Esaminiamo più nel dettaglio cosa sono honeypots e honeynets. Gli honeypot sono host separati il cui scopo è attirare gli aggressori a tentare di penetrare nella rete di un'azienda e cercare di rubare dati preziosi, oltre ad ampliare l'ambito della rete. Un honeypot (tradotto letteralmente come "barile di miele") è un server speciale con un insieme di diversi servizi e protocolli di rete, come HTTP, FTP, ecc. (vedi fig. 1).
Se uniamo più honeypots in una rete, otteniamo un sistema già più efficace honeynet, che rappresenta un'emulazione della rete aziendale (server web, server file e altri componenti di rete). Questa soluzione consente di comprendere la strategia degli attaccanti e di ingannarli. Un tipico honeynet di solito opera parallelamente alla rete di lavoro e in totale indipendenza da essa. Questa 'rete' può essere pubblicata su Internet tramite un canale separato, e può anche essere assegnato un range specifico di indirizzi IP (vedi fig. 2).
Il significato dell'uso dell'honeynet è mostrare all'hacker che è presumibilmente penetrato nella rete aziendale dell'organizzazione, mentre in realtà l'attaccante si trova in un 'ambiente isolato' e sotto attenta osservazione da parte degli specialisti della sicurezza informatica (vedi fig. 3).
Qui è necessario menzionare anche uno strumento chiamato 'sandbox' (inglese, sandbox), che consente agli aggressori di installare ed eseguire software dannoso in un ambiente isolato, dove gli specialisti IT possono monitorare le loro azioni al fine di identificare potenziali rischi e adottare le necessarie contromisure. Attualmente, il sandboxing è solitamente implementato su macchine virtuali dedicate su un host virtuale. Tuttavia, è importante sottolineare che il sandboxing mostra solo come si comportano programmi pericolosi e dannosi, mentre una honeynet aiuta lo specialista ad analizzare il comportamento dei «giocatori pericolosi».
Il vantaggio evidente delle honeynets è che ingannano i trasgressori, sprecando le loro forze, risorse e tempo. Di conseguenza, invece di attaccare obiettivi reali, colpiscono falsi e possono interrompere l'attacco alla rete senza raggiungere alcun obiettivo. Le tecnologie honeynets vengono più frequentemente utilizzate nelle istituzioni governative, nelle grandi corporazioni e nelle organizzazioni finanziarie, poiché sono queste strutture a essere oggetto di attacchi informatici di grandi dimensioni. Tuttavia, anche le piccole e medie imprese (PMI) necessitano di strumenti efficaci per prevenire incidenti di sicurezza informatica, ma utilizzare le honeynets nel settore delle PMI non è così semplice a causa della mancanza di personale qualificato per questo lavoro complesso.
Limitazioni delle soluzioni Honeypots e Honeynets
Perché honeypots e honeynets non sono le migliori soluzioni per contrastare gli attacchi oggi? È importante notare che gli attacchi diventano sempre più ampi, tecnicamente complessi e capaci di infliggere danni seri all'infrastruttura IT di un'organizzazione, mentre la criminalità informatica ha raggiunto un altro livello, rappresentando strutture di business ombra altamente organizzate, dotate di tutte le risorse necessarie. A questo si deve aggiungere il "fattore umano" (errori nella configurazione di software e hardware, azioni di insider, ecc.), quindi l'uso esclusivo di tecnologie per prevenire gli attacchi al momento è già insufficiente.
Di seguito elenchiamo le principali limitazioni e svantaggi dei honeypots (honeynets):
I "honeypots" sono stati inizialmente progettati per individuare minacce esterne alla rete aziendale, destinati più all'analisi del comportamento degli attaccanti e non pensati per una risposta rapida alle minacce.
Gli attaccanti hanno generalmente già imparato a riconoscere i sistemi emulati e a evitare i honeypots.
Le honeynet (honeypots) hanno un livello di interattività e interazione con altri sistemi di sicurezza estremamente basso, il che rende difficile ottenere informazioni dettagliate sugli attacchi e sugli aggressori usando questi sistemi, e di conseguenza rispondere in modo efficace e veloce agli incidenti di sicurezza informatica. Inoltre, i professionisti della sicurezza ricevono un alto numero di falsi allarmi sulle minacce.
In alcuni casi, gli hacker possono sfruttare un honeypot compromesso come punto di partenza per continuare l'attacco alla rete dell'organizzazione.
Spesso ci sono problematiche legate alla scalabilità degli honeypot, all'elevato carico operativo e alla configurazione di tali sistemi (richiedono specialisti altamente qualificati e non dispongono di un'interfaccia di gestione user-friendly, ecc.). Ci sono grosse difficoltà nel distribuire honeypot in ambienti specializzati come IoT, POS, e nei sistemi cloud.
2. Tecnologie di inganno: vantaggi e principi fondamentali di funzionamento
Esaminati tutti i vantaggi e gli svantaggi dei honeypot, giungiamo alla conclusione che è necessario un approccio completamente nuovo alla gestione degli incidenti di sicurezza informatica, volto a produrre una risposta rapida e adeguata alle azioni degli attaccanti. E questa soluzione è rappresentata dalle tecnologie Cyber deception (Security deception).
La terminologia "Cyber deception", "Security deception", "Deception technology" e "Distributed Deception Platform" (DDP) è relativamente nuova e ha fatto la sua apparizione solo di recente. Di fatto, tutti questi termini si riferiscono all'uso di "tecnologie di inganno" o "tecniche di simulazione dell'infrastruttura IT e disinformazione degli aggressori". Le soluzioni più semplici di Deception sono sviluppi delle idee dei honeypot, ma a un livello tecnologico molto più avanzato che prevede una maggiore automazione nella rilevazione delle minacce e nella risposta a esse. Tuttavia, sul mercato ci sono già soluzioni serie di classe DDP che offrono facilità di distribuzione e scalabilità, nonché un arsenale considerevole di "trappole" e "esche" per gli attaccanti. Ad esempio, Deception consente di emulare oggetti dell'infrastruttura IT, come database, workstation, router, switch, bancomat, server e SCADA, attrezzature mediche e IoT.
Come funziona la «Distributed Deception Platform»? Dopo il deployment del DDP, l'infrastruttura IT dell'organizzazione sarà strutturata in due strati: il primo strato è l'infrastruttura reale dell'azienda, mentre il secondo è un ambiente «emulato», composto da trappole (in inglese, decoys, traps) e esche (in inglese, lures), collocate su dispositivi fisici reali della rete (vedi fig. 4).
Ad esempio, un attaccante potrebbe imbattersi in falsi database con «documenti riservati», credenziali false di presunti «utenti privilegiati» — tutti questi sono obiettivi falsi, che possono attrarre i trasgressori, distogliendo così la loro attenzione dalle vere risorse informative dell'azienda (vedi fig. 5).
Il DDP è una novità nel mercato dei prodotti di sicurezza informatica; queste soluzioni esistono da pochi anni e attualmente solo il settore corporate può permettersele. Tuttavia, anche le piccole e medie imprese potranno presto usufruire della Deception, noleggiando il DDP da fornitori specializzati, «come servizio». Questa opzione è ancora più comoda poiché non è necessario avere risorse altamente qualificate interne.
Di seguito sono riportati i principali vantaggi della tecnologia Deception:
Autenticità. La tecnologia Deception è in grado di riprodurre un ambiente IT aziendale completamente autentico, emulando in modo qualitativo sistemi operativi, IoT, POS, sistemi specializzati (medici, industriali, ecc.), servizi, applicazioni, credenziali, ecc. Le trappole (decoys) sono accuratamente mescolate con l'ambiente operativo, e un attaccante non sarà in grado di identificarle come honeypots.
Implementazione. DDP utilizza l'apprendimento automatico (machine learning, ML) nel suo funzionamento. Grazie all'ML, si garantiscono semplicità, flessibilità nelle configurazioni ed efficienza nell'implementazione della Deception. Le "trappole" e "beckons" vengono aggiornate rapidamente, coinvolgendo l'attaccante in un'infrastruttura IT "fittizia" dell'azienda, mentre sistemi di analisi avanzati basati su intelligenza artificiale possono rilevare le azioni attive degli hacker e prevenirle (ad esempio, tentativi di accesso a Active Directory utilizzando credenziali ingannevoli).
Facilità d'uso. Le moderne "Distributed Deception Platform" sono facili da gestire e amministrare. Solitamente, vengono gestite tramite una console locale o cloud, con possibilità di integrazione con il SOC (Security Operations Center) aziendale tramite API e con molti strumenti di controllo della sicurezza esistenti. Per la gestione e l'operatività dei DDP non sono necessarie competenze di esperti altamente qualificati in sicurezza informatica.
Scalabilità. La Security deception può essere implementata in ambienti fisici, virtuali e cloud. I DDP funzionano efficacemente anche in ambienti specializzati come IoT, ICS, POS, SWIFT, ecc. Piattaforme di Deception avanzate possono proiettare "tecnologie di inganno" anche in uffici remoti e ambienti isolati, senza la necessità di un dispiegamento completo aggiuntivo della piattaforma.
Interazione. Utilizzando trappole (decoys) efficaci e accattivanti, basate su sistemi operativi reali e astutamente collocate tra l'infrastruttura IT autentica, la piattaforma Deception raccoglie ampie informazioni sul malintenzionato. Successivamente, i DDP forniscono notifiche sugli avvisi di minacce, generano rapporti e avviano risposte automatiche agli incidenti di sicurezza informatica.
Punto di partenza dell'attacco. Nelle moderne soluzioni di Deception, trappole e esche vengono collocate all'interno dell'intervallo di rete, anziché al di fuori di esso (come nel caso degli honeypot). Questo modello di distribuzione delle trappole impedisce agli attaccanti di utilizzarle come punto di partenza per attaccare la reale infrastruttura IT dell'azienda. Nelle soluzioni Deception più avanzate, sono disponibili opzioni di instradamento del traffico, consentendo di indirizzare tutto il traffico degli attaccanti attraverso una connessione appositamente dedicata. Questo permette di analizzare l'attività degli aggressori senza rischiare i preziosi asset dell'azienda.
Credibilità delle «tecnologie di inganno». Nella fase iniziale di un attacco, gli aggressori raccolgono e analizzano i dati sull'infrastruttura IT e poi li utilizzano per avanzare orizzontalmente nella rete aziendale. Utilizzando le «tecnologie di inganno», l'attaccante cadrà necessariamente in «trappole» che lo allontaneranno dai veri asset dell'organizzazione. DDP analizzerà i potenziali percorsi di accesso alle credenziali nella rete aziendale e fornirà all'attaccante «obiettivi falsi» invece delle credenziali reali. Queste opportunità mancavano grandemente alle tecnologie honeypot. (Vedi fig. 6).
Inganno VS Honeypot
E infine, arriviamo al momento più interessante della nostra ricerca. Cerchiamo di evidenziare le principali differenze tra le tecnologie Deception e Honeypot. Nonostante alcune somiglianze, queste due tecnologie differiscono notevolmente, a partire dall'idea fondamentale fino all'efficacia operativa.
Diverse idee di base. Come già accennato, i honeypot vengono installati come "esche" attorno agli asset preziosi dell'azienda (fuori dalla rete aziendale), cercando in questo modo di deviare gli aggressori. La tecnologia honeypot si basa sulla rappresentazione dell'infrastruttura organizzativa, tuttavia i honeypot possono diventare un punto di partenza per un attacco alla rete dell'azienda. La tecnologia Deception è stata sviluppata tenendo in considerazione il punto di vista dell'aggressore e consente di identificare un attacco in una fase iniziale, fornendo così agli specialisti della sicurezza informatica un significativo vantaggio sugli aggressori e guadagnando tempo.
"Attraente" VS "Depistante". Quando si utilizzano honeypot, il successo dipende dall'attrazione dell'attenzione degli attaccanti e dalla loro motivazione a passare all'obiettivo nel honeypot. Questo significa che l'attaccante deve comunque raggiungere il honeypot, e solo allora potrete fermarlo. Pertanto, la presenza di attaccanti nella rete può durare per mesi o più, portando a perdite di dati e danni. I DDP simulano qualitativamente una vera infrastruttura IT dell'azienda; il loro obiettivo è non solo attirare l'attenzione degli attaccanti, ma confonderli, affinché perdano tempo e risorse inutilmente, senza ottenere accesso agli attivi reali dell'azienda.
"Scalabilità limitata" VS "scalabilità automatica". Come già accennato, i honeypot e le honeynet presentano problemi di scalabilità. Questo è difficile e costoso, e per aumentare il numero di honeypot in un sistema aziendale è necessario aggiungere nuovi computer, sistemi operativi, acquistare licenze e riservare indirizzi IP. Inoltre, è fondamentale avere personale qualificato per gestire tali sistemi. Le piattaforme Deception vengono automaticamente implementate man mano che l'infrastruttura si espande, senza costi aggiuntivi significativi.
«Un gran numero di falsi positivi» VS «assenza di falsi positivi». Il problema è che anche un utente comune può imbattersi in un honeypot, quindi il «lato oscuro» di questa tecnologia è costituito dall'alto numero di falsi positivi, che distrae gli specialisti della sicurezza informatica dal loro lavoro. Le «esche» e le «trappole» nel DDP sono accuratamente nascoste dagli utenti comuni e progettate esclusivamente per il malintenzionato, quindi ogni segnale proveniente da tale sistema è un avviso di una minaccia reale, e non un falso positivo.
Conclusione
A nostro avviso, la tecnologia Deception rappresenta un grande passo avanti rispetto alla più vecchia tecnologia dei Honeypots. In sostanza, DDP è diventata una piattaforma di sicurezza completa, facile da implementare e gestire.
Le moderne piattaforme di questo tipo svolgono un ruolo cruciale nell'individuazione accurata e nella risposta efficace alle minacce informatiche, e la loro integrazione con altri componenti dello stack di sicurezza aumenta il livello di automazione, migliorando l'efficienza e l'efficacia nella risposta agli incidenti. Le piattaforme Deception si basano su autenticità, scalabilità, facilità di gestione e integrazione con altri sistemi. Tutto ciò offre un vantaggio significativo nella velocità di risposta agli incidenti di sicurezza informatica.
In base alle osservazioni sui pentest effettuati in aziende che hanno implementato o testato la piattaforma Xello Deception, si può concludere che anche i pentester più esperti spesso non riescono a riconoscere le esche nella rete aziendale e cadono nelle trappole predisposte. Questo fatto conferma ancora una volta l'efficacia della Deception e le grandi opportunità che si aprono per questa tecnologia in futuro.
Testing del prodotto
Se siete interessati alle piattaforme Deception, siamo pronti .
Seguite gli aggiornamenti sui nostri canali (, , , )!
Fonte: habr.com
