🥇Honeypot contro Deception con l'esempio di Xello

Su Habr ci sono già alcuni articoli sulle tecnologie Honeypot e Deception (1 articolo, 2 articolo). Tuttavia, continuiamo a riscontrare incomprensioni sulla differenza tra queste classi di strumenti di protezione. A questo scopo, i nostri colleghi di Xello Deception (primo sviluppatore russo della piattaforma Deception) hanno deciso di descrivere in dettaglio le differenze, i vantaggi e le caratteristiche architetturali di queste soluzioni.

Comprendiamo quindi cosa sono i «honeypots» e i «deception»:

Le «tecnologie di inganno» (in inglese, Deception technology) sono apparse sul mercato dei sistemi di sicurezza informatica relativamente di recente. Tuttavia, alcuni esperti continuano a considerare la Security Deception semplicemente come honeypot più avanzati.

In questo articolo cercheremo di illustrare sia le somiglianze che le differenze fondamentali tra queste due soluzioni. Nella prima parte parleremo dell'«honeypot», di come si sia sviluppata questa tecnologia e dei suoi vantaggi e svantaggi. Nella seconda parte, ci soffermiamo dettagliatamente sui principi di funzionamento delle piattaforme per la creazione di infrastrutture distribuite di obiettivi falsi (in inglese, Distributed Deception Platform — DDP).

Il principio di base su cui si fondano gli honeypots è la creazione di trappole per hacker. Lo stesso principio è stato utilizzato anche per le prime soluzioni Deception. Tuttavia, le DDP moderne superano significativamente gli honeypot sia per funzionalità che per efficacia. Le piattaforme Deception includono: trappole (in inglese, decoys, traps), esche (in inglese, lures), applicazioni, dati, database, Active Directory. Le moderne DDP possono offrire ampie possibilità di rilevamento delle minacce, analisi degli attacchi e automazione delle risposte.

Pertanto, il Deception rappresenta tecniche di simulazione dell'infrastruttura IT dell'azienda e di inganno degli hacker. Di conseguenza, tali piattaforme consentono di fermare gli attacchi prima che causino danni significativi agli asset dell'azienda. Gli honeypot, ovviamente, non dispongono di una funzionalità così ampia e di un livello di automazione così elevato, pertanto il loro utilizzo richiede una maggiore qualificazione da parte dei dipendenti dei dipartimenti di sicurezza informatica.

1. Honeypots, Honeynets e Sandboxing: cosa sono e come vengono applicati

Per la prima volta, il termine «honeypots» è stato utilizzato nel 1989 nel libro di Clifford Stoll «The Cuckoo’s Egg», che descrive eventi di tracciamento di un hacker presso il Lawrence Berkeley National Laboratory (USA). In pratica, questa idea è stata realizzata nel 1999 da Lance Spitzner, esperto di sicurezza informatica della Sun Microsystems, che ha fondato il progetto di ricerca «Honeynet Project». I primi honeypots erano molto esigenti in termini di risorse, complessi da configurare e mantenere.

Esaminiamo più nel dettaglio cosa sono honeypots e honeynets. Gli honeypots sono singoli host il cui scopo è attrarre gli aggressori per tentare di intrufolarsi nella rete aziendale e cercare di rubare dati preziosi, oltre ad ampliare l'area di azione della rete. Un honeypot (tradotto letteralmente come «barile di miele») è un server speciale con un insieme di vari servizi e protocolli di rete, come HTTP, FTP, ecc. (vedi fig. 1).

Se uniamo più honeypots in una rete, otteniamo un sistema più efficiente honeynet, che è un'emulazione della rete aziendale (server web, server file e altre componenti della rete). Questa soluzione consente di comprendere la strategia di azione degli aggressori e di ingannarli. Un tipico honeynet, di solito, funziona parallelamente alla rete di lavoro e in modo completamente indipendente da essa. Questa «rete» può essere pubblicata su Internet tramite un canale separato, e può anche essere assegnata una specifica gamma di indirizzi IP (vedi fig. 2).

Il significato dell'uso di un honeynet è mostrare all'hacker che sembra essersi infiltrato nella rete aziendale, mentre in realtà l'aggressore si trova in un'«ambiente isolato» e sotto attenta osservazione da parte degli specialisti di sicurezza informatica (vedi fig. 3).

È anche importante menzionare uno strumento come «sandbox» (eng., sandbox), che consente agli aggressori di installare e avviare programmi dannosi in un ambiente isolato, dove gli specialisti IT possono monitorare le loro azioni al fine di identificare potenziali rischi e adottare le necessarie contromisure. Attualmente, di solito, il sandboxing viene implementato su macchine virtuali dedicate su un host virtuale. Tuttavia, è importante notare che il sandboxing mostra solo come si comportano i programmi pericolosi e dannosi, mentre l'honeynet aiuta lo specialista ad analizzare il comportamento dei «giocatori pericolosi».

Il vantaggio evidente delle honeynets è che esse ingannano gli intrusi, dissipando le loro forze, risorse e tempo. In questo modo, invece di attaccare obiettivi reali, colpiscono false mete e possono interrompere l'attacco alla rete senza aver ottenuto nulla. Le tecnologie honeynets sono maggiormente utilizzate in istituzioni governative e grandi corporazioni, organizzazioni finanziarie, poiché queste strutture si rivelano bersagli delle grandi cyberattacchi. Tuttavia, le piccole e medie imprese (PMI) hanno anch'esse bisogno di strumenti efficaci per prevenire incidenti di sicurezza informatica, ma utilizzare le honeynets nel settore PMI non è affatto semplice a causa della mancanza di personale qualificato per tale compito complesso.

Limitazioni delle soluzioni Honeypots e Honeynets

Perché i honeypots e le honeynets non sono le migliori soluzioni per contrastare gli attacchi al giorno d'oggi? Va detto che gli attacchi stanno diventando sempre più ampi, tecnicamente complessi e capaci di causare danni seri all'infrastruttura IT delle organizzazioni, mentre la criminalità informatica è salita a un livello completamente diverso, rappresentando strutture di business ombra altamente organizzate e dotate di tutte le risorse necessarie. A ciò si aggiunge il "fattore umano" (errori nella configurazione di software e hardware, azioni di insider, ecc.), per cui l'uso esclusivo della tecnologia per prevenire attacchi attualmente non è più sufficiente.

Di seguito elenchiamo le principali limitazioni e svantaggi dei honeypots (honeynets):

I "honeypots" sono stati originariamente progettati per identificare minacce al di fuori della rete aziendale, destinati piuttosto all'analisi del comportamento dei criminali e non concepiti per risposte rapide alle minacce.
In genere, gli intrusi hanno già imparato a riconoscere i sistemi emulati ed evitare i honeypots.
Le honeynets (honeypots) hanno un livello di interattività e interazione con altri sistemi di sicurezza estremamente basso, di conseguenza, utilizzando i honeypots, è difficile ottenere informazioni dettagliate sugli attacchi e sugli aggressori, rendendo quindi difficile e lenta la risposta agli incidenti di sicurezza informatica. Inoltre, gli esperti di sicurezza informatica ricevono un gran numero di falsi allerta sulle minacce.
In alcuni casi, gli hacker possono utilizzare un honeypot compromesso come punto di partenza per continuare l'attacco alla rete dell'organizzazione.
Spesso sorgono problemi con la scalabilità degli honeypot, l'elevato carico operativo e la configurazione di tali sistemi (richiedono specialisti altamente qualificati, non hanno un'interfaccia di gestione intuitiva, ecc.). Ci sono grandi difficoltà nel distribuire gli honeypot in ambienti specializzati, come IoT, POS, sistemi cloud, ecc.

2. Tecnologia di inganno: vantaggi e principi fondamentali del funzionamento

Esaminati tutti i vantaggi e gli svantaggi degli honeypot, giungiamo alla conclusione che è necessario un approccio completamente nuovo alla risposta agli incidenti di sicurezza informatica, al fine di sviluppare una risposta rapida e adeguata alle azioni degli attaccanti. E questa soluzione sono le tecnologie Cyber deception (inganno informatico).

La terminologia «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) è relativamente nuova ed è emersa da poco tempo. Infatti, tutti questi termini si riferiscono all'uso di «tecnologie di inganno» o «tecniche di simulazione dell'infrastruttura IT e disinformazione degli avversari». Le soluzioni più semplici di Deception sono sviluppi delle idee degli honeypot, ma a un livello tecnologicamente più avanzato, che prevede una maggiore automazione nella rilevazione delle minacce e nella risposta a esse. Tuttavia, sul mercato sono già disponibili soluzioni serie di classe DDP, che prevedono facilità di distribuzione e scalabilità, e dispongono di un arsenale serio di «trappole» e «esche» per gli attaccanti. Ad esempio, la Deception permette di emulare oggetti dell'infrastruttura IT come database, workstation, router, switch, bancomat, server e SCADA, attrezzature mediche e IoT.

Come funziona la «Distributed Deception Platform»? Dopo la distribuzione del DDP, l'infrastruttura IT dell'organizzazione sarà strutturata come se fosse composta da due strati: il primo strato è l'infrastruttura reale dell'azienda, mentre il secondo è un ambiente «emulato», composto da trappole (inglese: decoys, traps) e esche (inglese: lures), che si trovano su dispositivi fisici reali nella rete (cfr. fig. 4).

Ad esempio, un malintenzionato potrebbe scoprire database falsi con "documenti riservati", credenziali fasulle di presunti "utenti privilegiati": tutti obiettivi falsi che potrebbero interessare gli intrusi, distogliendo così la loro attenzione dai veri beni informativi dell'azienda (cfr. fig. 5).

DDP è una novità nel mercato dei prodotti di sicurezza informatica, queste soluzioni hanno solo pochi anni e finora possono permetterselo solo il settore corporativo. Ma anche le piccole e medie imprese potranno presto approfittare di Deception, affittando DDP da fornitori specializzati, "come servizio". Questa opzione è persino più comoda, poiché non c'è bisogno di personale altamente qualificato.

Di seguito sono riportati i principali vantaggi della tecnologia Deception:

Autenticità. La tecnologia Deception è in grado di riprodurre un ambiente IT completamente autentico dell'azienda, emulando qualitativamente sistemi operativi, IoT, POS, sistemi specializzati (medici, industriali, ecc.), servizi, applicazioni, credenziali, ecc. Le trappole (decoys) sono accuratamente miscelate con l'ambiente di lavoro e il malintenzionato non sarà in grado di identificarle come honeypots.
Implementazione. DDP utilizza l'apprendimento automatico (in inglese, machine learning, ML) nel suo funzionamento. Con l'ausilio del ML si garantiscono semplicità, flessibilità nelle impostazioni ed efficienza nell'implementazione di Deception. Le "trappole" e gli "escamotage" vengono aggiornati molto rapidamente, coinvolgendo il malintenzionato in una "falsa" infrastruttura IT dell'azienda, mentre sistemi avanzati di analisi basati sull'intelligenza artificiale possono rilevare azioni attive degli hacker e prevenirle (ad esempio, tentativi di accesso a Active Directory basati su credenziali fasulle).
Semplicità di utilizzo. Le moderne "Distributed Deception Platform" sono facili da mantenere e gestire. Di norma, vengono gestite tramite una console locale o cloud, con possibilità di integrazione con SOC aziendali (Security Operations Center) tramite API e con molti dei mezzi di controllo della sicurezza esistenti. Non sono necessari esperti altamente qualificati in sicurezza informatica per la manutenzione e il funzionamento di DDP.
Scalabilità. Le inganni di sicurezza possono essere distribuiti in ambienti fisici, virtuali e cloud. I DDP funzionano con successo anche in ambienti specializzati come IoT, ICS, POS, SWIFT ecc. Le piattaforme Deception avanzate possono proiettare «tecnologie di inganno» anche in uffici remoti e ambienti isolati, senza la necessità di un'ulteriore distribuzione completa della piattaforma.
Interazione. Utilizzando trappole (decoys) efficaci e attraenti, basate su reali sistemi operativi e abilmente posizionate tra l'infrastruttura IT reale, la piattaforma Deception raccoglie ampie informazioni sul malintenzionato. Successivamente, il DDP garantisce la trasmissione di allerta sulle minacce, genera rapporti e attiva risposte automatiche agli incidenti di sicurezza informatica.
Punto di inizio dell'attacco. Nelle moderne trappole Deception, le trappole e gli inganni sono collocati all'interno dell'intervallo di rete e non all'esterno (come nel caso dei honeypot). Questo modello di distribuzione delle trappole impedisce al malintenzionato di utilizzarle come punto di riferimento per attaccare l'infrastruttura IT reale dell'azienda. Nelle soluzioni Deception più avanzate esistono possibilità di instradamento del traffico, in modo da poter indirizzare tutto il traffico degli aggressori attraverso una connessione appositamente dedicata. Ciò permetterà di analizzare l'attività dei malintenzionati senza rischi per gli asset preziosi dell'azienda.
Credibilità delle «tecnologie di inganno». Nella fase iniziale dell'attacco, i malintenzionati raccolgono e analizzano i dati sull'infrastruttura IT, quindi li usano per avanzare orizzontalmente attraverso la rete aziendale. Attraverso le «tecnologie di inganno», l'aggressore cadrà sicuramente nelle «trappole», che lo allontaneranno dagli asset reali dell'organizzazione. Il DDP analizzerà i potenziali percorsi di accesso alle credenziali nella rete aziendale e fornirà all'aggressore «obiettivi falsi» anziché credenziali reali. Queste capacità mancavano notevolmente alle tecnologie honeypot. (Vedi figura 6).

Deception VS Honeypot

Infine, giungiamo al momento più interessante della nostra ricerca. Cerchiamo di evidenziare le principali differenze tra le tecnologie Deception e Honeypot. Nonostante alcune somiglianze, queste due tecnologie sono comunque molto diverse, a partire dall'idea fondamentale fino all'efficacia operativa.

Diverse idee di base. Come già scritto sopra, i honeypot vengono installati come "esche" attorno agli asset preziosi dell'azienda (al di fuori della rete aziendale), cercando in tal modo di distrarre i malintenzionati. La tecnologia del honeypot si basa sulla rappresentazione dell'infrastruttura dell'organizzazione, tuttavia i honeypot possono diventare un punto di partenza per un attacco alla rete dell'azienda. La tecnologia Deception è stata sviluppata tenendo conto della prospettiva dell'attaccante e consente di identificare un attacco nelle fasi iniziali, in questo modo gli specialisti della sicurezza informatica ottengono un vantaggio significativo sui malintenzionati e guadagnano tempo.
"Attirare" VS "Confondere". Nell'uso dei honeypot, il successo dipende dall'attrarre l'attenzione degli attaccanti e dalla loro successiva motivazione a passare agli obiettivi del honeypot. Ciò significa che l'attaccante deve comunque arrivare al honeypot, e solo allora potrai fermarlo. Pertanto, la presenza di malintenzionati nella rete può durare diversi mesi o più, il che porterà a perdite di dati e danni. I DDP imitano qualitativamente la vera infrastruttura IT dell'azienda, il loro obiettivo non è solo attirare l'attenzione del malintenzionato, ma confonderlo affinché perda tempo e risorse inutilmente, ma non abbia accesso agli asset reali dell'azienda.
"Scalabilità limitata" VS "scalabilità automatica". Come accennato in precedenza, i honeypot e le honeynet hanno problemi di scalabilità. È difficile e costoso, e per aumentare il numero di honeypot nel sistema aziendale, sarà necessario aggiungere nuovi computer, sistemi operativi, acquistare licenze, assegnare indirizzi IP. Inoltre, è necessario avere personale qualificato per gestire tali sistemi. Le piattaforme Deception si distribuiscono automaticamente man mano che l'infrastruttura si scala, senza spese generali significative.
"Alto numero di falsi allarmi" VS "assenza di falsi allarmi". La questione è che anche un utente semplice può imbattersi in un honeypot, quindi il lato "negativo" di questa tecnologia è che ci sono molti falsi positivi, che distraggono gli esperti di sicurezza informatica dal loro lavoro. Le "esche" e "trappole" in DDP sono accuratamente nascoste dall'utente comune e sono progettate solo per il malintenzionato, quindi ogni segnale da un tale sistema è un avviso di una vera minaccia, non un falso allerta.

Conclusione

A nostro avviso, la tecnologia Deception rappresenta un enorme passo avanti rispetto alla più vecchia tecnologia degli Honeypots. In sostanza, DDP è diventata una piattaforma di sicurezza complessa, facile da implementare e gestire.

Le piattaforme moderne di questa classe svolgono un ruolo importante nella rilevazione precisa e nella risposta efficace alle minacce di rete, e la loro integrazione con altri componenti dello stack di sicurezza aumenta il livello di automazione, migliorando l'efficienza e l'efficacia nella risposta agli incidenti. Le piattaforme di Deception si basano su autenticità, scalabilità, semplicità di gestione e integrazione con altri sistemi. Tutto ciò offre un vantaggio significativo nella velocità di risposta agli incidenti di sicurezza informatica.

Inoltre, basandosi sulle osservazioni degli attacchi di pentesting in aziende dove è stata implementata o collaudata la piattaforma Xello Deception, si può concludere che anche i pentester esperti spesso non riescono a riconoscere le esche nella rete aziendale e cadono nelle trappole preparate. Questo fatto conferma ulteriormente l'efficacia della Deception e le grandi prospettive che si aprono per questa tecnologia in futuro.