Statistiche dopo 24 ore dall'installazione del honeypot su un nodo Digital Ocean a Singapore
Piu-piu! Iniziamo subito con la mappa degli attacchi
La nostra mappa super cool mostra gli ASN unici che si sono connessi al nostro honeypot Cowrie nelle ultime 24 ore. Il giallo corrisponde alle connessioni SSH e il rosso al Telnet. Queste animazioni impressionano spesso il consiglio di amministrazione, consentendo di ottenere ulteriori finanziamenti per la sicurezza e le risorse. Tuttavia, la mappa ha un certo valore, dimostrando chiaramente la diffusione geografica e organizzativa delle fonti di attacco al nostro host in sole 24 ore. L'animazione non riflette il volume di traffico da ciascuna fonte.
Cos'è la mappa Pew Pew?
Mappa Pew Pew è , di solito animata e molto bella. È un modo alla moda per vendere il proprio prodotto, tristemente famosa per essere stata utilizzata dalla Norse Corp. La compagnia ha concluso male: si è scoperto che le belle animazioni erano il loro unico pregio, e per l'analisi usavano dati frammentari.
Realizzato con Leafletjs
Per coloro che vogliono sviluppare una mappa degli attacchi per uno schermo grande nel centro operativo (piacerà al tuo capo), esiste una libreria . La uniamo con il plugin , il servizio Maxmind GeoIP - .
WTF: cos'è questo honeypot Cowrie?
Un honeypot è un sistema posizionato nella rete appositamente per attirare i malintenzionati. Le connessioni al sistema sono generalmente illegali e consentono di rilevare l'attaccante tramite registrazioni dettagliate. I log non conservano solo informazioni comuni sulle connessioni, ma anche informazioni sulla sessione che rivelano tecniche, tattiche e procedure (TTP) del malintenzionato.
è progettato per registrare le connessioni SSH e Telnet. Questi honeypot vengono spesso esposti su Internet per monitorare strumenti, script e host degli attaccanti.
Il mio messaggio alle aziende che pensano di non essere attaccate: «State cercando male».
— James Snook
Cosa c'è nei log?
Numero totale di connessioni
Da molti host sono arrivate ripetute tentativi di connessione. Questo è normale, poiché gli script di attacco hanno un elenco di credenziali e provano diverse combinazioni. Il honeypot Cowrie è configurato per ricevere determinate combinazioni di nome utente e password. Questa impostazione si trova nel file user.db.
Geografia degli attacchi
Secondo i dati di geolocalizzazione di Maxmind, ho calcolato il numero di connessioni provenienti da ciascun paese. Il Brasile e la Cina sono in testa con un ampio margine, da questi paesi proviene spesso un grande rumore dai scanner.
Proprietario del blocco di rete
L'analisi dei proprietari dei blocchi di rete (ASN) può rivelare organizzazioni con un alto numero di host attaccanti. Tuttavia, in questi casi è sempre importante ricordare che molti attacchi provengono da host compromessi. È ragionevole presupporre che la maggior parte degli attaccanti non sia così stupida da scansionare la rete da un computer domestico.
Porte aperte sui sistemi attaccanti (dati Shodan.io)
Far scorrere un elenco di IP attraverso il fantastico determina rapidamente sistemi con porte aperte e quali sono queste porte. Nella figura sottostante viene mostrata la concentrazione delle porte aperte per paesi e organizzazioni. Sarebbe possibile identificare blocchi di sistemi compromessi, ma all'interno di un piccolo campione non si evidenzia nulla di straordinario, tranne per un gran numero di porte aperte 500 in Cina.
Una scoperta interessante è il grande numero di sistemi in Brasile, con cui non sono aperti 22, 23 o altre porte, secondo Censys e Shodan. A quanto pare, queste sono connessioni da computer di utenti finali.
Bot? Non necessariamente
Dati per le porte 22 e 23 quel giorno hanno mostrato un comportamento strano. Ho ipotizzato che la maggior parte delle scansioni e degli attacchi alle password provenisse da bot. Uno script si propaga attraverso porte aperte, cercando di indovinare le password, e da un nuovo sistema copia se stesso e continua a diffondersi con lo stesso metodo.
Ma qui si osserva che solo un piccolo numero di host che scansionano telnet ha aperta la porta 23. Questo significa che i sistemi sono stati compromessi in un altro modo, oppure gli attaccanti eseguono script manualmente.
Connessioni domestiche
Un'altra scoperta interessante è il numero elevato di utenti domestici nel campione. Con l'aiuto di ricerca inversa ho identificato 105 connessioni da specifici computer domestici. Per molte connessioni domestiche, durante la ricerca inversa DNS, viene visualizzato il nome host con parole come dsl, home, cable, fiber e così via.
Impara e scopri: crea il tuo honeypot
Recentemente ho scritto una breve guida su come . Come già accennato, nel nostro caso è stato utilizzato un VPS Digital Ocean a Singapore. L'analisi di 24 ore ha comportato un costo di appena pochi centesimi, mentre il tempo per configurare il sistema è stato di 30 minuti.
Invece di eseguire Cowrie su Internet e catturare tutto il traffico, è possibile trarre vantaggio da un honeypot nella rete locale. Basta impostare un avviso se ci sono richieste su determinate porte. Questo può indicare un attaccante all'interno della rete, un dipendente curioso o una scansione di vulnerabilità.
Conclusioni
Dopo aver osservato le azioni degli attaccanti per un giorno, diventa chiaro che non è possibile identificare una fonte chiara degli attacchi in un'azienda, in un paese o addirittura in un sistema operativo.
La grande varietà delle fonti mostra che il traffico di scansione è costante e non è associato a una fonte specifica. Chiunque lavori su Internet deve assicurarsi che il proprio sistema abbia diversi livelli di sicurezza. Una soluzione comune ed efficace per SSH sarà spostare il servizio su una porta alta casuale. Questo non elimina la necessità di una rigorosa protezione con password e monitoraggio, ma garantisce almeno che i log non vengano intasati da scansioni costanti. Le connessioni a porte alte sono, con maggior probabilità, attacchi mirati che potrebbero interessarti.
Spesso, le porte telnet aperte si trovano su router o altri dispositivi, quindi non possono essere facilmente spostate su una porta alta. e sono l'unico modo per accertarsi che questi servizi siano protetti da un firewall o disattivati. Se possibile, non utilizzare affatto Telnet, poiché questo protocollo non è crittografato. Se è necessario, controllalo attentamente e utilizza password affidabili.
Fonte: habr.com
