{"id":30311,"date":"2019-10-31T21:34:49","date_gmt":"2019-10-31T18:34:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/analiz-atak-na-hanipot-cowrie\/"},"modified":"2019-10-31T21:34:49","modified_gmt":"2019-10-31T18:34:49","slug":"analiz-atak-na-hanipot-cowrie","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/analiz-atak-na-hanipot-cowrie","title":{"rendered":"Analisi degli attacchi al honeypot Cowrie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Statistiche delle ultime 24 ore dopo l'installazione del honeypot sul nodo Digital Ocean a Singapore<\/b> <\/p>\n

Pew pew! Iniziamo subito con la mappa degli attacchi<\/h1>\n

\nLa nostra fantastica mappa mostra gli ASN unici che si sono connessi al nostro honeypot Cowrie nelle ultime 24 ore. Il giallo corrisponde alle connessioni SSH, mentre il rosso a Telnet. Queste animazioni impressionano spesso i membri del consiglio di amministrazione, permettendo di ottenere pi\u00f9 finanziamenti per la sicurezza e le risorse. Tuttavia, la mappa ha un certo valore, dimostrando chiaramente la diffusione geografica e organizzativa delle fonti di attacco al nostro host in sole 24 ore. L'animazione non riflette il volume di traffico da ciascuna fonte.
\n<\/a><\/noindex><\/p>\n

Cos'\u00e8 la mappa Pew Pew?<\/h3>\n

\nMappa Pew Pew<\/i> \u2014 rappresenta visualizzazione degli attacchi informatici<\/a><\/noindex>, normalmente animata e molto bella. \u00c8 un modo alla moda di vendere il proprio prodotto, tristemente noto per essere stato utilizzato dall'azienda Norse Corp. L'azienda ha avuto una brutta fine: si \u00e8 scoperto che le belle animazioni erano il loro unico pregio, e per l'analisi usavano dati frammentari.<\/p>\n

Realizzato con Leafletjs<\/h3>\n

\nPer coloro che vogliono sviluppare una mappa degli attacchi per uno schermo grande in un centro operativo (piacer\u00e0 al tuo capo), c'\u00e8 una libreria leafletjs<\/a><\/noindex>. La uniamo con il plugin layer migration leaflet<\/a><\/noindex>, il servizio Maxmind GeoIP \u2014 e siamo a posto<\/a><\/noindex>.<\/p>\n

\"Analisi<\/a><\/noindex><\/p>\n

WTF: cos'\u00e8 il honeypot Cowrie?<\/h1>\n

\nUn honeypot \u00e8 un sistema progettato per essere collocato in rete al fine di attrarre malintenzionati. Le connessioni a questo sistema sono tipicamente illegali e permettono di identificare l'attaccante attraverso log dettagliati. I log non registrano solo le informazioni di connessione standard, ma anche informazioni sulla sessione che rivelano le tecniche, le tattiche e le procedure (TTP)<\/b> dell'attaccante.<\/p>\n

Il honeypot Cowrie<\/a><\/noindex> \u00e8 destinato a registrare connessioni SSH e Telnet<\/b>. Questi honeypot vengono spesso esposti a Internet per monitorare gli strumenti, gli script e gli host degli attaccanti.<\/p>\n

Il mio messaggio per le aziende che pensano di non essere attaccate: \"Cercate male\".
\n\u2014 James Snook<\/i><\/p><\/blockquote>\n

\n\"Analisi
\n<\/p>\n

Cosa c'\u00e8 nei log?<\/h1>\n

<\/p>\n

Numero totale di connessioni<\/h3>\n

\nNumerosi host hanno registrato tentativi di connessione. \u00c8 normale, poich\u00e9 negli script attaccanti \u00e8 memorizzato un elenco di credenziali e provano diverse combinazioni. Il honeypot Cowrie \u00e8 configurato per accettare specifiche combinazioni di nome utente e password. Questo \u00e8 configurato in user.db<\/b>.<\/p>\n

\"Analisi
\n<\/p>\n

Geografia degli attacchi<\/h3>\n

\nSecondo i dati di geolocalizzazione di Maxmind, ho conteggiato il numero di connessioni da ciascun paese. Brasile e Cina guidano ampiamente, con un gran numero di rumori provenienti da scanner in queste nazioni.<\/p>\n

\"Analisi
\n<\/p>\n

Proprietario del blocco di rete<\/h3>\n

\nL'analisi dei proprietari dei blocchi di rete (ASN) pu\u00f2 rivelare organizzazioni con un gran numero di host attaccanti. Certamente, in questi casi \u00e8 sempre da tenere a mente che molti attacchi provengono da host compromessi. \u00c8 ragionevole presupporre che la maggior parte degli aggressori non sia cos\u00ec stupida da scansionare la rete da un computer domestico.<\/p>\n

\"Analisi
\n<\/p>\n

Porte aperte sui sistemi attaccanti (dati Shodan.io)<\/h3>\n

\nEseguire un elenco di IP attraverso il magnifico API Shodan<\/a><\/noindex> determina rapidamente sistemi con porte aperte<\/b> e che cosa sono questi porti. Nella figura sottostante \u00e8 mostrata la concentrazione di porte aperte per paesi e organizzazioni. Sarebbe possibile identificare i blocchi di sistemi compromessi, ma all'interno di un campione ridotto<\/b> non si vede nulla di eccezionale, a parte un gran numero di porte aperte 500 in Cina<\/b>.<\/p>\n

Un'osservazione interessante \u00e8 il gran numero di sistemi in Brasile che hanno le porte 22, 23 non aperte<\/b> o altre porte<\/b>, secondo Censys e Shodan. A quanto pare, si tratta di connessioni da computer di utenti finali.<\/p>\n

\"Analisi
\n <\/p>\n

Bot? Non necessariamente<\/h3>\n

\nDati Censys<\/a><\/noindex> per le porte 22 e 23 in quel giorno hanno mostrato qualcosa di strano. Presumevo che la maggior parte delle scansioni e degli attacchi a password avvenisse da bot. Lo script si diffonde attraverso porte aperte, provando a indovinare le password, e da un nuovo sistema si copia e continua a diffondersi con lo stesso metodo.<\/p>\n

Ma qui si vede che solo un piccolo numero di host che scansionano telnet ha la porta 23 aperta verso l'esterno. Questo significa che i sistemi sono stati compromessi in un altro modo, o che gli aggressori eseguono gli script manualmente.<\/p>\n

\"Analisi
\n<\/p>\n

Connessioni domestiche<\/h3>\n

\nUn'altra osservazione interessante \u00e8 il gran numero di utenti domestici nel campione. Utilizzando visualizzazione inversa <\/b> ho identificato 105 connessioni da specifici computer domestici. Per molte connessioni domestiche, la visualizzazione inversa del DNS mostra il nome host con parole come dsl, home, cable, fibra e cos\u00ec via.<\/p>\n

\"Analisi
\n<\/p>\n

Impara ed esplora: imposta il tuo honeypot<\/h1>\n

\nRecentemente ho scritto una breve guida su come installare il honeypot Cowrie sul tuo sistema<\/a><\/noindex>. Come gi\u00e0 menzionato, nel nostro caso abbiamo utilizzato un VPS di Digital Ocean a Singapore. Dopo 24 ore di analisi, il costo \u00e8 stato di pochi centesimi e il tempo per l'installazione del sistema \u00e8 stato di 30 minuti.<\/p>\n

Invece di eseguire Cowrie su Internet e catturare tutto il rumore, si pu\u00f2 trarre vantaggio dal honeypot nella rete locale. \u00c8 sufficiente impostare una notifica se ci sono richieste su porte specifiche. Questo potrebbe segnalare un attaccante interno alla rete, un dipendente curioso o una scansione delle vulnerabilit\u00e0.<\/p>\n

Conclusioni<\/h1>\n

\nDopo aver esaminato le azioni degli attaccanti nell'arco di un giorno, diventa chiaro che non \u00e8 possibile identificare una specifica fonte di attacchi in qualche organizzazione, paese o anche sistema operativo.<\/p>\n

Un'ampia diffusione delle fonti mostra che il rumore della scansione \u00e8 costante e non \u00e8 associato a una fonte specifica. Chiunque operi su internet deve assicurarsi che il proprio sistema sia dotato di pi\u00f9 livelli di sicurezza<\/b>. Una soluzione comune ed efficace per SSH<\/b> \u00e8 spostare il servizio su una porta alta casuale. Questo non elimina la necessit\u00e0 di una rigorosa protezione con password e monitoraggio, ma almeno garantisce che i log non siano intasati da scansioni costanti. Le connessioni su porte alte sono pi\u00f9 probabilmente attacchi mirati, che possono interessarvi.<\/p>\n

Spesso le porte telnet aperte si trovano su router o altri dispositivi, quindi non possono essere facilmente spostate su una porta alta. Le informazioni su tutte le porte aperte<\/a><\/noindex> e superfici di attacco<\/a><\/noindex> sono l'unico modo per assicurarsi che questi servizi siano protetti da un firewall o disabilitati. Se possibile, \u00e8 meglio non utilizzare Telnet; questo protocollo non \u00e8 crittografato. Se \u00e8 necessario e non ci sono alternative, controllatelo attentamente e utilizzate password sicure.
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439\u00a0\u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30311","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Analisi degli attacchi al honeypot Cowrie | ProHoster","description":"Statistiche delle ultime 24 ore dopo l'installazione del honeypot sul nodo Digital Ocean a Singapore. Piu-piu! Iniziamo subito con la mappa degli attacchi. La nostra superlativa mappa mostra gli ASN unici che si sono connessi al nostro honeypot Cowrie nelle ultime 24 ore. Il giallo corrisponde alle connessioni SSH, mentre il rosso rappresenta il Telnet. Queste animazioni impressionano spesso il consiglio di amministrazione dell'azienda, permettendo di ottenere pi\u00f9 finanziamenti per la sicurezza.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/analiz-atak-na-hanipot-cowrie","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0430\u0442\u0430\u043a \u043d\u0430 \u0445\u0430\u043d\u0438\u043f\u043e\u0442 Cowrie | ProHoster","og:description":"\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439 \u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438","og:url":"https:\/\/prohoster.info\/it\/blog\/analiz-atak-na-hanipot-cowrie","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:49+00:00","article:modified_time":"2019-10-31T18:34:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30311","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/30311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=30311"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/30311\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=30311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=30311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=30311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}