{"id":30311,"date":"2019-10-31T21:34:49","date_gmt":"2019-10-31T18:34:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/analiz-atak-na-hanipot-cowrie\/"},"modified":"2019-10-31T21:34:49","modified_gmt":"2019-10-31T18:34:49","slug":"analiz-atak-na-hanipot-cowrie","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/analiz-atak-na-hanipot-cowrie","title":{"rendered":"Analisi degli attacchi al honeypot Cowrie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Statistiche dopo 24 ore dall'installazione del honeypot su un nodo Digital Ocean a Singapore<\/b> <\/p>\n

Piu-piu! Iniziamo subito con la mappa degli attacchi<\/h1>\n

\nLa nostra mappa super cool mostra gli ASN unici che si sono connessi al nostro honeypot Cowrie nelle ultime 24 ore. Il giallo corrisponde alle connessioni SSH e il rosso al Telnet. Queste animazioni impressionano spesso il consiglio di amministrazione, consentendo di ottenere ulteriori finanziamenti per la sicurezza e le risorse. Tuttavia, la mappa ha un certo valore, dimostrando chiaramente la diffusione geografica e organizzativa delle fonti di attacco al nostro host in sole 24 ore. L'animazione non riflette il volume di traffico da ciascuna fonte.
\n<\/a><\/noindex><\/p>\n

Cos'\u00e8 la mappa Pew Pew?<\/h3>\n

\nMappa Pew Pew<\/i> \u00e8 visualizzazione degli attacchi informatici<\/a><\/noindex>, di solito animata e molto bella. \u00c8 un modo alla moda per vendere il proprio prodotto, tristemente famosa per essere stata utilizzata dalla Norse Corp. La compagnia ha concluso male: si \u00e8 scoperto che le belle animazioni erano il loro unico pregio, e per l'analisi usavano dati frammentari.<\/p>\n

Realizzato con Leafletjs<\/h3>\n

\nPer coloro che vogliono sviluppare una mappa degli attacchi per uno schermo grande nel centro operativo (piacer\u00e0 al tuo capo), esiste una libreria leafletjs<\/a><\/noindex>. La uniamo con il plugin stile di migrazione leaflet<\/a><\/noindex>, il servizio Maxmind GeoIP - ed \u00e8 pronta<\/a><\/noindex>.<\/p>\n

\"Analisi<\/a><\/noindex><\/p>\n

WTF: cos'\u00e8 questo honeypot Cowrie?<\/h1>\n

\nUn honeypot \u00e8 un sistema posizionato nella rete appositamente per attirare i malintenzionati. Le connessioni al sistema sono generalmente illegali e consentono di rilevare l'attaccante tramite registrazioni dettagliate. I log non conservano solo informazioni comuni sulle connessioni, ma anche informazioni sulla sessione che rivelano tecniche, tattiche e procedure (TTP)<\/b> del malintenzionato.<\/p>\n

L'honeypot Cowrie<\/a><\/noindex> \u00e8 progettato per registrare le connessioni SSH e Telnet<\/b>. Questi honeypot vengono spesso esposti su Internet per monitorare strumenti, script e host degli attaccanti.<\/p>\n

Il mio messaggio alle aziende che pensano di non essere attaccate: \u00abState cercando male\u00bb.
\n\u2014 James Snook<\/i><\/p><\/blockquote>\n

\n\"Analisi
\n<\/p>\n

Cosa c'\u00e8 nei log?<\/h1>\n

<\/p>\n

Numero totale di connessioni<\/h3>\n

\nDa molti host sono arrivate ripetute tentativi di connessione. Questo \u00e8 normale, poich\u00e9 gli script di attacco hanno un elenco di credenziali e provano diverse combinazioni. Il honeypot Cowrie \u00e8 configurato per ricevere determinate combinazioni di nome utente e password. Questa impostazione si trova nel file user.db<\/b>.<\/p>\n

\"Analisi
\n<\/p>\n

Geografia degli attacchi<\/h3>\n

\nSecondo i dati di geolocalizzazione di Maxmind, ho calcolato il numero di connessioni provenienti da ciascun paese. Il Brasile e la Cina sono in testa con un ampio margine, da questi paesi proviene spesso un grande rumore dai scanner.<\/p>\n

\"Analisi
\n<\/p>\n

Proprietario del blocco di rete<\/h3>\n

\nL'analisi dei proprietari dei blocchi di rete (ASN) pu\u00f2 rivelare organizzazioni con un alto numero di host attaccanti. Tuttavia, in questi casi \u00e8 sempre importante ricordare che molti attacchi provengono da host compromessi. \u00c8 ragionevole presupporre che la maggior parte degli attaccanti non sia cos\u00ec stupida da scansionare la rete da un computer domestico.<\/p>\n

\"Analisi
\n<\/p>\n

Porte aperte sui sistemi attaccanti (dati Shodan.io)<\/h3>\n

\nFar scorrere un elenco di IP attraverso il fantastico Shodan API<\/a><\/noindex> determina rapidamente sistemi con porte aperte<\/b> e quali sono queste porte. Nella figura sottostante viene mostrata la concentrazione delle porte aperte per paesi e organizzazioni. Sarebbe possibile identificare blocchi di sistemi compromessi, ma all'interno di un piccolo campione<\/b> non si evidenzia nulla di straordinario, tranne per un gran numero di porte aperte 500 in Cina<\/b>.<\/p>\n

Una scoperta interessante \u00e8 il grande numero di sistemi in Brasile, con cui non sono aperti 22, 23<\/b> o altre porte<\/b>, secondo Censys e Shodan. A quanto pare, queste sono connessioni da computer di utenti finali.<\/p>\n

\"Analisi
\n <\/p>\n

Bot? Non necessariamente<\/h3>\n

\nDati Censys<\/a><\/noindex> per le porte 22 e 23 quel giorno hanno mostrato un comportamento strano. Ho ipotizzato che la maggior parte delle scansioni e degli attacchi alle password provenisse da bot. Uno script si propaga attraverso porte aperte, cercando di indovinare le password, e da un nuovo sistema copia se stesso e continua a diffondersi con lo stesso metodo.<\/p>\n

Ma qui si osserva che solo un piccolo numero di host che scansionano telnet ha aperta la porta 23. Questo significa che i sistemi sono stati compromessi in un altro modo, oppure gli attaccanti eseguono script manualmente.<\/p>\n

\"Analisi
\n<\/p>\n

Connessioni domestiche<\/h3>\n

\nUn'altra scoperta interessante \u00e8 il numero elevato di utenti domestici nel campione. Con l'aiuto di ricerca inversa <\/b> ho identificato 105 connessioni da specifici computer domestici. Per molte connessioni domestiche, durante la ricerca inversa DNS, viene visualizzato il nome host con parole come dsl, home, cable, fiber e cos\u00ec via.<\/p>\n

\"Analisi
\n<\/p>\n

Impara e scopri: crea il tuo honeypot<\/h1>\n

\nRecentemente ho scritto una breve guida su come installare un honeypot Cowrie sul tuo sistema<\/a><\/noindex>. Come gi\u00e0 accennato, nel nostro caso \u00e8 stato utilizzato un VPS Digital Ocean a Singapore. L'analisi di 24 ore ha comportato un costo di appena pochi centesimi, mentre il tempo per configurare il sistema \u00e8 stato di 30 minuti.<\/p>\n

Invece di eseguire Cowrie su Internet e catturare tutto il traffico, \u00e8 possibile trarre vantaggio da un honeypot nella rete locale. Basta impostare un avviso se ci sono richieste su determinate porte. Questo pu\u00f2 indicare un attaccante all'interno della rete, un dipendente curioso o una scansione di vulnerabilit\u00e0.<\/p>\n

Conclusioni<\/h1>\n

\nDopo aver osservato le azioni degli attaccanti per un giorno, diventa chiaro che non \u00e8 possibile identificare una fonte chiara degli attacchi in un'azienda, in un paese o addirittura in un sistema operativo.<\/p>\n

La grande variet\u00e0 delle fonti mostra che il traffico di scansione \u00e8 costante e non \u00e8 associato a una fonte specifica. Chiunque lavori su Internet deve assicurarsi che il proprio sistema abbia diversi livelli di sicurezza<\/b>. Una soluzione comune ed efficace per SSH<\/b> sar\u00e0 spostare il servizio su una porta alta casuale. Questo non elimina la necessit\u00e0 di una rigorosa protezione con password e monitoraggio, ma garantisce almeno che i log non vengano intasati da scansioni costanti. Le connessioni a porte alte sono, con maggior probabilit\u00e0, attacchi mirati che potrebbero interessarti.<\/p>\n

Spesso, le porte telnet aperte si trovano su router o altri dispositivi, quindi non possono essere facilmente spostate su una porta alta. Le informazioni su tutte le porte aperte<\/a><\/noindex> e della superficie di attacco<\/a><\/noindex> sono l'unico modo per accertarsi che questi servizi siano protetti da un firewall o disattivati. Se possibile, non utilizzare affatto Telnet, poich\u00e9 questo protocollo non \u00e8 crittografato. Se \u00e8 necessario, controllalo attentamente e utilizza password affidabili.
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439\u00a0\u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30311","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Analisi degli attacchi all'honeypot Cowrie | ProHoster","description":"Statistiche dopo 24 ore dall'installazione del honeypot sull'host Digital Ocean a Singapore Pi\u00f9-pi\u00f9!","canonical_url":"https:\/\/prohoster.info\/it\/blog\/analiz-atak-na-hanipot-cowrie","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0430\u0442\u0430\u043a \u043d\u0430 \u0445\u0430\u043d\u0438\u043f\u043e\u0442 Cowrie | ProHoster","og:description":"\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443!","og:url":"https:\/\/prohoster.info\/it\/blog\/analiz-atak-na-hanipot-cowrie","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:49+00:00","article:modified_time":"2019-10-31T18:34:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30311","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/30311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=30311"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/30311\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=30311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=30311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=30311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}