{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Incredibilmente attraente: come abbiamo creato un honey pot che non pu\u00f2 essere smascherato","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Incredibilmente
\nLe aziende antivirus, gli esperti di sicurezza informatica e semplici appassionati pubblicano su Internet sistemi-trappola - honeypots, per \"catturare con l'esca\" nuove varianti di virus o scoprire tecniche di hacking insolite. I honeypot si trovano cos\u00ec frequentemente che i criminali informatici hanno sviluppato una sorta di immunit\u00e0: identificano rapidamente che si tratta di una trappola e semplicemente la ignorano. Per studiare le tattiche degli hacker moderni, abbiamo creato un honeypot realistico, che per sette mesi ha vissuto su Internet, attirando i pi\u00f9 svariati tipi di attacchi. Di come \u00e8 andata, abbiamo parlato nella nostra ricerca \"Caught in the Act: Running a Realistic Factory Honeypot to Capture Real Threats<\/a><\/noindex>\". Alcuni fatti dello studio sono riportati in questo post. <\/i>
\n<\/a><\/noindex><\/p>\n

Sviluppo del honeypot: checklist<\/h3>\n

\nIl principale obiettivo nella creazione della nostra super trappola era evitare che gli hacker, mostratisi interessati, ci smascherassero. Per questo \u00e8 stata necessaria una grande quantit\u00e0 di lavoro: <\/p>\n

    \n
  1. Creare una leggenda realistica sull'azienda, includendo nomi, foto dei dipendenti, numeri di telefono e email.<\/li>\n
  2. Ideare e implementare un modello di infrastruttura industriale che corrispondesse alla leggenda delle attivit\u00e0 della nostra azienda. <\/li>\n
  3. Decidere quali servizi di rete sarebbero stati accessibili dall'esterno, senza per\u00f2 esagerare con l'apertura di porte vulnerabili per non sembrare una trappola per ingenui. <\/li>\n
  4. Organizzare la percezione di una fuga di informazioni su un sistema vulnerabile e diffondere queste informazioni tra i potenziali attaccanti.<\/li>\n
  5. Implementare un osservatorio discreto sulle azioni degli hacker nell'infrastruttura della trappola. <\/li>\n<\/ol>\n

    \nE ora parliamo di tutto in ordine.<\/p>\n

    Creiamo la leggenda<\/b><\/h3>\n

    \nI criminali informatici sono gi\u00e0 abituati a incontrare numerosi honeypot, quindi la parte pi\u00f9 avanzata di loro conduce ricerche approfondite su ciascun sistema vulnerabile per assicurarsi che non si tratti di una trappola. Per lo stesso motivo, abbiamo cercato di raggiungere non solo il realismo del honeypot in termini di design e aspetti tecnici, ma anche di creare l'apparenza di un'azienda reale.<\/p>\n

    Mettendosi nei panni di un ipotetico culhacker, abbiamo sviluppato un algoritmo di verifica che permettesse di distinguere un sistema reale da una trappola. Comprendeva la ricerca degli indirizzi IP dell'azienda nei sistemi di reputazione, l'analisi inversa della storia degli indirizzi IP, la ricerca di nomi e parole chiave relativi all'azienda, cos\u00ec come ai suoi partner e a molte altre cose. Alla fine, la leggenda si \u00e8 dimostrata piuttosto convincente e accattivante.<\/p>\n

    Abbiamo deciso di posizionare la fabbrica trappola come una piccola boutique di prototipazione industriale, che lavora per clienti molto grandi e anonimi nei settori della difesa e dell'aviazione. Questo ci ha liberato da complicazioni legali legate all'uso di un marchio esistente.<\/p>\n

    Successivamente, abbiamo dovuto pensare a una visione, una missione e un nome per l'organizzazione. Abbiamo deciso che la nostra azienda sarebbe stata una startup con un numero limitato di dipendenti, ognuno dei quali sarebbe stato un cofondatore. Questo aggiungeva credibilit\u00e0 alla leggenda sulla specializzazione della nostra attivit\u00e0, che le consente di lavorare a progetti delicati per clienti importanti e di alto profilo. Volevamo che la nostra azienda apparisse debole dal punto di vista della cybersicurezza, ma al tempo stesso fosse chiaro che lavoriamo con attivi di grande rilevanza nei sistemi target.<\/p>\n

    \"Incredibilmente
    \nScreenshot del sito del honey pot MeTech. Fonte: Trend Micro<\/i><\/p>\n

    Come nome dell'azienda abbiamo scelto la parola MeTech. Il sito \u00e8 stato realizzato utilizzando un template gratuito. Le immagini sono state prelevate da banche immagini, usando quelle meno popolari e modificandole per renderle meno riconoscibili. <\/p>\n

    Volevamo che l'azienda apparisse reale, quindi era necessario aggiungere dipendenti con competenze professionali in linea con il profilo dell'attivit\u00e0. Abbiamo inventato nomi e personalit\u00e0 per loro e successivamente abbiamo cercato di scegliere immagini da banche immagini in base all'appartenenza etnica. <\/p>\n

    \"Incredibilmente
    \nScreenshot del sito del honey pot MeTech. Fonte: Trend Micro<\/i><\/i><\/p>\n

    Per non essere scoperti, cercavamo foto di gruppo di buona qualit\u00e0, da cui poter scegliere i volti di nostro interesse. Tuttavia, successivamente abbiamo abbandonato questa opzione, poich\u00e9 un potenziale hacker avrebbe potuto utilizzare la ricerca inversa delle immagini e scoprire che i nostri \"dipendenti\" esistono solo nelle banche immagini. Alla fine, abbiamo utilizzato foto di persone inesistenti, create con reti neurali.<\/p>\n

    I profili pubblicati sul sito contenevano informazioni importanti sulle loro competenze tecniche, ma abbiamo evitato di menzionare scuole specifiche e citt\u00e0.
    \nPer creare le caselle di posta, abbiamo utilizzato il server del provider di hosting e poi abbiamo affittato alcuni numeri di telefono negli Stati Uniti, unendoli in una centrale virtuale con menu vocale e segreteria telefonica.<\/p>\n

    Infrastruttura del honeypot<\/b><\/h3>\n

    \nPer evitare la scoperta, abbiamo deciso di utilizzare una combinazione di attrezzature industriali reali, computer fisici e macchine virtuali protette. In anticipo, diciamo che il risultato dei nostri sforzi \u00e8 stato verificato tramite il motore di ricerca Shodan, il quale ha mostrato che il honeypot appare come un vero sistema industriale.<\/p>\n

    \"Incredibilmente
    \nRisultato della scansione del honeypot tramite Shodan. Fonte: Trend Micro<\/i><\/p>\n

    Come hardware per la nostra trappola, abbiamo utilizzato quattro PLC:<\/p>\n