{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"Incredibilmente attraente: come abbiamo creato un honeypot che non pu\u00f2 essere svelato.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Incredibilmente
\nLe aziende antivirus, gli esperti in sicurezza informatica e semplici appassionati pubblicano in rete sistemi esca \u2013 honeypot \u2013 per 'catturare' nuove varianti di virus o scoprire tattiche insolite dei hacker. I honeypot sono cos\u00ec comuni che i cybercriminali hanno sviluppato una sorta di immunit\u00e0: identificano rapidamente che si tratta di una trappola e semplicemente la ignorano. Per studiare le tattiche degli hacker moderni, abbiamo creato un honeypot realistico che per sette mesi ha operato su internet, attirando vari attacchi. Ne parliamo nel nostro studio \"Caught in the Act: Running a Realistic Factory Honeypot to Capture Real Threats<\/a><\/noindex>\". Alcuni fatti dello studio sono riportati in questo post. <\/i>
\n<\/a><\/noindex><\/p>\n

Sviluppo del honeypot: checklist<\/h3>\n

\nIl principale obiettivo nella creazione della nostra super trappola era quello di evitare di essere smascherati dai hacker interessati. Per farlo, \u00e8 stata necessaria una grande quantit\u00e0 di lavoro: <\/p>\n

    \n
  1. Creare una leggenda realistica sull'azienda, che includesse nomi e foto dei dipendenti, numeri di telefono ed e-mail.<\/li>\n
  2. Progettare e implementare un modello di infrastruttura industriale che rispecchi la leggenda dell'attivit\u00e0 della nostra azienda. <\/li>\n
  3. Decidere quali servizi di rete saranno accessibili dall'esterno, evitando per\u00f2 l'apertura di porte vulnerabili, per non sembrare una trappola per ingenui. <\/li>\n
  4. Organizzare la visibilit\u00e0 della fuga di informazioni su un sistema vulnerabile e diffondere queste informazioni tra potenziali aggressori.<\/li>\n
  5. Realizzare un monitoraggio discreto delle azioni degli hacker nell'infrastruttura della trappola. <\/li>\n<\/ol>\n

    \nE ora, vediamo tutto in ordine.<\/p>\n

    Creiamo la leggenda<\/b><\/h3>\n

    \nI cybercriminali sono gi\u00e0 abituati a trovare numerosi honeypot, quindi la parte pi\u00f9 avanzata di loro conduce ricerche approfondite su ogni sistema vulnerabile per assicurarsi che non sia una trappola. Per lo stesso motivo, ci siamo spinti non solo a realizzare un honeypot realistico dal punto di vista del design e degli aspetti tecnici, ma anche a creare l'illusione di una vera azienda.<\/p>\n

    Immaginandoci nei panni di un ipotetico culhacker, abbiamo sviluppato un algoritmo di verifica che permettesse di distinguere un sistema reale da una trappola. Questo includeva la ricerca degli indirizzi IP dell'azienda nei sistemi di reputazione, l'analisi della cronologia degli indirizzi IP, la ricerca di nomi e parole chiave legate all'azienda, ai suoi clienti e a molte altre cose. Alla fine, la leggenda si \u00e8 rivelata piuttosto convincente e attraente.<\/p>\n

    Abbiamo deciso di posizionare la fabbrica-trappola come una piccola boutique di prototipazione industriale, che lavora per grandi clienti anonimi nei settori militare e aeronautico. Questo ci ha risparmiato dalle complicazioni legali associate all'uso di un marchio esistente.<\/p>\n

    Successivamente, dovevamo elaborare una visione, una missione e il nome dell'organizzazione. Abbiamo deciso che la nostra azienda sarebbe stata una start-up con un numero limitato di dipendenti, ciascuno dei quali \u00e8 un fondatore. Questo aggiungeva credibilit\u00e0 alla narrazione sulla specializzazione della nostra attivit\u00e0, consentendole di gestire progetti delicati per clienti di grande importanza. Volevamo che la nostra azienda apparisse vulnerabile in termini di cybersecurity, ma allo stesso tempo fosse evidente che lavoravamo con attivi critici nei sistemi target.<\/p>\n

    \"Incredibilmente
    \nScreenshot del sito del honey pot MeTech. Fonte: Trend Micro<\/i><\/p>\n

    Come nome dell'azienda abbiamo scelto la parola MeTech. Il sito \u00e8 stato realizzato utilizzando un modello gratuito. Le immagini sono state prelevate da stock photo, scegliendo quelle meno popolari e modificandole per renderle meno riconoscibili. <\/p>\n

    Volevamo che l'azienda apparisse reale, quindi era necessario aggiungere al suo interno dipendenti con competenze professionali corrispondenti al profilo dell'attivit\u00e0. Abbiamo inventato nomi e personalit\u00e0 per loro e poi abbiamo cercato di scegliere immagini da stock photo in linea con l'appartenenza etnica. <\/p>\n

    \"Incredibilmente
    \nScreenshot del sito del honey pot MeTech. Fonte: Trend Micro<\/i><\/i><\/p>\n

    Per non essere scoperti, cercavamo foto di gruppo di buona qualit\u00e0 da cui poter selezionare i volti desiderati. Tuttavia, poi abbiamo rinunciato a questa opzione, poich\u00e9 un potenziale hacker potrebbe aver utilizzato il reverse image search e scoperto che i nostri \"dipendenti\" esistono solo nei database fotografici. Alla fine, abbiamo utilizzato fotografie di persone inesistenti create tramite reti neurali.<\/p>\n

    I profili dei dipendenti pubblicati sul sito contenevano informazioni importanti sulle loro competenze tecniche, ma evitavamo di menzionare specifiche istituzioni educative e citt\u00e0.
    \nPer creare le caselle di posta, abbiamo utilizzato il server del fornitore di hosting e poi affittato diversi numeri di telefono negli Stati Uniti, integrandoli in un centralino virtuale con menu vocale e segreteria telefonica.<\/p>\n

    L'infrastruttura del honeypot<\/b><\/h3>\n

    \nPer evitare di essere scoperti, abbiamo deciso di utilizzare una combinazione di attrezzature industriali reali, computer fisici e macchine virtuali protette. Anticipiamo che il risultato dei nostri sforzi \u00e8 stato verificato tramite il motore di ricerca Shodan, il quale ha mostrato che il honeypot appare come un vero sistema industriale.<\/p>\n

    \"Incredibilmente
    \nRisultato della scansione del honeypot tramite Shodan. Fonte: Trend Micro<\/i><\/p>\n

    Come \u2018hardware\u2019 per la nostra trappola abbiamo utilizzato quattro PLC:<\/p>\n