{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception attraverso l'esempio di Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Su Habr ci sono gi\u00e0 diversi articoli sulle tecnologie Honeypot e Deception (1 articolo<\/a><\/noindex>, 2 articoli<\/a><\/noindex>). Tuttavia, continuiamo a riscontrare incomprensioni sulla differenza tra queste classi di strumenti di protezione. Per questo i nostri colleghi di Xello Deception<\/a><\/noindex> (primo sviluppatore russo piattaforma Deception<\/a><\/noindex>) hanno deciso di descrivere dettagliatamente le differenze, i vantaggi e le caratteristiche architettoniche di queste soluzioni.<\/p>\n

Esploriamo cosa sono realmente i \u00abhoneypots\u00bb e i \u00abdeception\u00bb:<\/h2>\n

Le \u00abtecnologie di inganno\u00bb (inglese: Deception technology) sono apparse recentemente nel mercato dei sistemi di sicurezza informatica. Tuttavia, alcuni esperti considerano ancora la Security Deception come una versione pi\u00f9 avanzata dei \u00abhoneypot\u00bb (inglese: honeypot). <\/p>\n

In questo articolo cercheremo di descrivere sia le somiglianze che le differenze fondamentali tra queste due soluzioni. Nella prima parte, parleremo di \u00abhoneypot\u00bb, di come si \u00e8 sviluppata questa tecnologia e quali sono i suoi vantaggi e svantaggi. Nella seconda parte, ci soffermeremo dettagliatamente sui principi di funzionamento delle piattaforme per creare infrastrutture distribuite di obiettivi falsi (in inglese, Distributed Deception Platform \u2014 DDP). <\/p>\n

Il principio fondamentale alla base dei honeypots \u00e8 creare trappole per hacker. Sullo stesso principio sono state sviluppate anche le prime soluzioni di Deception. Tuttavia, i moderni DDP superano notevolmente i honeypots sia in termini di funzionalit\u00e0 che di efficacia. Le piattaforme di Deception includono: trappole (inglese: decoys, traps), esche (inglese: lures), applicazioni, dati, database, Active Directory. I moderni DDP possono offrire ampie opportunit\u00e0 per la rilevazione delle minacce, l'analisi degli attacchi e l'automazione delle risposte. <\/p>\n

In questo modo, la Deception rappresenta tecniche di imitazione dell'infrastruttura IT dell'azienda e inganno degli hacker. Di conseguenza, queste piattaforme consentono di fermare gli attacchi prima che possano causare danni significativi agli asset dell'azienda. I honeypots, ovviamente, non possiedono una simile ampiezza di funzionalit\u00e0 e livello di automazione, quindi il loro utilizzo richiede maggiori competenze da parte del personale dei dipartimenti di sicurezza informatica.<\/p>\n

1. Honeypots, Honeynets e Sandboxing: cosa sono e come vengono utilizzati<\/h2>\n

Per la prima volta, il termine \u00abhoneypots\u00bb \u00e8 stato utilizzato nel 1989 nel libro di Clifford Stoll, \u00abThe Cuckoo\u2019s Egg\u00bb, che descrive gli eventi di tracciamento di un hacker presso il Lawrence Berkeley National Laboratory (USA). Questa idea \u00e8 stata realizzata nel 1999 da Lance Spitzner, esperto di sicurezza informatica presso Sun Microsystems, che ha fondato il progetto di ricerca \u00abHoneynet Project\u00bb. I primi honeypots erano molto esigenti in termini di risorse, complessi da configurare e mantenere. <\/p>\n

Esaminiamo pi\u00f9 nel dettaglio cosa sono honeypots <\/strong>e honeynets<\/strong>. Gli honeypot sono host separati il cui scopo \u00e8 attirare gli aggressori a tentare di penetrare nella rete di un'azienda e cercare di rubare dati preziosi, oltre ad ampliare l'ambito della rete. Un honeypot (tradotto letteralmente come \"barile di miele\") \u00e8 un server speciale con un insieme di diversi servizi e protocolli di rete, come HTTP, FTP, ecc. (vedi fig. 1).<\/p>\n

\"Honeypot<\/p>\n

Se uniamo pi\u00f9 honeypots <\/strong>in una rete, otteniamo un sistema gi\u00e0 pi\u00f9 efficace honeynet<\/strong>, che rappresenta un'emulazione della rete aziendale (server web, server file e altri componenti di rete). Questa soluzione consente di comprendere la strategia degli attaccanti e di ingannarli. Un tipico honeynet di solito opera parallelamente alla rete di lavoro e in totale indipendenza da essa. Questa 'rete' pu\u00f2 essere pubblicata su Internet tramite un canale separato, e pu\u00f2 anche essere assegnato un range specifico di indirizzi IP (vedi fig. 2).<\/p>\n

\"Honeypot<\/p>\n

Il significato dell'uso dell'honeynet \u00e8 mostrare all'hacker che \u00e8 presumibilmente penetrato nella rete aziendale dell'organizzazione, mentre in realt\u00e0 l'attaccante si trova in un 'ambiente isolato' e sotto attenta osservazione da parte degli specialisti della sicurezza informatica (vedi fig. 3).<\/p>\n

\"Honeypot<\/p>\n

Qui \u00e8 necessario menzionare anche uno strumento chiamato 'sandbox<\/strong>' (inglese, sandbox<\/strong>), che consente agli aggressori di installare ed eseguire software dannoso in un ambiente isolato, dove gli specialisti IT possono monitorare le loro azioni al fine di identificare potenziali rischi e adottare le necessarie contromisure. Attualmente, il sandboxing \u00e8 solitamente implementato su macchine virtuali dedicate su un host virtuale. Tuttavia, \u00e8 importante sottolineare che il sandboxing mostra solo come si comportano programmi pericolosi e dannosi, mentre una honeynet aiuta lo specialista ad analizzare il comportamento dei \u00abgiocatori pericolosi\u00bb. <\/p>\n

Il vantaggio evidente delle honeynets \u00e8 che ingannano i trasgressori, sprecando le loro forze, risorse e tempo. Di conseguenza, invece di attaccare obiettivi reali, colpiscono falsi e possono interrompere l'attacco alla rete senza raggiungere alcun obiettivo. Le tecnologie honeynets vengono pi\u00f9 frequentemente utilizzate nelle istituzioni governative, nelle grandi corporazioni e nelle organizzazioni finanziarie, poich\u00e9 sono queste strutture a essere oggetto di attacchi informatici di grandi dimensioni. Tuttavia, anche le piccole e medie imprese (PMI) necessitano di strumenti efficaci per prevenire incidenti di sicurezza informatica, ma utilizzare le honeynets nel settore delle PMI non \u00e8 cos\u00ec semplice a causa della mancanza di personale qualificato per questo lavoro complesso.<\/p>\n

Limitazioni delle soluzioni Honeypots e Honeynets<\/u><\/strong><\/p>\n

Perch\u00e9 honeypots e honeynets non sono le migliori soluzioni per contrastare gli attacchi oggi? \u00c8 importante notare che gli attacchi diventano sempre pi\u00f9 ampi, tecnicamente complessi e capaci di infliggere danni seri all'infrastruttura IT di un'organizzazione, mentre la criminalit\u00e0 informatica ha raggiunto un altro livello, rappresentando strutture di business ombra altamente organizzate, dotate di tutte le risorse necessarie. A questo si deve aggiungere il \"fattore umano\" (errori nella configurazione di software e hardware, azioni di insider, ecc.), quindi l'uso esclusivo di tecnologie per prevenire gli attacchi al momento \u00e8 gi\u00e0 insufficiente. <\/p>\n

Di seguito elenchiamo le principali limitazioni e svantaggi dei honeypots (honeynets):<\/p>\n

    \n
  1. \n

    I \"honeypots\" sono stati inizialmente progettati per individuare minacce esterne alla rete aziendale, destinati pi\u00f9 all'analisi del comportamento degli attaccanti e non pensati per una risposta rapida alle minacce. <\/p>\n<\/li>\n

  2. \n

    Gli attaccanti hanno generalmente gi\u00e0 imparato a riconoscere i sistemi emulati e a evitare i honeypots. <\/p>\n<\/li>\n

  3. \n

    Le honeynet (honeypots) hanno un livello di interattivit\u00e0 e interazione con altri sistemi di sicurezza estremamente basso, il che rende difficile ottenere informazioni dettagliate sugli attacchi e sugli aggressori usando questi sistemi, e di conseguenza rispondere in modo efficace e veloce agli incidenti di sicurezza informatica. Inoltre, i professionisti della sicurezza ricevono un alto numero di falsi allarmi sulle minacce. <\/p>\n<\/li>\n

  4. \n

    In alcuni casi, gli hacker possono sfruttare un honeypot compromesso come punto di partenza per continuare l'attacco alla rete dell'organizzazione. <\/p>\n<\/li>\n

  5. \n

    Spesso ci sono problematiche legate alla scalabilit\u00e0 degli honeypot, all'elevato carico operativo e alla configurazione di tali sistemi (richiedono specialisti altamente qualificati e non dispongono di un'interfaccia di gestione user-friendly, ecc.). Ci sono grosse difficolt\u00e0 nel distribuire honeypot in ambienti specializzati come IoT, POS, e nei sistemi cloud.<\/p>\n<\/li>\n<\/ol>\n

    2. Tecnologie di inganno: vantaggi e principi fondamentali di funzionamento<\/h2>\n

    Esaminati tutti i vantaggi e gli svantaggi dei honeypot, giungiamo alla conclusione che \u00e8 necessario un approccio completamente nuovo alla gestione degli incidenti di sicurezza informatica, volto a produrre una risposta rapida e adeguata alle azioni degli attaccanti. E questa soluzione \u00e8 rappresentata dalle tecnologie Cyber deception (Security deception)<\/strong>. <\/p>\n

    La terminologia \u00abCyber deception\u00bb, \u00abSecurity deception\u00bb, \u00abDeception technology\u00bb e \u00abDistributed Deception Platform\u00bb (DDP) \u00e8 relativamente nuova e si \u00e8 sviluppata recentemente. In effetti, tutti questi termini si riferiscono all'uso di \u00abtecnologie di inganno\u00bb o \u00abtecniche di simulazione delle infrastrutture IT e disinformazione degli aggressori\u00bb. Le soluzioni di Deception pi\u00f9 semplici sono un'evoluzione delle idee dei honeypot, ma a un livello tecnologico molto pi\u00f9 avanzato, che prevede una maggiore automazione nella rilevazione e nella risposta alle minacce. Tuttavia, sul mercato ci sono gi\u00e0 soluzioni DDP serie che offrono facilit\u00e0 di distribuzione e scalabilit\u00e0, oltre a disporre di un arsenale significativo di \u00abtrappole\u00bb e \u00abesche\u00bb per gli aggressori. Ad esempio, il Deception consente di emulare oggetti dell'infrastruttura IT come database, workstation, router, switch, bancomat, server e SCADA, attrezzature mediche e IoT. <\/p>\n

    Come funziona la «Distributed Deception Platform»? Dopo il dispiegamento della DDP, l'infrastruttura IT dell'organizzazione sar\u00e0 strutturata come se fosse composta da due strati: il primo strato \u00e8 l'infrastruttura reale dell'azienda, mentre il secondo \u00e8 un ambiente \u00abemulato\u00bb composto da trappole (inglese, decoys, traps) e esche (inglese, lures) disposte su dispositivi fisici reali della rete (vedi fig. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Ad esempio, un attaccante potrebbe imbattersi in falsi database con \u00abdocumenti riservati\u00bb, credenziali false di presunti \u00abutenti privilegiati\u00bb \u2014 tutti questi sono obiettivi falsi, che possono attrarre i trasgressori, distogliendo cos\u00ec la loro attenzione dalle vere risorse informative dell'azienda (vedi fig. 5).<\/p>\n

    \"Honeypot<\/p>\n

    Il DDP \u00e8 una novit\u00e0 nel mercato dei prodotti di sicurezza informatica; queste soluzioni esistono da pochi anni e attualmente solo il settore corporate pu\u00f2 permettersele. Tuttavia, anche le piccole e medie imprese potranno presto usufruire della Deception, noleggiando il DDP da fornitori specializzati, \u00abcome servizio\u00bb. Questa opzione \u00e8 ancora pi\u00f9 comoda poich\u00e9 non \u00e8 necessario avere risorse altamente qualificate interne.<\/p>\n

    Di seguito sono riportati i principali vantaggi della tecnologia Deception:<\/p>\n