სტატისტიკა 24 საათის განმავლობაში სინგაპურის ციფრული ოკეანის კვანძზე honeypot-ის დაყენებიდან

Ფიუ ფიუ! დავიწყოთ მაშინვე თავდასხმის რუქით

ჩვენი სუპერ მაგარი რუკა აჩვენებს უნიკალურ ASN-ებს, რომლებიც დაკავშირებულია ჩვენს Cowrie honeypot-თან 24 საათის განმავლობაში. ყვითელი წარმოადგენს SSH კავშირებს და წითელი წარმოადგენს Telnet-ს. ასეთი ანიმაციები ხშირად შთაბეჭდილებას ახდენს კომპანიის დირექტორთა საბჭოზე, რაც ხელს შეუწყობს უსაფრთხოებისა და რესურსების მეტი დაფინანსების უზრუნველყოფას. თუმცა, რუკას აქვს გარკვეული მნიშვნელობა, ნათლად აჩვენებს თავდასხმის წყაროების გეოგრაფიულ და ორგანიზაციულ გავრცელებას ჩვენს მასპინძელზე სულ რაღაც 24 საათში. ანიმაცია არ ასახავს ტრაფიკის რაოდენობას თითოეული წყაროდან.

რა არის Pew Pew რუკა?

Pew Pew რუკა - რამდენად კიბერშეტევების ვიზუალიზაცია, ჩვეულებრივ ანიმაციური და ძალიან ლამაზი. ეს არის თქვენი პროდუქტის გაყიდვის ლამაზი გზა, რომელსაც სამარცხვინოდ იყენებს Norse Corp. კომპანია ცუდად დასრულდა: აღმოჩნდა, რომ ლამაზი ანიმაციები მათი ერთადერთი უპირატესობა იყო და ანალიზისთვის ფრაგმენტულ მონაცემებს იყენებდნენ.

დამზადებულია Leafletjs-ით

მათთვის, ვისაც სურს შეიმუშაოს თავდასხმის რუკა დიდი ეკრანისთვის ოპერაციების ცენტრში (თქვენს უფროსს ეს მოეწონება), არის ბიბლიოთეკა. ბუკლეტები. ჩვენ ვაკავშირებთ მას დანამატთან ფურცლის მიგრაციის ფენა, Maxmind GeoIP სერვისი - და გაკეთდა.

WTF: რა არის ეს Cowrie honeypot?

Honeypot არის სისტემა, რომელიც განთავსებულია ქსელში სპეციალურად თავდამსხმელების მოსატყუებლად. სისტემასთან კავშირები, როგორც წესი, უკანონოა და საშუალებას გაძლევთ ამოიცნოთ თავდამსხმელი დეტალური ჟურნალების გამოყენებით. ჟურნალები ინახავს არა მხოლოდ რეგულარულ კავშირის ინფორმაციას, არამედ სესიის ინფორმაციას, რომელიც ამჟღავნებს ტექნიკა, ტაქტიკა და პროცედურები (TTP) შემოჭრილი.

Honeypot Cowrie შექმნილია SSH და Telnet კავშირის ჩანაწერები. ასეთი honeypots ხშირად განთავსებულია ინტერნეტში, რათა თვალყური ადევნოთ თავდამსხმელთა ინსტრუმენტებს, სკრიპტებს და მასპინძლებს.

ჩემი მესიჯი კომპანიებს, რომლებიც ფიქრობენ, რომ თავს არ დაესხმებიან: "შენ ძალიან ეძებ."
- ჯეიმს სნუკი

რა წერია ჟურნალებში?

კავშირების საერთო რაოდენობა

იყო არაერთხელ დაკავშირების მცდელობა მრავალი მასპინძლისგან. ეს ნორმალურია, რადგან თავდასხმის სკრიპტებს აქვთ სერთიფიკატების სრული სია და ცდილობენ რამდენიმე კომბინაციას. Cowrie Honeypot კონფიგურირებულია მომხმარებლის სახელისა და პაროლის გარკვეული კომბინაციების მისაღებად. ეს არის კონფიგურირებული user.db ფაილი.

შეტევების გეოგრაფია

Maxmind-ის გეოლოკაციის მონაცემების გამოყენებით, მე დავთვალე კავშირების რაოდენობა თითოეული ქვეყნიდან. ბრაზილია და ჩინეთი ლიდერობენ დიდი სხვაობით და ხშირად არის ბევრი ხმაური ამ ქვეყნებიდან სკანერებიდან.

ქსელის ბლოკის მფლობელი

ქსელის ბლოკების (ASN) მფლობელების კვლევას შეუძლია ორგანიზაციების იდენტიფიცირება, რომლებსაც აქვთ დიდი რაოდენობით თავდამსხმელი ჰოსტები. რა თქმა უნდა, ასეთ შემთხვევებში ყოველთვის უნდა გახსოვდეთ, რომ ბევრი შეტევა ინფიცირებული მასპინძლებისგან მოდის. გონივრულია ვივარაუდოთ, რომ თავდამსხმელების უმეტესობა საკმარისად სულელური არ არის, რომ ქსელის სკანირება მოახდინოს სახლის კომპიუტერიდან.

გახსენით პორტები შემტევ სისტემებზე (მონაცემები Shodan.io-დან)

IP სიის გაშვება შესანიშნავი გზით Shodan API სწრაფად ამოიცნობს სისტემები ღია პორტებით და რა არის ეს პორტები? ქვემოთ მოყვანილი სურათი გვიჩვენებს ღია პორტების კონცენტრაციას ქვეყნებისა და ორგანიზაციის მიხედვით. შესაძლებელი იქნებოდა კომპრომეტირებული სისტემების ბლოკების იდენტიფიცირება, მაგრამ შიგნით მცირე ნიმუში არაფერი გამორჩეული არ ჩანს, გარდა დიდი რაოდენობით 500 ღია პორტი ჩინეთში.

საინტერესო აღმოჩენაა ბრაზილიაში არსებული სისტემების დიდი რაოდენობა არ არის გახსნილი 22, 23 ან სხვა პორტებიCensys-ისა და Shodan-ის მიხედვით. როგორც ჩანს, ეს არის კავშირები საბოლოო მომხმარებლის კომპიუტერებიდან.

ბოტები? Არ არის საჭირო

მონაცემთა ცენსისი 22 და 23 პორტებისთვის მათ აჩვენეს რაღაც უცნაური იმ დღეს. მე ვივარაუდე, რომ სკანირებისა და პაროლის შეტევების უმეტესობა ბოტებიდან მოდის. სკრიპტი ვრცელდება ღია პორტებზე, გამოცნობს პაროლებს და კოპირდება ახალი სისტემიდან და აგრძელებს გავრცელებას იგივე მეთოდით.

მაგრამ აქ ხედავთ, რომ ტელნეტის სკანირების ჰოსტების მხოლოდ მცირე რაოდენობას აქვს პორტი 23 ღია გარედან. ეს ნიშნავს, რომ სისტემები ან სხვაგვარად არის დაზიანებული, ან თავდამსხმელები აწარმოებენ სკრიპტებს ხელით.

სახლის კავშირები

კიდევ ერთი საინტერესო აღმოჩენა იყო ნიმუშში სახლის მომხმარებლების დიდი რაოდენობა. Გამოყენებით საპირისპირო ძიება მე დავადგინე 105 კავშირი კონკრეტული სახლის კომპიუტერებიდან. მრავალი სახლის კავშირისთვის, საპირისპირო DNS ძიება აჩვენებს ჰოსტის სახელს სიტყვებით dsl, home, cable, fiber და ა.შ.

ისწავლეთ და გამოიკვლიეთ: გაზარდეთ თქვენი საკუთარი Honeypot

ცოტა ხნის წინ დავწერე მოკლე გაკვეთილი, თუ როგორ უნდა დააინსტალირეთ Cowrie honeypot თქვენს სისტემაზე. როგორც უკვე აღვნიშნეთ, ჩვენს შემთხვევაში გამოვიყენეთ Digital Ocean VPS სინგაპურში. 24 საათის ანალიზის ღირებულება იყო ფაქტიურად რამდენიმე ცენტი, ხოლო სისტემის აწყობის დრო იყო 30 წუთი.

იმის ნაცვლად, რომ Cowrie ინტერნეტში გაუშვათ და მთელი ხმაური დაიჭიროთ, შეგიძლიათ ისარგებლოთ honeypot-ით თქვენს ლოკალურ ქსელში. მუდმივად დააყენეთ შეტყობინება, თუ მოთხოვნები იგზავნება გარკვეულ პორტებში. ეს არის ან თავდამსხმელი ქსელის შიგნით, ან ცნობისმოყვარე თანამშრომელი, ან დაუცველობის სკანირება.

დასკვნები

თავდამსხმელთა მოქმედებების 24 საათის განმავლობაში დათვალიერების შემდეგ, ცხადი ხდება, რომ შეუძლებელია თავდასხმების მკაფიო წყაროს იდენტიფიცირება რომელიმე ორგანიზაციაში, ქვეყანაში ან თუნდაც ოპერაციულ სისტემაში.

წყაროების ფართო განაწილება აჩვენებს, რომ სკანირების ხმაური მუდმივია და არ არის დაკავშირებული კონკრეტულ წყაროსთან. ვინც მუშაობს ინტერნეტში, უნდა უზრუნველყოს, რომ მათი სისტემა უსაფრთხოების რამდენიმე დონე. საერთო და ეფექტური გამოსავალი სშჰ სერვისი გადავა შემთხვევით მაღალ პორტში. ეს არ გამორიცხავს პაროლის მკაცრი დაცვისა და მონიტორინგის აუცილებლობას, მაგრამ მაინც უზრუნველყოფს, რომ ჟურნალები არ დაიბლოკოს მუდმივი სკანირებით. მაღალი პორტის კავშირები უფრო სავარაუდოა, რომ იყოს მიზანმიმართული თავდასხმები, რაც შეიძლება თქვენთვის საინტერესო იყოს.

ხშირად ღია ტელნეტის პორტები მარშრუტიზატორებზე ან სხვა მოწყობილობებზეა, ამიტომ მათი ადვილად გადატანა მაღალ პორტში შეუძლებელია. ინფორმაცია ყველა ღია პორტის შესახებ и თავდასხმის ზედაპირი ეს არის ერთადერთი გზა იმის უზრუნველსაყოფად, რომ ეს სერვისები დაცულია ან გამორთულია. თუ შესაძლებელია, თქვენ საერთოდ არ უნდა გამოიყენოთ Telnet; ეს პროტოკოლი არ არის დაშიფრული. თუ ეს გჭირდებათ და ამის გარეშე არ შეგიძლიათ, მაშინ ყურადღებით დააკვირდით მას და გამოიყენეთ ძლიერი პაროლები.

წყარო: www.habr.com