ស្ថិតិរយៈពេល 24 ម៉ោងបន្ទាប់ពីដំឡើង honeypot នៅលើថ្នាំង Digital Ocean ក្នុងប្រទេសសិង្ហបុរី

ភីវ ប៉េវ! ចូរចាប់ផ្តើមភ្លាមៗជាមួយនឹងផែនទីវាយប្រហារ

ផែនទីដ៏អស្ចារ្យរបស់យើងបង្ហាញពី ASNs តែមួយគត់ដែលភ្ជាប់ជាមួយ Honeypot Cowrie របស់យើងក្នុងរយៈពេល 24 ម៉ោង។ ពណ៌លឿងតំណាងឱ្យការតភ្ជាប់ SSH ហើយពណ៌ក្រហមតំណាងឱ្យ Telnet ។ គំនូរជីវចលបែបនេះតែងតែចាប់អារម្មណ៍ដល់ក្រុមប្រឹក្សាភិបាលរបស់ក្រុមហ៊ុន ដែលអាចជួយទទួលបានមូលនិធិបន្ថែមសម្រាប់សន្តិសុខ និងធនធាន។ ទោះជាយ៉ាងណាក៏ដោយ ផែនទីមានតម្លៃមួយចំនួន ដោយបង្ហាញយ៉ាងច្បាស់ពីការរីករាលដាលនៃភូមិសាស្ត្រ និងអង្គការនៃប្រភពវាយប្រហារលើម៉ាស៊ីនរបស់យើងក្នុងរយៈពេលត្រឹមតែ 24 ម៉ោងប៉ុណ្ណោះ។ ចលនាមិនឆ្លុះបញ្ចាំងពីចំនួនចរាចរពីប្រភពនីមួយៗទេ។

តើផែនទី Pew Pew គឺជាអ្វី?

ផែនទី Pew Pew - នេះ​គឺជា ការមើលឃើញនៃការវាយប្រហារតាមអ៊ីនធឺណិតជាធម្មតាមានចលនា និងស្រស់ស្អាតខ្លាំងណាស់។ វាជាវិធីដ៏ល្អមួយក្នុងការលក់ផលិតផលរបស់អ្នក ដែលប្រើប្រាស់ដោយក្រុមហ៊ុន Norse Corp. ក្រុមហ៊ុនបានបញ្ចប់យ៉ាងធ្ងន់ធ្ងរ៖ វាបានប្រែក្លាយថា គំនូរជីវចលដ៏ស្រស់ស្អាតគឺជាអត្ថប្រយោជន៍តែមួយគត់របស់ពួកគេ ហើយពួកគេបានប្រើប្រាស់ទិន្នន័យជាបំណែកៗសម្រាប់ការវិភាគ។

ផលិតជាមួយ Leafletjs

សម្រាប់អ្នកដែលចង់រចនាផែនទីវាយប្រហារសម្រាប់អេក្រង់ធំនៅក្នុងមជ្ឈមណ្ឌលប្រតិបត្តិការ (ចៅហ្វាយរបស់អ្នកនឹងចូលចិត្តវា) មានបណ្ណាល័យ ខិត្តប័ណ្ណ. យើងផ្សំវាជាមួយកម្មវិធីជំនួយ ស្រទាប់នៃការផ្លាស់ប្តូរខិត្តប័ណ្ណសេវាកម្ម Maxmind GeoIP - និងបានធ្វើរួច.

WTF: តើនេះជាអ្វី ក្រេមទឹកឃ្មុំ?

Honeypot គឺជាប្រព័ន្ធមួយដែលត្រូវបានដាក់នៅលើបណ្តាញជាពិសេសដើម្បីទាក់ទាញអ្នកវាយប្រហារ។ ការភ្ជាប់ទៅប្រព័ន្ធជាធម្មតាខុសច្បាប់ ហើយអនុញ្ញាតឱ្យអ្នករកឃើញអ្នកវាយប្រហារដោយប្រើកំណត់ហេតុលម្អិត។ កំណត់ហេតុរក្សាទុកមិនត្រឹមតែព័ត៌មានការតភ្ជាប់ធម្មតាប៉ុណ្ណោះទេ ប៉ុន្តែក៏មានព័ត៌មានសម័យដែលបង្ហាញផងដែរ។ បច្ចេកទេស យុទ្ធសាស្ត្រ និងនីតិវិធី (TTP) អ្នកឈ្លានពាន។

Honeypot Cowrie បង្កើតសម្រាប់ កំណត់ត្រាការតភ្ជាប់ SSH និង Telnet. Honeypots បែបនេះជារឿយៗត្រូវបានដាក់នៅលើអ៊ីនធឺណិត ដើម្បីតាមដានឧបករណ៍ ស្គ្រីប និងម៉ាស៊ីនវាយប្រហារ។

សាររបស់ខ្ញុំទៅកាន់ក្រុមហ៊ុនដែលគិតថាពួកគេនឹងមិនត្រូវបានវាយប្រហារ៖ "អ្នកមើលទៅពិបាកណាស់។"
- James Snook

តើមានអ្វីនៅក្នុងកំណត់ហេតុ?

ចំនួនសរុបនៃការតភ្ជាប់

មានការព្យាយាមតភ្ជាប់ម្តងហើយម្តងទៀតពីម៉ាស៊ីនជាច្រើន។ នេះជារឿងធម្មតាទេ ព្រោះស្គ្រីបវាយប្រហារមានបញ្ជីព័ត៌មានពេញលេញ ហើយសាកល្បងបន្សំជាច្រើន។ Cowrie Honeypot ត្រូវបានកំណត់រចនាសម្ព័ន្ធដើម្បីទទួលយកការផ្សំឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់ជាក់លាក់។ នេះត្រូវបានកំណត់រចនាសម្ព័ន្ធនៅក្នុង ឯកសារ user.db.

ភូមិសាស្ត្រនៃការវាយប្រហារ

ដោយប្រើទិន្នន័យទីតាំងភូមិសាស្ត្រ Maxmind ខ្ញុំបានរាប់ចំនួននៃការតភ្ជាប់ពីប្រទេសនីមួយៗ។ ប្រទេសប្រេស៊ីល និងប្រទេសចិននាំមុខគេដោយរឹមធំទូលាយ ហើយជារឿយៗមានសំលេងរំខានជាច្រើនពីម៉ាស៊ីនស្កេនដែលមកពីប្រទេសទាំងនេះ។

ម្ចាស់ប្លុកបណ្តាញ

ការស្រាវជ្រាវម្ចាស់ប្លុកបណ្តាញ (ASN) អាចកំណត់អត្តសញ្ញាណអង្គភាពដែលមានម៉ាស៊ីនវាយប្រហារជាច្រើន។ ជាការពិតណាស់ ក្នុងករណីបែបនេះ អ្នកគួរចងចាំជានិច្ចថា ការវាយប្រហារជាច្រើនបានមកពីម៉ាស៊ីនដែលឆ្លងមេរោគ។ វាសមហេតុផលក្នុងការសន្មត់ថាអ្នកវាយប្រហារភាគច្រើនមិនឆោតល្ងង់គ្រប់គ្រាន់ក្នុងការស្កេនបណ្តាញពីកុំព្យូទ័រនៅផ្ទះ។

បើកច្រកនៅលើប្រព័ន្ធវាយប្រហារ (ទិន្នន័យពី Shodan.io)

ដំណើរការបញ្ជី IP យ៉ាងល្អឥតខ្ចោះ Shodan API កំណត់អត្តសញ្ញាណយ៉ាងឆាប់រហ័ស ប្រព័ន្ធដែលមានច្រកបើកចំហ ហើយតើច្រកទាំងនេះជាអ្វី? រូបខាងក្រោមបង្ហាញពីការប្រមូលផ្តុំនៃច្រកបើកចំហតាមប្រទេស និងអង្គការ។ វាអាចកំណត់អត្តសញ្ញាណប្លុកនៃប្រព័ន្ធសម្របសម្រួល ប៉ុន្តែនៅខាងក្នុង គំរូតូច គ្មានអ្វីអស្ចារ្យអាចមើលឃើញទេ លើកលែងតែមួយចំនួនធំ កំពង់ផែបើកចំនួន 500 នៅក្នុងប្រទេសចិន.

ការរកឃើញគួរឱ្យចាប់អារម្មណ៍មួយគឺប្រព័ន្ធមួយចំនួនធំនៅក្នុងប្រទេសប្រេស៊ីលដែលមាន មិនបើក 22, 23 ឬ ច្រកផ្សេងទៀត។នេះបើយោងតាម ​​​​Censys និង Shodan ។ ជាក់ស្តែងទាំងនេះគឺជាការតភ្ជាប់ពីកុំព្យូទ័រអ្នកប្រើប្រាស់ចុងក្រោយ។

រូបយន្ត? មិន​ចាំបាច់

ទិន្នន័យ សេនស៊ីស សម្រាប់ច្រក 22 និង 23 ពួកគេបានបង្ហាញអ្វីដែលចម្លែកនៅថ្ងៃនោះ។ ខ្ញុំសន្មត់ថាការស្កែន និងការវាយប្រហារពាក្យសម្ងាត់ភាគច្រើនបានមកពី bots ។ ស្គ្រីបរីករាលដាលនៅលើច្រកបើកចំហ ទាយពាក្យសម្ងាត់ និងចម្លងខ្លួនវាពីប្រព័ន្ធថ្មី ហើយបន្តរីករាលដាលដោយប្រើវិធីដូចគ្នា។

ប៉ុន្តែនៅទីនេះ អ្នកអាចមើលឃើញថាមានម៉ាស៊ីនមួយចំនួនតូចដែលស្កែន telnet មានច្រក 23 បើកទៅខាងក្រៅ។ នេះមានន័យថាប្រព័ន្ធត្រូវបានសម្របសម្រួលតាមវិធីផ្សេងទៀត ឬអ្នកវាយប្រហារកំពុងដំណើរការស្គ្រីបដោយដៃ។

ការភ្ជាប់ផ្ទះ

ការរកឃើញគួរឱ្យចាប់អារម្មណ៍មួយទៀតគឺចំនួនអ្នកប្រើប្រាស់តាមផ្ទះយ៉ាងច្រើននៅក្នុងគំរូ។ ដោយប្រើ ការរកមើលបញ្ច្រាស ខ្ញុំបានកំណត់អត្តសញ្ញាណ 105 ការតភ្ជាប់ពីកុំព្យូទ័រផ្ទះជាក់លាក់។ សម្រាប់ការតភ្ជាប់តាមផ្ទះជាច្រើន ការរកមើល DNS បញ្ច្រាសបង្ហាញឈ្មោះម៉ាស៊ីនដោយប្រើពាក្យ dsl, home, cable, fiber និងដូច្នេះនៅលើ។

ស្វែងយល់ និងស្វែងយល់៖ បង្កើន Honeypot ផ្ទាល់ខ្លួនរបស់អ្នក។

ថ្មីៗ​នេះ ខ្ញុំ​បាន​សរសេរ​មេរៀន​ខ្លី​មួយ​អំពី​របៀប​ធ្វើ ដំឡើង Cowrie honeypot នៅលើប្រព័ន្ធរបស់អ្នក។. ដូចដែលបានបញ្ជាក់រួចមកហើយ ក្នុងករណីរបស់យើង យើងបានប្រើ Digital Ocean VPS នៅប្រទេសសិង្ហបុរី។ សម្រាប់ការវិភាគរយៈពេល 24 ម៉ោង ការចំណាយគឺពីរបីសេន ហើយពេលវេលាដើម្បីប្រមូលផ្តុំប្រព័ន្ធគឺ 30 នាទី។

ជំនួសឱ្យការដំណើរការ Cowrie នៅលើអ៊ីនធឺណិត និងចាប់យកសំឡេងរំខានទាំងអស់ អ្នកអាចទទួលបានអត្ថប្រយោជន៍ពី Honeypot នៅលើបណ្តាញក្នុងតំបន់របស់អ្នក។ កំណត់ការជូនដំណឹងឥតឈប់ឈរ ប្រសិនបើសំណើត្រូវបានផ្ញើទៅកាន់ច្រកជាក់លាក់។ នេះគឺជាអ្នកវាយប្រហារនៅក្នុងបណ្តាញ ឬបុគ្គលិកដែលចង់ដឹងចង់ឃើញ ឬការស្កេនភាពងាយរងគ្រោះ។

ការរកឃើញ

បន្ទាប់ពីមើលសកម្មភាពរបស់អ្នកវាយប្រហារក្នុងរយៈពេល XNUMX ម៉ោង វាច្បាស់ថាវាមិនអាចកំណត់អត្តសញ្ញាណប្រភពច្បាស់លាស់នៃការវាយប្រហារនៅក្នុងស្ថាប័នណាមួយ ប្រទេស ឬសូម្បីតែប្រព័ន្ធប្រតិបត្តិការនោះទេ។

ការចែកចាយយ៉ាងទូលំទូលាយនៃប្រភពបង្ហាញថា សំឡេងស្កែនគឺថេរ និងមិនមានទំនាក់ទំនងជាមួយប្រភពជាក់លាក់ណាមួយឡើយ។ នរណាម្នាក់ដែលធ្វើការនៅលើអ៊ីនធឺណិតត្រូវតែធានាថាប្រព័ន្ធរបស់ពួកគេ។ កម្រិតសុវត្ថិភាពជាច្រើន។. ដំណោះស្រាយទូទៅ និងមានប្រសិទ្ធភាពសម្រាប់ SSH សេវាកម្មនឹងផ្លាស់ទីទៅច្រកខ្ពស់ចៃដន្យ។ នេះមិនលុបបំបាត់តម្រូវការសម្រាប់ការការពារ និងការត្រួតពិនិត្យពាក្យសម្ងាត់ដ៏តឹងរឹងនោះទេ ប៉ុន្តែយ៉ាងហោចណាស់ធានាថាកំណត់ហេតុមិនត្រូវបានស្ទះដោយការស្កេនថេរ។ ការតភ្ជាប់ច្រកខ្ពស់ទំនងជាការវាយប្រហារគោលដៅ ដែលអាចជាចំណាប់អារម្មណ៍សម្រាប់អ្នក។

ជាញឹកញាប់ច្រក telnet បើកគឺនៅលើរ៉ោតទ័រ ឬឧបករណ៍ផ្សេងទៀត ដូច្នេះពួកវាមិនអាចផ្លាស់ទីបានយ៉ាងងាយស្រួលទៅកាន់ច្រកខ្ពស់នោះទេ។ ព័ត៌មានអំពីច្រកបើកទាំងអស់។ и ផ្ទៃវាយប្រហារ គឺជាមធ្យោបាយតែមួយគត់ដើម្បីធានាថាសេវាកម្មទាំងនេះត្រូវបានបិទ ឬបិទជញ្ជាំងភ្លើង។ បើអាចធ្វើបាន អ្នកមិនគួរប្រើ Telnet ទាល់តែសោះ ពិធីការនេះមិនត្រូវបានអ៊ិនគ្រីបទេ។ ប្រសិនបើអ្នកត្រូវការវា និងមិនអាចធ្វើបានដោយគ្មានវា សូមតាមដានដោយប្រុងប្រយ័ត្ន ហើយប្រើពាក្យសម្ងាត់ខ្លាំង។

ប្រភព: www.habr.com