Xello를 예로 사용한 허니팟과 디셉션

허니팟과 디셉션 기술에 관한 Habré의 기사는 이미 여러 개 있습니다(1 기사, 2 기사). 그러나 우리는 여전히 이러한 보호 장비 등급 간의 차이점에 대한 이해가 부족합니다. 이를 위해 우리 동료들은 안녕 속임수 (러시아 최초의 개발자 플랫폼 속임수) 이러한 솔루션의 차이점, 장점 및 아키텍처 기능을 자세히 설명하기로 결정했습니다.

"허니팟"과 "기만"이 무엇인지 알아 보겠습니다.

비교적 최근에 정보 보안 시스템 시장에 "기만 기술"이 등장했습니다. 그러나 일부 전문가들은 여전히 ​​보안기만을 더욱 발전된 허니팟으로 간주합니다.

이 기사에서는 이 두 솔루션 간의 유사점과 근본적인 차이점을 모두 강조하려고 노력할 것입니다. 첫 번째 부분에서는 허니팟(Honeypot)에 대해 이야기하고, 이 기술이 어떻게 발전했으며, 장점과 단점은 무엇인지 알아보겠습니다. 그리고 두 번째 부분에서는 미끼의 분산 인프라를 생성하기 위한 플랫폼(영어, Distributed Deception Platform - DDP)의 운영 원칙에 대해 자세히 설명합니다.

허니팟의 기본 원칙은 해커를 위한 함정을 만드는 것입니다. 최초의 디셉션 솔루션도 동일한 원리로 개발되었습니다. 그러나 최신 DDP는 기능과 효율성 측면에서 허니팟보다 훨씬 뛰어납니다. 속임수 플랫폼에는 미끼, 함정, 미끼, 애플리케이션, 데이터, 데이터베이스, Active Directory가 포함됩니다. 최신 DDP는 위협 탐지, 공격 분석, 대응 자동화를 위한 강력한 기능을 제공할 수 있습니다.

따라서 Deception은 기업의 IT 인프라를 시뮬레이션하고 해커를 오도하는 기술입니다. 결과적으로 이러한 플랫폼을 사용하면 회사 자산에 심각한 피해를 입히기 전에 공격을 중지할 수 있습니다. 물론 허니팟에는 그렇게 광범위한 기능과 자동화 수준이 없기 때문에 이를 사용하려면 정보 보안 부서 직원의 더 많은 자격이 필요합니다.

1. 허니팟, 허니넷 및 샌드박싱: 정의 및 사용 방법

"허니팟"이라는 용어는 1989년 미국 로렌스 버클리 국립 연구소에서 해커를 추적하는 사건을 설명하는 Clifford Stoll의 저서 "The Cuckoo's Egg"에서 처음 사용되었습니다. 이 아이디어는 Honeynet Project 연구 프로젝트를 설립한 Sun Microsystems의 정보 보안 전문가인 Lance Spitzner에 의해 1999년에 실행되었습니다. 첫 번째 허니팟은 리소스 집약적이었고 설정 및 유지 관리가 어려웠습니다.

그것이 무엇인지 자세히 살펴 보겠습니다. 허니팟 и 허니넷. 허니팟은 공격자가 회사의 네트워크에 침투하여 귀중한 데이터를 훔치도록 유도하고 네트워크의 적용 범위를 확장하는 것이 목적인 개별 호스트입니다. 허니팟(문자 그대로 "꿀통"으로 번역됨)은 HTTP, FTP 등과 같은 다양한 네트워크 서비스 및 프로토콜 세트를 갖춘 특수 서버입니다. (그림 1 참조).

여러 개를 합치면 허니팟 네트워크에 추가하면 보다 효율적인 시스템을 얻을 수 있습니다. 허니넷는 회사의 기업 네트워크(웹 서버, 파일 서버 및 기타 네트워크 구성 요소)를 에뮬레이션한 것입니다. 이 솔루션을 사용하면 공격자의 전략을 이해하고 오도할 수 있습니다. 일반적인 허니넷은 일반적으로 작업 네트워크와 병렬로 작동하며 완전히 독립적입니다. 이러한 "네트워크"는 별도의 채널을 통해 인터넷에 게시될 수 있으며, 이에 대해 별도의 IP 주소 범위를 할당할 수도 있습니다(그림 2 참조).

허니넷을 사용하는 목적은 해커에게 자신이 조직의 기업 네트워크에 침투했다는 사실을 보여주는 것입니다. 실제로 공격자는 "격리된 환경"에 있으며 정보 보안 전문가의 긴밀한 감독을 받고 있습니다(그림 3 참조).

여기서는 다음과 같은 도구도 언급해야 합니다.샌드 박스"(영어, 모래 상자)를 통해 공격자는 IT가 자신의 활동을 모니터링하여 잠재적인 위험을 식별하고 적절한 대응 조치를 취할 수 있는 격리된 환경에서 악성 코드를 설치하고 실행할 수 있습니다. 현재 샌드박싱은 일반적으로 가상 호스트의 전용 가상 머신에서 구현됩니다. 그러나 샌드박싱은 위험하고 악의적인 프로그램이 어떻게 작동하는지 보여줄 뿐인 반면, 허니넷은 전문가가 "위험한 플레이어"의 행동을 분석하는 데 도움이 된다는 점에 유의해야 합니다.

허니넷의 명백한 이점은 공격자를 오도하여 에너지, 자원 및 시간을 낭비한다는 것입니다. 결과적으로 실제 대상이 아닌 거짓 대상을 공격하고 아무 것도 달성하지 못한 채 네트워크 공격을 중단할 수 있습니다. 대부분의 경우 허니넷 기술은 정부 기관, 대기업, 금융 기관에서 사용됩니다. 이는 주요 사이버 공격의 대상이 되는 구조이기 때문입니다. 그러나 중소기업(SMB) 역시 정보보안 사고를 예방하기 위한 효과적인 도구가 필요하지만, 중소기업 부문의 허니넷은 이러한 복잡한 업무를 수행할 수 있는 자격을 갖춘 인력이 부족하여 활용하기가 그리 쉽지 않습니다.

허니팟 및 허니넷 솔루션의 한계

허니팟과 허니넷이 오늘날 공격에 대응하는 최고의 솔루션이 아닌 이유는 무엇입니까? 공격은 점점 더 규모가 커지고 기술적으로 복잡해지고 있으며 조직의 IT 인프라에 심각한 피해를 입힐 수 있으며, 사이버 범죄는 완전히 다른 수준에 도달했으며 필요한 모든 리소스를 갖춘 고도로 조직화된 섀도우 비즈니스 구조를 나타냅니다. 여기에 "인적 요소"(소프트웨어 및 하드웨어 설정의 오류, 내부자의 행동 등)가 추가되어야 하므로 현재 공격을 방지하기 위해 기술만을 사용하는 것만으로는 더 이상 충분하지 않습니다.

아래에는 허니팟(허니넷)의 주요 제한 사항과 단점이 나열되어 있습니다.

1. 허니팟은 원래 기업 네트워크 외부에 있는 위협을 식별하기 위해 개발되었으며 공격자의 행동을 분석하기 위한 것이지 위협에 신속하게 대응하도록 설계되지 않았습니다.

2. 일반적으로 공격자는 에뮬레이트된 시스템을 인식하고 허니팟을 피하는 방법을 이미 배웠습니다.

3. 허니넷(허니팟)은 다른 보안 시스템과의 상호 작용성 및 상호 작용 수준이 극히 낮기 때문에 허니팟을 사용하면 공격자 및 공격자에 대한 자세한 정보를 얻기 어렵기 때문에 정보 보안 사고에 효과적이고 신속하게 대응할 수 있습니다. . 또한 정보 보안 전문가는 수많은 허위 위협 경고를 받습니다.

4. 어떤 경우에는 해커가 손상된 허니팟을 출발점으로 사용하여 조직의 네트워크에 대한 공격을 계속할 수도 있습니다.

5. 허니팟의 확장성, 높은 운영 부하 및 이러한 시스템의 구성(고품질의 전문가가 필요하고 편리한 관리 인터페이스가 없는 등)으로 인해 문제가 자주 발생합니다. IoT, POS, 클라우드 시스템 등 전문적인 환경에서는 허니팟을 구축하는데 큰 어려움이 있습니다.

2. 기만 기술: 장점 및 기본 작동 원리

허니팟의 모든 장단점을 연구한 결과, 공격자의 행동에 신속하고 적절하게 대응하려면 정보 보안 사고에 대응하는 완전히 새로운 접근 방식이 필요하다는 결론에 도달했습니다. 그리고 그러한 해결책은 기술이다 사이버기만(보안기만).

'사이버기만', '보안기만', '기만기술', '분산기만플랫폼'(DDP)이라는 용어는 비교적 새로운 용어로 등장한 지 얼마 되지 않았다. 실제로 이러한 모든 용어는 "기만 기술" 또는 "IT 인프라 시뮬레이션 및 공격자의 허위 정보를 위한 기술"의 사용을 의미합니다. 가장 간단한 속임수 솔루션은 허니팟 아이디어를 개발한 것으로, 위협 탐지 및 대응을 더욱 자동화하는 기술적으로 더 발전된 수준입니다. 그러나 배포 및 확장이 쉽고 공격자를 위한 강력한 "함정"과 "미끼"를 갖춘 심각한 DDP급 솔루션이 이미 시장에 나와 있습니다. 예를 들어 Deception을 사용하면 데이터베이스, 워크스테이션, 라우터, 스위치, ATM, 서버 및 SCADA, 의료 장비 및 IoT와 같은 IT 인프라 개체를 에뮬레이션할 수 있습니다.

분산기만 플랫폼은 어떻게 작동하나요? DDP가 배포된 후 조직의 IT 인프라는 두 개의 레이어로 구성된 것처럼 구축됩니다. 첫 번째 레이어는 회사의 실제 인프라이고 두 번째 레이어는 미끼와 미끼로 구성된 "에뮬레이션된" 환경입니다. 실제 물리적 네트워크 장치에서(그림 4 참조)

예를 들어, 공격자는 "기밀 문서"가 포함된 허위 데이터베이스, "권한이 있는 사용자"로 추정되는 가짜 자격 증명을 발견할 수 있습니다. 이 모든 것은 위반자의 관심을 끌 수 있는 미끼이므로 회사의 실제 정보 자산에서 관심을 돌릴 수 있습니다(그림 5 참조).

DDP는 정보 보안 제품 시장의 새로운 제품으로, 이러한 솔루션은 불과 몇 년 밖에 되지 않았으며 지금까지는 기업 부문에서만 이를 감당할 수 있습니다. 그러나 중소기업도 곧 전문 공급업체로부터 DDP를 '서비스'로 임대하여 Deception을 활용할 수 있게 될 것입니다. 이 옵션은 높은 자격을 갖춘 인력이 필요하지 않기 때문에 훨씬 더 편리합니다.

Deception 기술의 주요 장점은 다음과 같습니다.

• 진정성 (진정성). 디셉션 기술은 운영 체제, IoT, POS, 전문 시스템(의료, 산업 등), 서비스, 애플리케이션, 자격 증명 등을 질적으로 에뮬레이션하여 기업의 완전히 실제적인 IT 환경을 재현할 수 있습니다. 미끼는 작업 환경과 조심스럽게 혼합되므로 공격자는 이를 허니팟으로 식별할 수 없습니다.

• 구현. DDP는 업무에 머신러닝(ML)을 사용합니다. ML의 도움으로 설정의 단순성, 유연성 및 디셉션 구현의 효율성이 보장됩니다. "트랩"과 "미끼"는 매우 빠르게 업데이트되어 공격자를 회사의 "가짜" IT 인프라로 유인하며, 그 동안 인공 지능을 기반으로 한 고급 분석 시스템은 해커의 활동적인 행동을 탐지하고 예방할 수 있습니다(예: Active Directory 기반 사기 계정에 액세스를 시도합니다.

• 간편한 조작. 최신 분산 디셉션 플랫폼은 유지 관리가 쉽습니다. 일반적으로 로컬 또는 클라우드 콘솔을 통해 관리되며, API를 통한 기업 SOC(보안 운영 센터)와의 통합 기능과 기존의 다양한 보안 제어 기능을 갖추고 있습니다. DDP의 유지관리 및 운영에는 고도의 자격을 갖춘 정보보안 전문가의 서비스가 필요하지 않습니다.

• 확장성. 보안기만은 물리적, 가상 및 클라우드 환경에 배포될 수 있습니다. DDP는 IoT, ICS, POS, SWIFT 등과 같은 전문 환경에서도 성공적으로 작동합니다. 고급 디셉션 플랫폼은 전체 플랫폼을 추가로 배포할 필요 없이 원격 사무실과 격리된 환경에 "디셉션 기술"을 투사할 수 있습니다.

• 상호 작용. 실제 운영 체제를 기반으로 하고 실제 IT 인프라에 교묘하게 배치된 강력하고 매력적인 미끼를 사용하여 Deception 플랫폼은 공격자에 대한 광범위한 정보를 수집합니다. 그런 다음 DDP는 위협 경고가 전송되고, 보고서가 생성되며, 정보 보안 사고에 자동으로 대응하도록 보장합니다.

• 공격 시작 지점. 현대의 Deception에서는 함정과 미끼가 네트워크 외부가 아닌 네트워크 범위 내에 배치됩니다(허니팟의 경우처럼). 이 미끼 배포 모델은 공격자가 회사의 실제 IT 인프라를 공격하기 위한 활용 지점으로 이를 사용하는 것을 방지합니다. Deception 클래스의 고급 솔루션에는 트래픽 라우팅 기능이 있으므로 모든 공격자 트래픽을 특별한 전용 연결을 통해 전달할 수 있습니다. 이를 통해 귀중한 회사 자산을 위험에 빠뜨리지 않고 공격자의 활동을 분석할 수 있습니다.

• '기만 기술'의 설득력. 공격 초기 단계에서 공격자는 IT 인프라에 대한 데이터를 수집 및 분석한 후 이를 활용하여 기업 네트워크를 수평적으로 이동합니다. "기만 기술"의 도움으로 공격자는 조직의 실제 자산에서 멀어지게 하는 "함정"에 빠질 것입니다. DDP는 기업 네트워크의 자격 증명에 액세스할 수 있는 잠재적인 경로를 분석하고 공격자에게 실제 자격 증명 대신 "유인 대상"을 제공합니다. 허니팟 기술에서는 이러한 기능이 매우 부족했습니다. (그림 6 참조)

속임수 VS 허니팟

그리고 마지막으로 우리는 연구에서 가장 흥미로운 순간에 이르렀습니다. 우리는 Deception과 Honeypot 기술의 주요 차이점을 강조하려고 노력할 것입니다. 몇 가지 유사점에도 불구하고 이 두 기술은 근본적인 아이디어부터 운영 효율성까지 여전히 매우 다릅니다.

1. 다양한 기본 아이디어. 위에서 쓴 것처럼 허니팟은 귀중한 회사 자산(회사 네트워크 외부) 주위에 "미끼"로 설치되어 공격자의 주의를 분산시키려고 합니다. 허니팟 기술은 조직의 인프라에 대한 이해를 기반으로 하지만 허니팟은 회사 네트워크에 대한 공격을 시작하는 출발점이 될 수 있습니다. 디셉션 기술은 공격자의 관점을 고려하여 개발되어 공격을 조기에 식별할 수 있으므로 정보보안 전문가는 공격자보다 상당한 우위를 확보하고 시간을 벌 수 있습니다.

2. '매력' VS '혼란'. 허니팟을 사용할 때 성공 여부는 공격자의 관심을 끌고 더 나아가 허니팟의 대상으로 이동하도록 동기를 부여하는 데 달려 있습니다. 이는 공격자가 그를 막기 전에 허니팟에 도달해야 함을 의미합니다. 따라서 네트워크에 공격자가 존재하면 수개월 이상 지속될 수 있으며 이로 인해 데이터 유출 및 손상이 발생합니다. DDP는 질적으로 회사의 실제 IT 인프라를 모방합니다. 구현 목적은 공격자의 주의를 끌 뿐만 아니라 공격자가 시간과 자원을 낭비하도록 혼란스럽게 하는 것입니다. 그러나 실제 자산에 접근할 수는 없습니다. 회사.

3. “제한된 확장성” VS “자동 확장성”. 앞서 언급했듯이 허니팟과 허니넷에는 확장 문제가 있습니다. 이는 어렵고 비용이 많이 들며 기업 시스템의 허니팟 수를 늘리기 위해서는 새로운 컴퓨터와 OS를 추가하고 라이센스를 구입하고 IP를 할당해야 합니다. 또한, 이러한 시스템을 관리하려면 자격을 갖춘 인력이 필요합니다. 큰 오버헤드 없이 인프라 확장에 따라 속임수 플랫폼이 자동으로 배포됩니다.

4. “오탐이 많다” VS “오탐이 없다”. 문제의 본질은 단순한 사용자라도 허니팟을 접할 수 있다는 것입니다. 따라서 이 기술의 "단점"은 정보 보안 전문가의 업무를 방해하는 오탐이 많다는 것입니다. DDP의 "미끼"와 "트랩"은 일반 사용자에게 조심스럽게 숨겨져 있으며 공격자만을 위해 설계되었습니다. 따라서 이러한 시스템의 모든 신호는 오탐이 아닌 실제 위협에 대한 알림입니다.

결론

우리 의견으로는 Deception 기술은 이전 Honeypots 기술에 비해 크게 개선되었습니다. 본질적으로 DDP는 배포와 관리가 쉬운 종합 보안 플랫폼이 되었습니다.

이 등급의 최신 플랫폼은 네트워크 위협을 정확하게 감지하고 효과적으로 대응하는 데 중요한 역할을 하며, 보안 스택의 다른 구성 요소와의 통합으로 자동화 수준이 향상되고 사고 대응의 효율성과 효과가 높아집니다. 디셉션 플랫폼은 신뢰성, 확장성, 관리 용이성 및 다른 시스템과의 통합을 기반으로 합니다. 이 모든 것이 정보 보안 사고에 대한 대응 속도에 상당한 이점을 제공합니다.

또한 Xello Deception 플랫폼을 구현하거나 시범 운영한 기업의 침투 테스트를 관찰한 결과, 숙련된 침투 테스터라도 기업 네트워크의 미끼를 인식하지 못하고 함정에 빠지면 실패하는 경우가 많다는 결론을 내릴 수 있습니다. 이 사실은 Deception의 효율성과 미래에 이 기술에 대한 큰 전망을 다시 한 번 확인시켜 줍니다.

제품 테스트

Deception 플랫폼에 관심이 있다면 우리는 준비되어 있습니다 공동 테스트를 실시하다.

우리 채널(텔레그램, 페이스북, VK, TS 솔루션 블로그)!

출처 : habr.com