ສະຖິຕິສໍາລັບ 24 ຊົ່ວໂມງຫຼັງຈາກການຕິດຕັ້ງ honeypot ໃນ node Digital Ocean ໃນສິງກະໂປ

ພີວພາວ! ໃຫ້ເລີ່ມຕົ້ນທັນທີກັບແຜນທີ່ການໂຈມຕີ

ແຜນ​ທີ່​ທີ່​ດີ​ເລີດ​ຂອງ​ພວກ​ເຮົາ​ສະ​ແດງ​ໃຫ້​ເຫັນ ASNs ເປັນ​ເອ​ກະ​ລັກ​ທີ່​ເຊື່ອມ​ຕໍ່​ກັບ Honeypot Cowrie ຂອງ​ພວກ​ເຮົາ​ພາຍ​ໃນ 24 ຊົ່ວ​ໂມງ​. ສີເຫຼືອງກົງກັບການເຊື່ອມຕໍ່ SSH, ແລະສີແດງກົງກັບ Telnet. ພາບເຄື່ອນໄຫວດັ່ງກ່າວມັກຈະສ້າງຄວາມປະທັບໃຈໃຫ້ແກ່ຄະນະກໍາມະການຂອງບໍລິສັດ, ເຊິ່ງສາມາດຊ່ວຍໃຫ້ເງິນທຶນເພີ່ມເຕີມສໍາລັບຄວາມປອດໄພແລະຊັບພະຍາກອນ. ຢ່າງໃດກໍຕາມ, ແຜນທີ່ມີມູນຄ່າບາງຢ່າງ, ສະແດງໃຫ້ເຫັນຢ່າງຊັດເຈນການແຜ່ກະຈາຍທາງພູມສາດແລະອົງການຈັດຕັ້ງຂອງແຫຼ່ງການໂຈມຕີຢູ່ໃນເຈົ້າພາບຂອງພວກເຮົາໃນເວລາພຽງ 24 ຊົ່ວໂມງ. ພາບເຄື່ອນໄຫວບໍ່ໄດ້ສະທ້ອນເຖິງປະລິມານການຈະລາຈອນຈາກແຕ່ລະແຫຼ່ງ.

ແຜນທີ່ Pew Pew ແມ່ນຫຍັງ?

ແຜນທີ່ Pew Pew - ນີ້​ແມ່ນ ການສະແດງພາບຂອງການໂຈມຕີທາງອິນເຕີເນັດ, ປົກກະຕິແລ້ວມີການເຄື່ອນໄຫວແລະງາມຫຼາຍ. ມັນ​ເປັນ​ວິ​ທີ​ທີ່​ສວຍ​ງາມ​ໃນ​ການ​ຂາຍ​ຜະ​ລິດ​ຕະ​ພັນ​ຂອງ​ທ່ານ​, ການ​ນໍາ​ໃຊ້ infamously ໂດຍ Norse Corp​. ບໍລິສັດໄດ້ສິ້ນສຸດລົງທີ່ບໍ່ດີ: ມັນໄດ້ຫັນອອກວ່າພາບເຄື່ອນໄຫວທີ່ສວຍງາມແມ່ນປະໂຫຍດດຽວຂອງພວກເຂົາ, ແລະພວກເຂົາໃຊ້ຂໍ້ມູນຊິ້ນສ່ວນເພື່ອການວິເຄາະ.

ເຮັດດ້ວຍ Leafletjs

ສໍາລັບຜູ້ທີ່ຕ້ອງການອອກແບບແຜນທີ່ການໂຈມຕີສໍາລັບຫນ້າຈໍຂະຫນາດໃຫຍ່ໃນສູນປະຕິບັດງານ (ນາຍຈ້າງຂອງທ່ານຈະຮັກມັນ), ມີຫ້ອງສະຫມຸດ ໃບຍ່ອຍ. ພວກເຮົາສົມທົບມັນກັບ plugin ຊັ້ນການຍ້າຍໃບຍ່ອຍ, ບໍລິການ Maxmind GeoIP - ແລະເຮັດແລ້ວ.

WTF: ນ້ຳເຜິ້ງ Cowrie ນີ້ແມ່ນຫຍັງ?

Honeypot ແມ່ນລະບົບທີ່ວາງໄວ້ໃນເຄືອຂ່າຍໂດຍສະເພາະເພື່ອລໍ້ລວງຜູ້ໂຈມຕີ. ການເຊື່ອມຕໍ່ກັບລະບົບປົກກະຕິແລ້ວແມ່ນຜິດກົດຫມາຍແລະອະນຸຍາດໃຫ້ທ່ານສາມາດກວດພົບຜູ້ໂຈມຕີໂດຍໃຊ້ບັນທຶກລາຍລະອຽດ. ບັນທຶກເກັບຮັກສາບໍ່ພຽງແຕ່ຂໍ້ມູນການເຊື່ອມຕໍ່ປົກກະຕິ, ແຕ່ຍັງຂໍ້ມູນກອງປະຊຸມທີ່ເປີດເຜີຍ ເຕັກນິກ, ຍຸດທະວິທີ ແລະ ຂັ້ນຕອນ (TTP) ຜູ້ບຸກລຸກ.

Honeypot Cowrie ສ້າງຂື້ນເພື່ອ ບັນທຶກການເຊື່ອມຕໍ່ SSH ແລະ Telnet. honeypots ດັ່ງກ່າວມັກຈະຖືກໃສ່ໃນອິນເຕີເນັດເພື່ອຕິດຕາມເຄື່ອງມື, scripts ແລະ hosts ຂອງການໂຈມຕີ.

ຂໍ້ຄວາມຂອງຂ້ອຍຕໍ່ບໍລິສັດທີ່ຄິດວ່າພວກເຂົາຈະບໍ່ຖືກໂຈມຕີ: "ເຈົ້າຊອກຫາຍາກ."
— James Snook

ແມ່ນຫຍັງຢູ່ໃນໄມ້ທ່ອນ?

ຈໍານວນການເຊື່ອມຕໍ່ທັງຫມົດ

ມີການພະຍາຍາມເຊື່ອມຕໍ່ຊ້ຳໆຈາກຫຼາຍເຈົ້າພາບ. ນີ້ແມ່ນເລື່ອງປົກກະຕິ, ນັບຕັ້ງແຕ່ສະຄຣິບການໂຈມຕີມີລາຍຊື່ເຕັມຂອງຂໍ້ມູນປະຈໍາຕົວແລະພະຍາຍາມປະສົມປະສານຫຼາຍອັນ. Cowrie Honeypot ຖືກຕັ້ງຄ່າໃຫ້ຍອມຮັບການປະສົມຊື່ຜູ້ໃຊ້ ແລະລະຫັດຜ່ານທີ່ແນ່ນອນ. ນີ້​ແມ່ນ​ການ​ຕັ້ງ​ຄ່າ​ໃນ​ ໄຟລ໌ user.db.

ພູມສາດຂອງການໂຈມຕີ

ການນໍາໃຊ້ຂໍ້ມູນພູມສັນຖານ Maxmind, ຂ້າພະເຈົ້າໄດ້ນັບຈໍານວນການເຊື່ອມຕໍ່ຈາກແຕ່ລະປະເທດ. ປະເທດບຣາຊິນແລະຈີນນໍາພາໂດຍຂອບກວ້າງ, ແລະມັກຈະມີສຽງດັງຫຼາຍຈາກເຄື່ອງສະແກນທີ່ມາຈາກປະເທດເຫຼົ່ານີ້.

ເຈົ້າຂອງບລັອກເຄືອຂ່າຍ

ການຄົ້ນຄວ້າເຈົ້າຂອງບລັອກເຄືອຂ່າຍ (ASN) ສາມາດກໍານົດອົງການຈັດຕັ້ງທີ່ມີຈໍານວນເຈົ້າພາບການໂຈມຕີຫຼາຍ. ແນ່ນອນ, ໃນກໍລະນີດັ່ງກ່າວ, ທ່ານຄວນຈື່ໄວ້ສະເຫມີວ່າການໂຈມຕີຈໍານວນຫຼາຍມາຈາກເຈົ້າພາບທີ່ຕິດເຊື້ອ. ມັນສົມເຫດສົມຜົນທີ່ຈະສົມມຸດວ່າຜູ້ໂຈມຕີສ່ວນໃຫຍ່ບໍ່ໂງ່ພຽງພໍທີ່ຈະສະແກນເຄືອຂ່າຍຈາກຄອມພິວເຕີຢູ່ເຮືອນ.

ເປີດພອດໃນລະບົບການໂຈມຕີ (ຂໍ້ມູນ Shodan.io)

ແລ່ນບັນຊີ IP ຜ່ານທີ່ດີເລີດ Shodan API ກໍານົດຢ່າງໄວວາ ລະບົບທີ່ມີພອດເປີດ ແລະປະເພດໃດແດ່ຂອງທ່າເຮືອເຫຼົ່ານີ້ແມ່ນ. ຮູບຂ້າງລຸ່ມນີ້ສະແດງໃຫ້ເຫັນຄວາມເຂັ້ມຂຸ້ນຂອງທ່າເຮືອທີ່ເປີດໂດຍປະເທດແລະອົງການຈັດຕັ້ງ. ມັນເປັນໄປໄດ້ທີ່ຈະກໍານົດຕັນຂອງລະບົບທີ່ຖືກທໍາລາຍ, ແຕ່ພາຍໃນ ຕົວຢ່າງຂະຫນາດນ້ອຍ ບໍ່ມີຫຍັງທີ່ໂດດເດັ່ນແມ່ນເຫັນໄດ້, ຍົກເວັ້ນຈໍານວນຂະຫນາດໃຫຍ່ 500 ທ່າ​ເຮືອ​ເປີດ​ຢູ່​ໃນ​ປະ​ເທດ​ຈີນ​.

ການຄົ້ນຫາທີ່ຫນ້າສົນໃຈແມ່ນລະບົບຈໍານວນຫລາຍໃນປະເທດບຣາຊິນທີ່ມີ ບໍ່ເປີດ 22, 23 ຫຼື ທ່າເຮືອອື່ນໆ, ອີງຕາມ Censys ແລະ Shodan. ປາກົດຂື້ນວ່າເຫຼົ່ານີ້ແມ່ນການເຊື່ອມຕໍ່ຈາກຄອມພິວເຕີຜູ້ໃຊ້ສຸດທ້າຍ.

ບັອດ? ບໍ່​ຈໍາ​ເປັນ

ຂໍ້ມູນ ເຊັນຊີ ສໍາລັບທ່າເຮືອ 22 ແລະ 23 ພວກເຂົາໄດ້ສະແດງສິ່ງທີ່ແປກປະຫລາດໃນມື້ນັ້ນ. ຂ້ອຍສົມມຸດວ່າການສະແກນແລະການໂຈມຕີລະຫັດຜ່ານສ່ວນໃຫຍ່ແມ່ນມາຈາກ bots. script ແຜ່ຂະຫຍາຍຜ່ານພອດເປີດ, ຄາດເດົາລະຫັດຜ່ານ, ແລະຄັດລອກຕົວມັນເອງຈາກລະບົບໃຫມ່ແລະສືບຕໍ່ແຜ່ຂະຫຍາຍໂດຍໃຊ້ວິທີດຽວກັນ.

ແຕ່ໃນທີ່ນີ້ທ່ານສາມາດເຫັນໄດ້ວ່າມີພຽງແຕ່ hosts ຈໍານວນຫນ້ອຍທີ່ສະແກນ telnet ທີ່ມີພອດ 23 ເປີດອອກສູ່ພາຍນອກ. ນີ້ຫມາຍຄວາມວ່າລະບົບຕ່າງໆຖືກທໍາລາຍໃນທາງອື່ນ, ຫຼືຜູ້ໂຈມຕີກໍາລັງແລ່ນສະຄິບດ້ວຍຕົນເອງ.

ການເຊື່ອມຕໍ່ເຮືອນ

ການຄົ້ນພົບທີ່ຫນ້າສົນໃຈອີກອັນຫນຶ່ງແມ່ນຈໍານວນຜູ້ໃຊ້ບ້ານຈໍານວນຫລາຍໃນຕົວຢ່າງ. ໂດຍການນໍາໃຊ້ ການຊອກຫາແບບປີ້ນກັບກັນ ຂ້າພະເຈົ້າໄດ້ກໍານົດ 105 ການເຊື່ອມຕໍ່ຈາກຄອມພິວເຕີໃນບ້ານສະເພາະ. ສໍາລັບການເຊື່ອມຕໍ່ບ້ານຈໍານວນຫຼາຍ, ການຊອກຫາ DNS ແບບປີ້ນກັບກັນຈະສະແດງຊື່ໂຮດທີ່ມີຄໍາວ່າ dsl, home, cable, fiber, ແລະອື່ນໆ.

ຮຽນ​ຮູ້​ແລະ​ສໍາ​ຫຼວດ​: ຍົກ Honeypot ຂອງ​ທ່ານ​ເອງ​

ບໍ່ດົນມານີ້ຂ້າພະເຈົ້າໄດ້ຂຽນບົດສອນສັ້ນໆກ່ຽວກັບວິທີການ ຕິດຕັ້ງ Cowrie honeypot ໃນລະບົບຂອງທ່ານ. ດັ່ງທີ່ໄດ້ກ່າວມາແລ້ວ, ໃນກໍລະນີຂອງພວກເຮົາພວກເຮົາໃຊ້ Digital Ocean VPS ໃນປະເທດສິງກະໂປ. ສໍາລັບ 24 ຊົ່ວໂມງຂອງການວິເຄາະ, ຄ່າໃຊ້ຈ່າຍແມ່ນຮູ້ຫນັງສືສອງສາມເຊັນ, ແລະເວລາທີ່ຈະປະກອບລະບົບແມ່ນ 30 ນາທີ.

ແທນທີ່ຈະແລ່ນ Cowrie ໃນອິນເຕີເນັດແລະຈັບສຽງທັງຫມົດ, ທ່ານສາມາດໄດ້ຮັບຜົນປະໂຫຍດຈາກ honeypot ໃນເຄືອຂ່າຍທ້ອງຖິ່ນຂອງທ່ານ. ຕັ້ງການແຈ້ງເຕືອນຢ່າງຕໍ່ເນື່ອງຖ້າການຮ້ອງຂໍຖືກສົ່ງໄປຫາບາງພອດ. ນີ້ແມ່ນຜູ້ໂຈມຕີຢູ່ໃນເຄືອຂ່າຍ, ຫຼືພະນັກງານທີ່ຢາກຮູ້ຢາກເຫັນ, ຫຼືການສະແກນຊ່ອງໂຫວ່.

ການຄົ້ນພົບ

ຫຼັງຈາກເບິ່ງການກະທໍາຂອງຜູ້ໂຈມຕີໃນໄລຍະ 24 ຊົ່ວໂມງ, ມັນຈະກາຍເປັນທີ່ຊັດເຈນວ່າມັນບໍ່ສາມາດກໍານົດແຫຼ່ງທີ່ຊັດເຈນຂອງການໂຈມຕີໃນອົງການຈັດຕັ້ງ, ປະເທດ, ຫຼືແມ້ກະທັ້ງລະບົບປະຕິບັດງານ.

ການແຜ່ກະຈາຍຢ່າງກວ້າງຂວາງຂອງແຫຼ່ງສະແດງໃຫ້ເຫັນວ່າສຽງສະແກນແມ່ນຄົງທີ່ແລະບໍ່ກ່ຽວຂ້ອງກັບແຫຼ່ງສະເພາະໃດຫນຶ່ງ. ໃຜກໍ່ຕາມທີ່ເຮັດວຽກຢູ່ໃນອິນເຕີເນັດຕ້ອງຮັບປະກັນວ່າລະບົບຂອງພວກເຂົາ ລະດັບຄວາມປອດໄພຫຼາຍ. ການແກ້ໄຂທົ່ວໄປແລະປະສິດທິພາບສໍາລັບ SSH ການບໍລິການຈະຍ້າຍໄປທີ່ພອດສູງແບບສຸ່ມ. ນີ້ບໍ່ໄດ້ລົບລ້າງຄວາມຕ້ອງການສໍາລັບການປ້ອງກັນລະຫັດຜ່ານຢ່າງເຂັ້ມງວດແລະການຕິດຕາມ, ແຕ່ຢ່າງຫນ້ອຍໃຫ້ແນ່ໃຈວ່າບັນທຶກບໍ່ຖືກອຸດຕັນໂດຍການສະແກນຄົງທີ່. ການເຊື່ອມຕໍ່ພອດສູງມີແນວໂນ້ມທີ່ຈະເປັນການໂຈມຕີເປົ້າຫມາຍ, ເຊິ່ງອາດຈະເປັນຄວາມສົນໃຈສໍາລັບທ່ານ.

ມັກຈະເປີດພອດ telnet ຢູ່ໃນ routers ຫຼືອຸປະກອນອື່ນໆ, ດັ່ງນັ້ນເຂົາເຈົ້າບໍ່ສາມາດຍ້າຍໄດ້ຢ່າງງ່າຍດາຍໄປພອດສູງ. ຂໍ້ມູນກ່ຽວກັບພອດເປີດທັງໝົດ и ດ້ານ​ການ​ໂຈມ​ຕີ​ ເປັນວິທີດຽວທີ່ຈະຮັບປະກັນວ່າການບໍລິການເຫຼົ່ານີ້ຖືກໄຟວໍ ຫຼືປິດໃຊ້ງານ. ຖ້າເປັນໄປໄດ້, ທ່ານບໍ່ຄວນໃຊ້ Telnet ເລີຍ; ໂປຣໂຕຄໍນີ້ບໍ່ໄດ້ຖືກເຂົ້າລະຫັດ. ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​ຕ້ອງ​ການ​ມັນ​ແລະ​ບໍ່​ສາ​ມາດ​ເຮັດ​ໄດ້​ໂດຍ​ບໍ່​ມີ​ການ​ມັນ​, ຫຼັງ​ຈາກ​ນັ້ນ​ລະ​ມັດ​ລະ​ວັງ​ມັນ​ແລະ​ການ​ນໍາ​ໃຊ້​ລະ​ຫັດ​ຜ່ານ​ທີ່​ເຂັ້ມ​ແຂງ​.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com