Honeypot vs Deception користејќи го Xello како пример

Веќе има неколку статии на Habré за технологиите Honeypot и Deception (1 член, 2 член). Сепак, сè уште се соочуваме со недостаток на разбирање за разликата помеѓу овие класи на заштитна опрема. За ова нашите колеги од Здраво измама (прв руски развивач Платформа измама) реши детално да ги опише разликите, предностите и архитектонските карактеристики на овие решенија.

Ајде да откриеме што се „honeypots“ и „измами“:

„Технологиите за измама“ се појавија на пазарот на системи за безбедност на информации релативно неодамна. Сепак, некои експерти сè уште сметаат дека „Security Deception“ се само понапредни саксии.

Во оваа статија ќе се обидеме да ги истакнеме и сличностите и основните разлики помеѓу овие две решенија. Во првиот дел ќе зборуваме за honeypot, како се развила оваа технологија и кои се нејзините предности и недостатоци. И во вториот дел, детално ќе се задржиме на принципите на работа на платформите за создавање на дистрибуирана инфраструктура на мамки (англиски, Дистрибуирана платформа за измама - DDP).

Основниот принцип на honeypots е да се создадат замки за хакерите. На истиот принцип беа развиени и првите решенија за измама. Но, современите DDP се значително супериорни во однос на саксиите, и во функционалноста и во ефикасноста. Платформите за измама вклучуваат: мамки, стапици, мами, апликации, податоци, бази на податоци, Active Directory. Современите DDP можат да обезбедат моќни способности за откривање закани, анализа на напади и автоматизација на одговор.

Така, измамата е техника за симулирање на ИТ инфраструктурата на претпријатието и за заблудување на хакерите. Како резултат на тоа, таквите платформи овозможуваат да се запрат нападите пред да се предизвика значителна штета на имотот на компанијата. Honeypots, се разбира, немаат толку широка функционалност и такво ниво на автоматизација, така што нивната употреба бара повеќе квалификации од вработените во одделите за информациска безбедност.

1. Honeypots, Honeynets и Sandboxing: што се тие и како се користат

Терминот „honeypots“ првпат беше употребен во 1989 година во книгата на Клифорд Стол „The Cuckoo's Egg“, која ги опишува настаните за следење на хакер во Националната лабораторија Лоренс Беркли (САД). Оваа идеја беше спроведена во пракса во 1999 година од Ленс Шпицнер, специјалист за информациска безбедност во Sun Microsystems, кој го основаше истражувачкиот проект Honeynet Project. Првите саксии беа многу интензивни за ресурси, тешки за поставување и одржување.

Ајде да погледнеме подетално што е тоа honeypots и мекици. Honeypots се индивидуални домаќини чија цел е да привлечат напаѓачи да навлезат во мрежата на компанијата и да се обидат да украдат вредни податоци, како и да ја прошират областа на покриеност на мрежата. Honeypot (буквално преведен како „барел мед“) е специјален сервер со збир на различни мрежни услуги и протоколи, како што се HTTP, FTP итн. (види Сл. 1).

Ако комбинирате неколку honeypots во мрежата, тогаш ќе добиеме поефикасен систем honeynet, што е емулација на корпоративната мрежа на компанијата (веб сервер, сервер за датотеки и други мрежни компоненти). Ова решение ви овозможува да ја разберете стратегијата на напаѓачите и да ги доведете во заблуда. Типичен honeynet, по правило, работи паралелно со работната мрежа и е целосно независен од неа. Таквата „мрежа“ може да се објави на Интернет преку посебен канал, исто така, може да се додели посебен опсег на IP адреси (види Сл. 2).

Поентата на користењето на honeynet е да му се покаже на хакерот дека тој наводно навлегол во корпоративната мрежа на организацијата, всушност, напаѓачот е во „изолирана средина“ и под близок надзор на специјалисти за безбедност на информации (види Сл. 3).

Тука, исто така, треба да споменеме алатка како „sandbox"(Англиски, песок), што им овозможува на напаѓачите да инсталираат и стартуваат малициозен софтвер во изолирана средина каде што ИТ може да ги следи нивните активности за да ги идентификува потенцијалните ризици и да преземе соодветни контрамерки. Во моментов, песокот обично се имплементира на посветени виртуелни машини на виртуелен домаќин. Сепак, треба да се забележи дека песокот само покажува колку се однесуваат опасни и злонамерни програми, додека honeynet му помага на специјалист да го анализира однесувањето на „опасни играчи“.

Очигледната придобивка од honeynets е тоа што тие ги доведуваат во заблуда напаѓачите, трошејќи ја нивната енергија, ресурси и време. Како резултат на тоа, наместо вистински цели, тие напаѓаат лажни и можат да престанат да ја напаѓаат мрежата без да постигнат ништо. Најчесто, Honeynets технологиите се користат во владините агенции и големите корпорации, финансиските организации, бидејќи тоа се структурите што се покажаа како цели на големи сајбер напади. Сепак, на малите и средни бизниси (SMBs) исто така им требаат ефективни алатки за да се спречат инциденти со безбедноста на информациите, но honeynets во секторот SMB не се толку лесни за употреба поради недостаток на квалификуван персонал за таква сложена работа.

Ограничувања на Honeypots и Honeynets Solutions

Зошто саксиите и саксиите не се најдобри решенија за спротивставување на нападите денес? Треба да се забележи дека нападите стануваат сè поголеми, технички сложени и способни да предизвикаат сериозна штета на ИТ инфраструктурата на една организација, а компјутерскиот криминал достигна сосема поинакво ниво и претставува високо организирани деловни структури во сенка опремени со сите потребни ресурси. На ова мора да се додаде и „човечкиот фактор“ (грешки во софтверските и хардверските поставки, дејствијата на инсајдерите итн.), така што користењето само технологија за спречување напади веќе не е доволно во моментов.

Подолу ги наведуваме главните ограничувања и недостатоци на саксиите (honeynets):

1. Honeypots првично беа развиени за да се идентификуваат заканите кои се надвор од корпоративната мрежа, се наменети попрво да го анализираат однесувањето на напаѓачите и не се дизајнирани да реагираат брзо на заканите.

2. Напаѓачите, по правило, веќе научиле да препознаваат емулирани системи и да избегнуваат саксии.

3. Honeynets (honeypots) имаат екстремно ниско ниво на интерактивност и интеракција со другите безбедносни системи, како резултат на што, користејќи honeypots, тешко е да се добијат детални информации за нападите и напаѓачите, а со тоа и ефикасно и брзо реагирање на инциденти со безбедноста на информациите. . Покрај тоа, специјалистите за информациска безбедност добиваат голем број лажни предупредувања за закани.

4. Во некои случаи, хакерите може да користат компромитиран honeypot како почетна точка за да го продолжат нападот врз мрежата на организацијата.

5. Честопати се јавуваат проблеми со приспособливоста на саксиите, високото оперативно оптоварување и конфигурацијата на таквите системи (тие бараат високо квалификувани специјалисти, немаат удобен интерфејс за управување итн.). Има големи потешкотии при распоредувањето на honeypots во специјализирани средини како што се IoT, POS, облак системи итн.

2. Технологија на измама: предности и основни принципи на работа

Откако ги проучувавме сите предности и недостатоци на honeypots, доаѓаме до заклучок дека е потребен сосема нов пристап за одговор на инциденти со безбедноста на информациите за да се развие брз и адекватен одговор на акциите на напаѓачите. А такво решение е технологијата Сајбер измама (Безбедносна измама).

Терминологијата „Сајбер измама“, „Безбедносна измама“, „Технологија за измама“, „Платформа за дистрибуирана измама“ (DDP) е релативно нова и се појави не толку одамна. Всушност, сите овие термини значат употреба на „технологии за измама“ или „техники за симулирање на ИТ инфраструктура и дезинформирање на напаѓачите“. Наједноставните решенија за измама се развој на идеите за саксии, само на технолошки понапредно ниво, што вклучува поголема автоматизација на откривање закани и одговор на нив. Сепак, на пазарот веќе постојат сериозни решенија од класата DDP кои се лесни за распоредување и размер, а исто така имаат сериозен арсенал на „стапици“ и „мамки“ за напаѓачите. На пример, Deception ви овозможува да емулирате објекти на ИТ инфраструктура, како што се бази на податоци, работни станици, рутери, прекинувачи, банкомати, сервери и SCADA, медицинска опрема и IoT.

Како функционира платформата за дистрибуирана измама? Откако ќе се распореди DDP, ИТ инфраструктурата на организацијата ќе биде изградена како од два слоја: првиот слој е вистинската инфраструктура на компанијата, а вториот е „емулирана“ средина која се состои од мамки и мамки), кои се наоѓаат на вистински физички мрежни уреди (види Сл. 4).

На пример, напаѓачот може да открие лажни бази на податоци со „доверливи документи“, лажни акредитиви на наводно „привилегирани корисници“ - сето тоа се мамки што можат да ги интересираат прекршителите, а со тоа да го одвлечат нивното внимание од вистинските информациски средства на компанијата (види Слика 5).

DDP е нов производ на пазарот на производи за безбедност на информации, овие решенија се стари само неколку години и досега само корпоративниот сектор може да си ги дозволи. Но, и малите и средни бизниси наскоро ќе можат да ги искористат предностите на измамата со изнајмување на DDP од специјализирани провајдери „како услуга“. Оваа опција е уште попогодна, бидејќи нема потреба од ваш високо квалификуван персонал.

Главните предности на технологијата за измама се прикажани подолу:

• Автентичност (автентичност). Технологијата за измама е способна да репродуцира целосно автентична ИТ средина на една компанија, квалитативно емулирајќи оперативни системи, IoT, POS, специјализирани системи (медицински, индустриски итн.), услуги, апликации, ингеренции итн. Мамките внимателно се мешаат со работната средина, а напаѓачот нема да може да ги идентификува како саксии.

• Имплементација. DDP користат машинско учење (ML) во нивната работа. Со помош на ML, се обезбедуваат едноставност, флексибилност во поставките и ефикасност на имплементацијата на Deception. „Замките“ и „honeypots“ се ажурираат многу брзо, привлекувајќи го напаѓачот во „лажната“ ИТ инфраструктура на компанијата, а во меѓувреме, напредните системи за анализа базирани на вештачка интелигенција можат да детектираат активни дејства на хакерите и да ги спречат (на пример, обид за пристап до лажни сметки базирани на Active Directory).

• Леснотија на работа. Современите платформи за дистрибуирани измами се лесни за одржување и управување. Тие обично се управуваат преку локална или облак конзола, со можности за интеграција со корпоративниот SOC (Security Operations Center) преку API и со многу постоечки безбедносни контроли. Одржувањето и работењето на DDP не бара услуги од висококвалификувани експерти за информациска безбедност.

• Приспособливост. Безбедносната измама може да се користи во физички, виртуелни и облак средини. DDP исто така успешно работат со специјализирани средини како што се IoT, ICS, POS, SWIFT итн. Напредните платформи за измама можат да проектираат „технологии за измама“ во оддалечени канцеларии и изолирани средини, без потреба од дополнително поставување на целосна платформа.

• Интеракција. Користејќи моќни и атрактивни мамки кои се засноваат на вистински оперативни системи и паметно сместени меѓу вистинската ИТ инфраструктура, платформата Deception собира обемни информации за напаѓачот. DDP потоа осигурува дека предупредувањата за закани се пренесуваат, се генерираат извештаи и автоматски се реагира на инцидентите со безбедноста на информациите.

• Почетна точка на напад. Во модерната измама, стапици и мамки се ставаат во опсегот на мрежата, наместо надвор од неа (како што е случајот со саксиите со саксии). Овој модел на распоредување мамка го спречува напаѓачот да ги користи како потпора за да ја нападне вистинската ИТ инфраструктура на компанијата. Понапредните решенија од класата Deception имаат можности за рутирање на сообраќајот, така што можете да го насочите целиот сообраќај на напаѓачите преку специјално посветена врска. Ова ќе ви овозможи да ја анализирате активноста на напаѓачите без да ризикувате вредни средства на компанијата.

• Убедливоста на „технологиите за измама“. Во почетната фаза на нападот, напаѓачите собираат и анализираат податоци за ИТ инфраструктурата, а потоа ги користат за хоризонтално движење низ корпоративната мрежа. Со помош на „технологиите за измама“, напаѓачот дефинитивно ќе падне во „стапици“ што ќе го оддалечат од вистинските средства на организацијата. DDP ќе ги анализира потенцијалните патишта за пристап до ингеренциите на корпоративна мрежа и ќе му обезбеди на напаѓачот „цели за мамка“ наместо вистински акредитиви. Овие способности многу недостасуваа во технологиите на Honeypot. (Види Слика 6).

Измама VS Honeypot

И конечно, доаѓаме до најинтересниот момент од нашето истражување. Ќе се обидеме да ги истакнеме главните разлики помеѓу технологиите Deception и Honeypot. И покрај некои сличности, овие две технологии сè уште се многу различни, од основната идеја до оперативната ефикасност.

1. Различни основни идеи. Како што напишавме погоре, саксиите се инсталираат како „мамки“ околу вредните средства на компанијата (надвор од корпоративната мрежа), со што се обидуваат да го одвлечат вниманието на напаѓачите. Технологијата Honeypot се заснова на разбирање на инфраструктурата на организацијата, но honeypots може да станат почетна точка за започнување напад врз мрежата на компанијата. Технологијата за измама е развиена земајќи ја предвид гледната точка на напаѓачот и ви овозможува да идентификувате напад во рана фаза, со што специјалистите за безбедност на информации добиваат значителна предност пред напаѓачите и добиваат време.

2. „Атракција“ VS „Збунетост“. При користење на саксии, успехот зависи од привлекување на вниманието на напаѓачите и дополнително мотивирање да се преселат до целта во саксијата. Ова значи дека напаѓачот сепак мора да стигне до саксијата пред да можете да го запрете. Така, присуството на напаѓачи на мрежата може да трае неколку месеци или повеќе, а тоа ќе доведе до истекување на податоци и оштетување. DDP квалитативно ја имитираат вистинската ИТ инфраструктура на компанијата, целта на нивната имплементација не е само да го привлечат вниманието на напаѓачот, туку да го збунат, така што тој губи време и ресурси, но не добива пристап до вистинските средства на компанијата; компанија.

3. „Ограничена приспособливост“ VS „автоматска приспособливост“. Како што беше наведено претходно, саксиите и саксиите имаат проблеми со скалирање. Ова е тешко и скапо, а за да го зголемите бројот на honeypots во корпоративниот систем, ќе треба да додадете нови компјутери, оперативен систем, да купите лиценци и да доделите IP. Исто така, неопходно е да се има квалификуван персонал за управување со такви системи. Платформите за измама автоматски се распоредуваат како што се зголемува вашата инфраструктура, без значителни трошоци.

4. „Голем број на лажни позитиви“ VS „нема лажни позитиви“. Суштината на проблемот е во тоа што дури и едноставен корисник може да наиде на honeypot, така што „недостаток“ на оваа технологија е голем број лажни позитиви, што ги одвлекува вниманието на специјалистите за информациска безбедност од нивната работа. „Мамките“ и „стапиците“ во DDP се внимателно скриени од просечниот корисник и се дизајнирани само за напаѓач, така што секој сигнал од таков систем е известување за вистинска закана, а не лажно позитивно.

Заклучок

Според наше мислење, технологијата Deception е огромно подобрување во однос на постарата технологија Honeypots. Во суштина, DDP стана сеопфатна безбедносна платформа која е лесна за распоредување и управување.

Современите платформи од оваа класа играат важна улога во прецизното откривање и ефективно реагирање на мрежните закани, а нивната интеграција со другите компоненти на безбедносниот стек го зголемува нивото на автоматизација, ја зголемува ефикасноста и ефективноста на одговорот на инцидентот. Платформите за измама се засноваат на автентичност, приспособливост, леснотија на управување и интеграција со други системи. Сето ова дава значителна предност во брзината на одговор на инциденти со безбедноста на информациите.

Исто така, врз основа на набљудувања на пентести на компании каде што беше имплементирана или пилотирана платформата Xello Deception, можеме да извлечеме заклучоци дека дури и искусните пестери често не можат да ја препознаат мамката во корпоративната мрежа и не успеваат кога ќе паднат на поставените стапици. Овој факт уште еднаш ја потврдува ефективноста на Deception и големите изгледи кои се отвораат за оваа технологија во иднина.

Тестирање на производот

Доколку сте заинтересирани за платформата Deception, тогаш ние сме подготвени спроведе заедничко тестирање.

Останете во тек за ажурирања на нашите канали (Телеграма, Facebook, VK, Блог за TS Solution)!

Извор: www.habr.com