Статистика за 24 часа по инсталирањето на honeypot на јазол Digital Ocean во Сингапур

Пју Пју! Да почнеме веднаш со картата за напад

Нашата супер кул мапа ги прикажува уникатните ASN што се поврзаа со нашиот саксии со Cowrie во рок од 24 часа. Жолтата ги претставува SSH врските, а црвената боја ги претставува Телнет. Ваквите анимации често го импресионираат одборот на директори на компанијата, што може да помогне да се обезбедат повеќе средства за безбедност и ресурси. Сепак, мапата има одредена вредност, јасно покажувајќи го географското и организациското ширење на изворите на напади врз нашиот домаќин за само 24 часа. Анимацијата не ја одразува количината на сообраќај од секој извор.

Што е мапа на Пју Пју?

Карта на Пју Пју - Дали визуелизација на сајбер напади, обично анимирана и многу убава. Тоа е фенси начин да го продадете вашиот производ, неславно користен од Norse Corp. Компанијата заврши лошо: се покажа дека убавите анимации се нивната единствена предност и користеа фрагментарни податоци за анализа.

Направено со Leafletjs

За оние кои сакаат да дизајнираат карта за напад за големиот екран во оперативниот центар (на вашиот шеф ќе им се допадне), има библиотека летоци. Го комбинираме со приклучокот миграционен слој на летоци, Maxmind GeoIP услуга - и завршивте.

WTF: што е овој саксии од Каури?

Honeypot е систем кој е поставен на мрежата специјално за да ги намами напаѓачите. Врските со системот обично се нелегални и ви овозможуваат да го откриете напаѓачот користејќи детални дневници. Дневниците складираат не само информации за редовната врска, туку и информации за сесијата што откриваат техники, тактики и процедури (TTP) натрапник.

Honeypot Cowrie создадени за Записи за поврзување на SSH и Телнет. Таквите саксии често се ставаат на Интернет за да се следат алатките, скриптите и домаќините на напаѓачите.

Мојата порака до компаниите кои мислат дека нема да бидат нападнати: „Тешко барате“.
- Џејмс Снук

Што има во дневниците?

Вкупен број на врски

Имаше повеќекратни обиди за поврзување од многу домаќини. Ова е нормално, бидејќи скриптите за напад имаат целосна листа на ингеренциите и пробуваат неколку комбинации. Cowrie Honeypot е конфигуриран да прифаќа одредени комбинации на корисничко име и лозинка. Ова е конфигурирано во user.db датотека.

Географија на напади

Користејќи ги податоците за геолокација на Maxmind, го броев бројот на врски од секоја земја. Бразил и Кина водат со голема разлика, а често има многу бучава од скенерите кои доаѓаат од овие земји.

Сопственик на мрежен блок

Истражувањето на сопствениците на мрежни блокови (ASN) може да идентификува организации со голем број на напаѓачки домаќини. Се разбира, во такви случаи секогаш треба да запомните дека многу напади доаѓаат од заразени домаќини. Разумно е да се претпостави дека повеќето напаѓачи не се доволно глупави за да ја скенираат мрежата од домашен компјутер.

Отворете порти на системите за напад (податоци од Shodan.io)

Водење на листата на IP преку одлични Shodan API брзо се идентификува системи со отворени порти и кои се овие пристаништа? Сликата подолу ја покажува концентрацијата на отворените пристаништа по земја и организација. Би било можно да се идентификуваат блокови на компромитирани системи, но внатре мал примерок ништо извонредно не е видливо, освен голем број 500 отворени пристаништа во Кина.

Интересно откритие е големиот број системи во Бразил кои имаат не е отворена 22, 23 или други пристаништа, според Censys и Shodan. Очигледно ова се врски од компјутери на крајни корисници.

Ботови? Не е потребно

Податоци Censys за портите 22 и 23 покажаа нешто чудно тој ден. Претпоставував дека повеќето скенирања и напади со лозинка доаѓаат од ботови. Скриптата се шири преку отворени порти, погодувајќи лозинки и се копира од новиот систем и продолжува да се шири користејќи го истиот метод.

Но, овде можете да видите дека само мал број на хостови кои скенираат телнет имаат портата 23 отворена кон надвор.Тоа значи дека системите се или компромитирани на некој друг начин или напаѓачите рачно извршуваат скрипти.

Домашни врски

Друго интересно откритие беше големиот број домашни корисници во примерокот. Со користење на обратно пребарување Идентификував 105 врски од одредени домашни компјутери. За многу домашни врски, обратното пребарување на DNS го прикажува името на домаќинот со зборовите dsl, home, кабел, оптички влакна и така натаму.

Научете и истражувајте: подигнете го вашиот сопствен Honeypot

Неодамна напишав краток туторијал за тоа како да инсталирајте Cowrie honeypot на вашиот систем. Како што веќе споменавме, во нашиот случај користевме Digital Ocean VPS во Сингапур. За 24 часа анализа, трошокот беше буквално неколку центи, а времето за склопување на системот беше 30 минути.

Наместо да го стартувате Cowrie на интернет и да ја фатите целата врева, можете да имате корист од honeypot на вашата локална мрежа. Постојано поставувајте известување доколку се испраќаат барања до одредени пристаништа. Ова е или напаѓач во мрежата, или љубопитен вработен или скенирање на ранливост.

Наоди

По прегледувањето на акциите на напаѓачите во период од XNUMX часа, станува јасно дека е невозможно да се идентификува јасен извор на напади во која било организација, земја, па дури и оперативен систем.

Широката дистрибуција на извори покажува дека бучавата од скенирањето е константна и не е поврзана со одреден извор. Секој кој работи на Интернет мора да се погрижи дека нивниот систем неколку безбедносни нивоа. Вообичаено и ефикасно решение за SSH услугата ќе се пресели во случајна висока порта. Ова не ја елиминира потребата за строга заштита и следење со лозинка, но барем осигурува дека дневниците не се затнати со постојано скенирање. Врските со високи пристаништа се со поголема веројатност да бидат насочени напади, што може да ве интересира.

Честопати отворените телнет порти се на рутери или други уреди, така што тие не можат лесно да се преместат на висока порта. Информации за сите отворени пристаништа и нападната површина е единствениот начин да се осигура дека овие услуги се заштитени или оневозможени. Ако е можно, воопшто не треба да користите Телнет; овој протокол не е шифриран. Ако ви треба и не можете без него, тогаш внимателно следете го и користете силни лозинки.

Извор: www.habr.com