सिंगापूरमधील डिजिटल ओशन नोडवर हनीपॉट स्थापित केल्यानंतर 24 तासांची आकडेवारी

प्यू प्यू! चला ताबडतोब आक्रमण नकाशासह प्रारंभ करूया

आमचा सुपर कूल नकाशा 24 तासांच्या आत आमच्या Cowrie honeypot शी कनेक्ट केलेले अद्वितीय ASN दाखवतो. पिवळा एसएसएच कनेक्शनशी संबंधित आहे आणि लाल टेलनेटशी संबंधित आहे. अशा अॅनिमेशनने कंपनीच्या संचालक मंडळाला अनेकदा प्रभावित केले, जे सुरक्षा आणि संसाधनांसाठी अधिक निधी सुरक्षित करण्यात मदत करू शकतात. तथापि, नकाशाचे काही मूल्य आहे, जे केवळ 24 तासांमध्ये आमच्या होस्टवरील आक्रमण स्त्रोतांचा भौगोलिक आणि संघटनात्मक प्रसार स्पष्टपणे दर्शविते. अॅनिमेशन प्रत्येक स्रोताकडील रहदारीचे प्रमाण दर्शवत नाही.

प्यू प्यू नकाशा म्हणजे काय?

प्यू प्यू नकाशा - हे आहे सायबर हल्ल्यांचे व्हिज्युअलायझेशन, सहसा अॅनिमेटेड आणि अतिशय सुंदर. Norse Corp द्वारे कुप्रसिद्धपणे वापरलेले तुमचे उत्पादन विकण्याचा हा एक फॅन्सी मार्ग आहे. कंपनी वाईटरित्या संपली: असे दिसून आले की सुंदर अॅनिमेशन त्यांचा एकमेव फायदा होता आणि त्यांनी विश्लेषणासाठी खंडित डेटा वापरला.

Leafletjs सह केले

ज्यांना ऑपरेशन सेंटरमध्ये मोठ्या स्क्रीनसाठी हल्ला नकाशा तयार करायचा आहे (तुमच्या बॉसला ते आवडेल), तेथे एक लायब्ररी आहे leafletjs. आम्ही ते प्लगइनसह एकत्र करतो पत्रक स्थलांतर स्तर, Maxmind GeoIP सेवा - आणि केले.

WTF: हे Cowrie honeypot काय आहे?

हनीपॉट ही एक प्रणाली आहे जी नेटवर्कवर विशेषतः हल्लेखोरांना आकर्षित करण्यासाठी ठेवली जाते. सिस्टमशी कनेक्शन्स सहसा बेकायदेशीर असतात आणि आपल्याला तपशीलवार लॉग वापरून आक्रमणकर्त्याचा शोध घेण्याची परवानगी देतात. लॉग केवळ नियमित कनेक्शन माहितीच संग्रहित करत नाहीत, तर सत्र माहिती देखील उघड करतात तंत्र, रणनीती आणि प्रक्रिया (TTP) घुसखोर

हनीपॉट काउरी साठी तयार SSH आणि टेलनेट कनेक्शन रेकॉर्ड. हल्लेखोरांची साधने, स्क्रिप्ट आणि यजमानांचा मागोवा घेण्यासाठी असे हनीपॉट्स अनेकदा इंटरनेटवर टाकले जातात.

ज्या कंपन्यांना असे वाटते की त्यांच्यावर हल्ला होणार नाही त्यांना माझा संदेश: "तुम्ही कठोरपणे शोधत आहात."
- जेम्स स्नूक

नोंदींमध्ये काय आहे?

कनेक्शनची एकूण संख्या

अनेक होस्टकडून वारंवार कनेक्शनचे प्रयत्न झाले. हे सामान्य आहे, कारण आक्रमण स्क्रिप्टमध्ये क्रेडेन्शियल्सची संपूर्ण यादी असते आणि अनेक संयोजन वापरून पहा. Cowrie Honeypot विशिष्ट वापरकर्तानाव आणि पासवर्ड संयोजन स्वीकारण्यासाठी कॉन्फिगर केले आहे. हे मध्ये कॉन्फिगर केले आहे user.db फाइल.

हल्ल्यांचे भूगोल

Maxmind भौगोलिक स्थान डेटा वापरून, मी प्रत्येक देशाच्या कनेक्शनची संख्या मोजली. ब्राझील आणि चीन मोठ्या फरकाने आघाडीवर आहेत आणि या देशांमधून येणार्‍या स्कॅनरमधून अनेकदा आवाज येतो.

नेटवर्क ब्लॉक मालक

नेटवर्क ब्लॉक्स (ASN) च्या मालकांचे संशोधन केल्याने मोठ्या संख्येने आक्रमण करणार्‍या होस्ट असलेल्या संस्था ओळखता येतात. अर्थात, अशा प्रकरणांमध्ये आपण नेहमी लक्षात ठेवावे की बरेच हल्ले संक्रमित यजमानांकडून येतात. हे गृहीत धरणे वाजवी आहे की बहुतेक हल्लेखोर घरच्या संगणकावरून नेटवर्क स्कॅन करण्यासाठी पुरेसे मूर्ख नाहीत.

आक्रमण प्रणालीवर पोर्ट उघडा (Sodan.io वरील डेटा)

उत्कृष्ट माध्यमातून आयपी सूची चालवणे Shodan API पटकन ओळखतो खुल्या पोर्टसह प्रणाली आणि ही बंदरे कोणती आहेत? खालील आकृती देश आणि संस्थेनुसार खुल्या बंदरांची एकाग्रता दर्शवते. तडजोड केलेल्या सिस्टमचे ब्लॉक्स ओळखणे शक्य होईल, परंतु आत लहान नमुना मोठ्या संख्येशिवाय बाकी काहीही दिसत नाही चीनमध्ये 500 खुली बंदरे.

एक मनोरंजक शोध म्हणजे ब्राझीलमध्ये मोठ्या संख्येने प्रणाली आहेत 22, 23 उघडत नाही किंवा इतर बंदरे, Censys आणि Shodan त्यानुसार. वरवर पाहता हे अंतिम वापरकर्ता संगणकावरील कनेक्शन आहेत.

सांगकामे? गरज नाही

डेटा सेन्सिस 22 आणि 23 पोर्टसाठी त्यांनी त्या दिवशी काहीतरी विचित्र दाखवले. मी असे गृहीत धरले की बहुतेक स्कॅन आणि पासवर्ड हल्ले बॉट्समधून येतात. स्क्रिप्ट खुल्या पोर्ट्सवर पसरते, पासवर्डचा अंदाज घेते आणि नवीन सिस्टममधून स्वतःची कॉपी करते आणि त्याच पद्धतीचा वापर करून पसरत राहते.

परंतु येथे तुम्ही पाहू शकता की टेलनेट स्कॅन करणार्‍या काही यजमानांकडे पोर्ट 23 बाहेरील बाजूस उघडे आहे. याचा अर्थ असा आहे की सिस्टीममध्ये इतर कोणत्याही प्रकारे तडजोड केली गेली आहे किंवा आक्रमणकर्ते स्वहस्ते स्क्रिप्ट चालवत आहेत.

होम कनेक्शन

आणखी एक मनोरंजक शोध म्हणजे नमुन्यातील मोठ्या संख्येने घरगुती वापरकर्ते. वापरून उलट पहा मी विशिष्ट होम कॉम्प्युटरवरून 105 कनेक्शन ओळखले. अनेक होम कनेक्शन्ससाठी, रिव्हर्स DNS लुकअप होस्टनाव dsl, home, cable, fiber इत्यादी शब्दांसह प्रदर्शित करतो.

शिका आणि एक्सप्लोर करा: तुमचा स्वतःचा हनीपॉट वाढवा

मी नुकतेच कसे करावे याबद्दल एक लहान ट्यूटोरियल लिहिले तुमच्या सिस्टमवर Cowrie honeypot स्थापित करा. आधीच नमूद केल्याप्रमाणे, आमच्या बाबतीत आम्ही सिंगापूरमध्ये डिजिटल महासागर VPS वापरले. 24 तासांच्या विश्लेषणासाठी, खर्च अक्षरशः काही सेंट होता आणि सिस्टम एकत्र करण्यासाठी वेळ 30 मिनिटे होता.

इंटरनेटवर Cowrie चालवण्याऐवजी आणि सर्व आवाज पकडण्याऐवजी, तुम्हाला तुमच्या स्थानिक नेटवर्कवरील हनीपॉटचा फायदा होऊ शकतो. विनंत्या ठराविक पोर्टवर पाठवल्या गेल्यास सतत सूचना सेट करा. हा एकतर नेटवर्कमधील आक्रमणकर्ता किंवा उत्सुक कर्मचारी किंवा भेद्यता स्कॅन आहे.

निष्कर्ष

XNUMX-तासांच्या कालावधीत हल्लेखोरांच्या कृती पाहिल्यानंतर, हे स्पष्ट होते की कोणत्याही संस्था, देश किंवा ऑपरेटिंग सिस्टममधील हल्ल्यांचे स्पष्ट स्त्रोत ओळखणे अशक्य आहे.

स्त्रोतांचे विस्तृत वितरण दर्शविते की स्कॅनचा आवाज स्थिर आहे आणि विशिष्ट स्त्रोताशी संबंधित नाही. इंटरनेटवर काम करणार्‍या कोणीही त्यांच्या सिस्टमची खात्री करणे आवश्यक आहे अनेक सुरक्षा स्तर. साठी एक सामान्य आणि प्रभावी उपाय एसएसएच सेवा यादृच्छिक उच्च पोर्टवर जाईल. हे कठोर पासवर्ड संरक्षण आणि देखरेखीची आवश्यकता दूर करत नाही, परंतु किमान हे सुनिश्चित करते की लॉग सतत स्कॅनिंग करून अडकलेले नाहीत. उच्च पोर्ट कनेक्शनवर लक्ष्यित हल्ले होण्याची अधिक शक्यता असते, जे तुमच्यासाठी स्वारस्य असू शकतात.

अनेकदा ओपन टेलनेट पोर्ट हे राउटर किंवा इतर उपकरणांवर असतात, त्यामुळे ते सहजपणे उच्च पोर्टवर हलवता येत नाहीत. सर्व खुल्या बंदरांची माहिती и हल्ला पृष्ठभाग या सेवा फायरवॉल किंवा अक्षम आहेत याची खात्री करण्याचा एकमेव मार्ग आहे. शक्य असल्यास, तुम्ही टेलनेट अजिबात वापरू नये; हा प्रोटोकॉल एनक्रिप्ट केलेला नाही. जर तुम्हाला त्याची गरज असेल आणि त्याशिवाय करू शकत नसाल, तर त्याचे काळजीपूर्वक निरीक्षण करा आणि मजबूत पासवर्ड वापरा.

स्त्रोत: www.habr.com