सिंगापुरमा डिजिटल ओशन नोडमा हनीपोट स्थापना गरेपछि 24 घण्टाको लागि तथ्याङ्क

पिउ पिउ! आक्रमणको नक्साको साथ तुरुन्तै सुरु गरौं

हाम्रो सुपर कूल नक्साले 24 घण्टा भित्र हाम्रो Cowrie honeypot मा जडान भएका अद्वितीय ASN हरू देखाउँछ। पहेंलोले SSH जडानहरूसँग मेल खान्छ, र रातोले टेलनेटसँग मेल खान्छ। त्यस्ता एनिमेसनहरूले प्राय: कम्पनीको निर्देशक बोर्डलाई प्रभाव पार्छ, जसले सुरक्षा र स्रोतहरूको लागि थप कोष सुरक्षित गर्न मद्दत गर्न सक्छ। यद्यपि, नक्साको केही मूल्य छ, स्पष्ट रूपमा हाम्रो होस्टमा 24 घण्टामा आक्रमण स्रोतहरूको भौगोलिक र संगठनात्मक फैलावट देखाउँदै। एनिमेसनले प्रत्येक स्रोतबाट ट्राफिकको मात्रालाई प्रतिबिम्बित गर्दैन।

Pew Pew नक्शा के हो?

प्यू प्यू नक्सा हो साइबर आक्रमणको दृश्य, सामान्यतया एनिमेटेड र धेरै सुन्दर। Norse Corp द्वारा कुख्यात रूपमा प्रयोग गरीएको तपाईंको उत्पादन बेच्ने यो एउटा राम्रो तरिका हो। कम्पनी नराम्रोसँग समाप्त भयो: यो बाहिर भयो कि सुन्दर एनिमेसनहरू तिनीहरूको मात्र फाइदा थिए, र तिनीहरूले विश्लेषणको लागि टुक्रा डेटा प्रयोग गरे।

Leafletjs संग बनाइएको

अपरेशन सेन्टरमा ठूलो स्क्रिनको लागि आक्रमण नक्सा डिजाइन गर्न चाहनेहरूका लागि (तपाईंको मालिकले यसलाई मन पराउनेछ), त्यहाँ पुस्तकालय छ। leafletjs। हामी यसलाई प्लगइनसँग जोड्छौं पत्रक माइग्रेसन तह, Maxmind GeoIP सेवा - र भयो.

WTF: यो Cowrie honeypot के हो?

हनीपोट एक प्रणाली हो जुन नेटवर्कमा विशेष गरी आक्रमणकारीहरूलाई लुकाउनको लागि राखिन्छ। प्रणालीमा जडानहरू सामान्यतया गैरकानूनी हुन्छन् र तपाईंलाई विस्तृत लगहरू प्रयोग गरेर आक्रमणकारी पत्ता लगाउन अनुमति दिन्छ। लगहरूले नियमित जडान जानकारी मात्र होइन, तर सत्र जानकारी पनि भण्डारण गर्छ प्रविधि, रणनीति र प्रक्रिया (TTP) घुसपैठ गर्ने।

हनीपोट काउरी को लागी बनाईएको SSH र टेलनेट जडान रेकर्ड। यस्ता हनीपोटहरू प्रायः इन्टरनेटमा उपकरणहरू, स्क्रिप्टहरू र आक्रमणकारीहरूको होस्टहरू ट्र्याक गर्न राखिन्छन्।

कम्पनीहरूलाई मेरो सन्देश जसले सोच्दछ कि उनीहरूमाथि आक्रमण हुनेछैन: "तपाईं कडा हेर्दै हुनुहुन्छ।"
- जेम्स स्नूक

लगहरूमा के छ?

जडानहरूको कुल संख्या

धेरै होस्टहरूबाट बारम्बार जडान प्रयासहरू थिए। यो सामान्य छ, किनकि आक्रमण लिपिहरूमा प्रमाणहरूको पूर्ण सूची छ र धेरै संयोजनहरू प्रयास गर्नुहोस्। Cowrie Honeypot निश्चित प्रयोगकर्ता नाम र पासवर्ड संयोजन स्वीकार गर्न कन्फिगर गरिएको छ। यो मा कन्फिगर गरिएको छ user.db फाइल.

आक्रमणको भूगोल

Maxmind जियोलोकेशन डाटा प्रयोग गरेर, मैले प्रत्येक देशबाट जडानहरूको संख्या गणना गरें। ब्राजिल र चीनले फराकिलो अन्तरले नेतृत्व गर्छ, र प्रायः यी देशहरूबाट आउने स्क्यानरहरूबाट धेरै आवाज आउँछ।

नेटवर्क ब्लक मालिक

नेटवर्क ब्लकहरू (ASN) को मालिकहरूको अनुसन्धानले ठूलो संख्यामा आक्रमणकारी होस्टहरू भएका संगठनहरू पहिचान गर्न सक्छ। निस्सन्देह, त्यस्ता अवस्थाहरूमा तपाईंले सधैं याद गर्नुपर्छ कि धेरै आक्रमणहरू संक्रमित होस्टहरूबाट आउँछन्। यो मान्न उचित छ कि अधिकांश आक्रमणकारीहरू घरको कम्प्युटरबाट नेटवर्क स्क्यान गर्न पर्याप्त मूर्ख छैनन्।

आक्रमण गर्ने प्रणालीहरूमा पोर्टहरू खोल्नुहोस् (Shodan.io बाट डाटा)

उत्कृष्ट मार्फत आईपी सूची चलाउँदै Shodan API चाँडै पहिचान खुला पोर्ट संग प्रणाली र यी पोर्टहरू के हुन्? तलको चित्रले देश र संगठनद्वारा खुला बन्दरगाहहरूको एकाग्रता देखाउँछ। यो सम्झौता प्रणाली को ब्लक पहिचान गर्न सम्भव हुनेछ, तर भित्र सानो नमूना ठूलो संख्या बाहेक केहि पनि उल्लेखनीय देखिदैन चीनमा 500 ओपन पोर्ट.

एउटा चाखलाग्दो खोज भनेको ब्राजिलमा भएका प्रणालीहरूको ठूलो संख्या हो 22, 23 खुल्दैन वा अन्य पोर्टहरू, Censys र Shodan अनुसार। स्पष्ट रूपमा यी अन्त प्रयोगकर्ता कम्प्युटरहरूबाट जडानहरू हुन्।

बट्स? आवश्यक छैन

डाटा सेन्सिस पोर्ट 22 र 23 को लागी तिनीहरूले त्यो दिन केहि अनौठो देखाए। मैले अनुमान गरें कि अधिकांश स्क्यान र पासवर्ड आक्रमणहरू बटहरूबाट आउँछन्। स्क्रिप्ट खुला पोर्टहरूमा फैलिन्छ, पासवर्डहरू अनुमान गर्दै, र नयाँ प्रणालीबाट आफैं प्रतिलिपि बनाउँछ र उही विधि प्रयोग गरेर फैलिन जारी राख्छ।

तर यहाँ तपाईँले देख्न सक्नुहुन्छ कि टेलनेट स्क्यान गर्ने होस्टहरूको सानो संख्यामा बाहिर पोर्ट 23 खुला छ। यसको मतलब यो हो कि प्रणालीहरू कुनै अन्य तरिकामा सम्झौता गरिएको छ, वा आक्रमणकारीहरूले म्यानुअल रूपमा लिपिहरू चलाउँदैछन्।

गृह जडानहरू

अर्को चाखलाग्दो खोज नमूनामा घर प्रयोगकर्ताहरूको ठूलो संख्या थियो। प्रयोग गरेर उल्टो लुकअप मैले विशेष गृह कम्प्युटरबाट 105 जडानहरू पहिचान गरें। धेरै घर जडानहरूका लागि, रिभर्स DNS लुकअपले dsl, home, cable, fiber, र यस्तै शब्दहरूसँग होस्टनाम देखाउँछ।

सिक्नुहोस् र अन्वेषण गर्नुहोस्: तपाईंको आफ्नै हनीपोट बढाउनुहोस्

मैले भर्खरै कसरी गर्ने भन्ने बारे एउटा छोटो ट्यूटोरियल लेखेको छु आफ्नो प्रणालीमा Cowrie honeypot स्थापना गर्नुहोस्। पहिले नै उल्लेख गरिएझैं, हाम्रो मामलामा हामीले सिंगापुरमा डिजिटल महासागर VPS प्रयोग गर्यौं। 24 घण्टाको विश्लेषणको लागि, लागत शाब्दिक रूपमा केही सेन्ट थियो, र प्रणाली भेला गर्न समय 30 मिनेट थियो।

इन्टरनेटमा काउरी चलाउनुको सट्टा र सबै आवाजहरू समात्नुको सट्टा, तपाईंले आफ्नो स्थानीय नेटवर्कमा हनीपोटबाट फाइदा लिन सक्नुहुन्छ। यदि अनुरोधहरू निश्चित पोर्टहरूमा पठाइन्छ भने निरन्तर सूचना सेट गर्नुहोस्। यो या त नेटवर्क भित्र एक आक्रमणकारी, वा एक जिज्ञासु कर्मचारी, वा एक जोखिम स्क्यान हो।

निष्कर्ष

XNUMX-घण्टा अवधिमा आक्रमणकारीहरूको कार्यहरू हेरेपछि, यो स्पष्ट हुन्छ कि कुनै पनि संगठन, देश, वा अपरेटिङ सिस्टममा आक्रमणको स्पष्ट स्रोत पहिचान गर्न असम्भव छ।

स्रोतहरूको विस्तृत वितरणले देखाउँछ कि स्क्यान शोर स्थिर छ र एक विशेष स्रोतसँग सम्बन्धित छैन। इन्टरनेटमा काम गर्ने जो कोहीले आफ्नो प्रणाली सुनिश्चित गर्नुपर्छ धेरै सुरक्षा स्तरहरू। को लागि एक साझा र प्रभावकारी समाधान SSH सेवा अनियमित उच्च पोर्टमा सारिनेछ। यसले कडा पासवर्ड सुरक्षा र अनुगमनको आवश्यकतालाई हटाउँदैन, तर कम्तिमा यो सुनिश्चित गर्दछ कि लगहरू लगातार स्क्यानिङद्वारा रोकिएको छैन। उच्च पोर्ट जडानहरू लक्षित आक्रमणहरू हुने सम्भावना बढी हुन्छ, जुन तपाईंको रुचिको हुन सक्छ।

प्राय: खुला टेलनेट पोर्टहरू राउटर वा अन्य उपकरणहरूमा हुन्छन्, त्यसैले तिनीहरू सजिलै उच्च पोर्टमा सार्न सकिँदैन। सबै खुला पोर्ट बारे जानकारी и आक्रमण सतह यी सेवाहरू फायरवाल वा असक्षम छन् भनी सुनिश्चित गर्ने एक मात्र तरिका हो। यदि सम्भव छ भने, तपाईंले टेलनेट प्रयोग गर्नु हुँदैन; यो प्रोटोकल इन्क्रिप्ट गरिएको छैन। यदि तपाईलाई यसको आवश्यकता छ र यो बिना गर्न सक्नुहुन्न भने, त्यसपछि सावधानीपूर्वक निगरानी गर्नुहोस् र बलियो पासवर्डहरू प्रयोग गर्नुहोस्।

स्रोत: www.habr.com