{"id":30311,"date":"2019-10-31T21:34:49","date_gmt":"2019-10-31T18:34:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/analiz-atak-na-hanipot-cowrie\/"},"modified":"2019-10-31T21:34:49","modified_gmt":"2019-10-31T18:34:49","slug":"analiz-atak-na-hanipot-cowrie","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/analiz-atak-na-hanipot-cowrie","title":{"rendered":"Analyse van aanvallen op het honeypot Cowrie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Statistieken van 24 uur na de installatie van de honeypot op het Digital Ocean-knooppunt in Singapore<\/b> <\/p>\n

Piu-piu! Laten we meteen beginnen met de aanvalskaart<\/h1>\n

\nOnze supercoole kaart toont unieke ASN die verbinding hebben gemaakt met onze Cowrie-honeypot in 24 uur. Geel staat voor SSH-verbindingen en rood voor Telnet. Dergelijke animaties maken vaak indruk op de raad van bestuur, waardoor het gemakkelijker wordt om meer financiering voor beveiliging en middelen te verkrijgen. Desondanks heeft de kaart enige waarde en laat deze duidelijk de geografische en organisatorische spreiding van de aanvalsmiddelen op onze host zien in slechts 24 uur. Het volume van het verkeer van elke bron wordt niet weergegeven in de animatie.
\n<\/a><\/noindex><\/p>\n

Wat is de Pew Pew-kaart?<\/h3>\n

\nPew Pew-kaart<\/i> is visualisatie van cyberaanvallen<\/a><\/noindex>, meestal geanimeerd en zeer mooi. Dit is een trendy manier om je product te verkopen, berucht omdat het werd gebruikt door het bedrijf Norse Corp. Het bedrijf eindigde slecht: het bleek dat de mooie animaties hun enige kwaliteit waren en dat ze voor analyse fragmentarische gegevens gebruikten.<\/p>\n

Gemaakt met Leafletjs<\/h3>\n

\nVoor degenen die een aanvalskaart voor een groot scherm in een operationeel centrum willen ontwikkelen (je baas zal het leuk vinden), is er een bibliotheek leafletjs<\/a><\/noindex>. We combineren het met de plugin leaflet-migratielaag<\/a><\/noindex>, de Maxmind GeoIP-service \u2014 en klaar<\/a><\/noindex>.<\/p>\n

\"Analyse<\/a><\/noindex><\/p>\n

WTF: wat is deze Cowrie-honeypot?<\/h1>\n

\nEen honeypot is een systeem dat speciaal in het netwerk wordt geplaatst om aanvallers aan te trekken. Verbindingen met het systeem zijn doorgaans onwettig en maken het mogelijk om een aanvaller te detecteren met behulp van gedetailleerde logs. De logs bevatten niet alleen gewone informatie over de verbinding, maar ook sessie-informatie die onthult technieken, tactieken en procedures (TTP)<\/b> van de aanvaller.<\/p>\n

De Cowrie-honeypot<\/a><\/noindex> is bedoeld voor het registreren van SSH- en Telnet-verbindingen<\/b>. Dergelijke honeypots worden vaak op het internet geplaatst om de tools, scripts en hosts van aanvallers te volgen.<\/p>\n

Mijn boodschap aan bedrijven die denken dat ze niet worden aangevallen: 'Je zoekt slecht.'
\n\u2014 James Snook<\/i><\/p><\/blockquote>\n

\n\"Analyse
\n<\/p>\n

Wat staat er in de logs?<\/h1>\n

<\/p>\n

Totaal aantal verbindingen<\/h3>\n

\nVan veel hosts kwamen herhaaldelijke verbindingspogingen. Dit is normaal, omdat aanvallerscripts een lijst met inloggegevens bevatten en meerdere combinaties proberen. De Cowrie-honeypot is ingesteld om bepaalde combinaties van gebruikersnamen en wachtwoorden te accepteren. Dit kan worden ingesteld in het bestand user.db<\/b>.<\/p>\n

\"Analyse
\n<\/p>\n

Geografie van aanvallen<\/h3>\n

\nVolgens de geolocatiegegevens van Maxmind heb ik het aantal verbindingen per land geteld. Brazili\u00eb en China staan aan de top met een groot verschil, uit deze landen komt vaak veel ruis van scanners.<\/p>\n

\"Analyse
\n<\/p>\n

Eigenaar van het netwerkblok<\/h3>\n

\nOnderzoek naar eigenaren van netwerkblokken (ASN) kan organisaties aan het licht brengen met een groot aantal aanvallende hosts. Natuurlijk moet men zich bij dergelijke gevallen altijd realiseren dat veel aanvallen afkomstig zijn van ge\u00efnfecteerde hosts. Het is redelijk om aan te nemen dat de meeste aanvallers niet zo dom zijn om het netwerk vanaf een thuiscomputer te scannen.<\/p>\n

\"Analyse
\n<\/p>\n

Open poorten op aanvallende systemen (gegevens van Shodan.io)<\/h3>\n

\nHet doorlopen van een lijst met IP's via de uitstekende Shodan API<\/a><\/noindex> bepaalt snel systemen met open poorten<\/b> en welke poorten dit zijn. De onderstaande afbeelding toont de concentratie van open poorten per land en organisatie. Het zou mogelijk zijn om blokken van gecompromitteerde systemen te identificeren, maar binnen de kleine steekproef<\/b> is er niets opmerkelijks te zien, behalve een groot aantal open poorten 500 in China.<\/b>.<\/p>\n

Een interessante bevinding is het grote aantal systemen in Brazili\u00eb waarvan de poorten 22, 23<\/b> of andere poorten<\/b>, volgens Censys en Shodan. Het lijkt erop dat deze verbindingen vanaf eindgebruikerscomputers worden gemaakt.<\/p>\n

\"Analyse
\n <\/p>\n

Bots? Niet per se<\/h3>\n

\nGegevens Censys<\/a><\/noindex> voor poorten 22 en 23 toonden op die dag vreemde resultaten. Ik veronderstelde dat de meeste scans en wachtwoordaanvallen afkomstig zijn van bots. Een script verspreidt zich via open poorten en probeert wachtwoorden, en kopieert zichzelf vanaf een nieuw systeem verder met dezelfde methode.<\/p>\n

Maar hier is te zien dat slechts een klein aantal hosts die telnet scannen, de poort 23 naar buiten open heeft. Dit betekent dat de systemen op een andere manier gecompromitteerd zijn, of dat aanvallers de scripts handmatig uitvoeren.<\/p>\n

\"Analyse
\n<\/p>\n

Thuisverbindingen<\/h3>\n

\nEen andere interessante bevinding was het grote aantal thuisgebruikers in de steekproef. Met behulp van reverse lookups <\/b> kon ik 105 verbindingen van specifieke thuiscomputers identificeren. Voor veel thuisverbindingen toont de reverse lookup DNS een hostnaam met woorden als dsl, home, kabel, fiber, enzovoort.<\/p>\n

\"Analyse
\n<\/p>\n

Leer en onderzoek: zet je eigen honeypot op<\/h1>\n

\nOnlangs schreef ik een korte handleiding over hoe je de honeypot Cowrie op je systeem kunt installeren.<\/a><\/noindex>Zoals eerder vermeld, werd in ons geval een Digital Ocean VPS in Singapore gebruikt. De kosten voor 24 uur analyse bedroegen letterlijk enkele centen en de opstelling van het systeem nam 30 minuten in beslag.<\/p>\n

In plaats van Cowrie op internet te draaien en al het lawaai te vangen, kunt u profiteren van de honeypot in uw lokale netwerk. Stel gewoon een melding in als bepaalde poorten worden benaderd. Dit kan een aanvaller in het netwerk zijn, een nieuwsgierige medewerker, of een kwetsbaarheidsscan.<\/p>\n

Conclusies<\/h1>\n

\nNa 24 uur het gedrag van aanvallers te hebben bekeken, wordt het duidelijk dat het moeilijk is om een specifieke bron van aanvallen aan te wijzen in een organisatie, land of zelfs besturingssysteem.<\/p>\n

De wijdverspreide bronnen tonen aan dat het lawaai van scannen constant is en niet aan een specifieke bron is te koppelen. Iedereen die met het internet werkt, moet ervoor zorgen dat zijn systeem meerdere niveaus van beveiliging<\/b>. Een veelvoorkomende en effectieve oplossing voor SSH<\/b> is het verplaatsen van de service naar een willekeurige hoge poort. Dit voorkomt niet de noodzaak van strikte wachtwoordbeveiliging en monitoring, maar zorgt er tenminste voor dat de logs niet constant vol zitten met scannahandelingen. Verbindingen met een hoge poort zijn waarschijnlijker gerichte aanvallen die voor u interessant kunnen zijn.<\/p>\n

Vaak bevinden zich open telnet-poorten op routers of andere apparaten, waardoor ze niet eenvoudig naar een hoge poort kunnen worden verplaatst. Informatie over alle open poorten<\/a><\/noindex> en aanvalsoppervlak<\/a><\/noindex> is de enige manier om te zorgen dat deze diensten door een firewall zijn beschermd of zijn uitgeschakeld. Gebruik Telnet zo min mogelijk, omdat het protocol niet wordt versleuteld. Als het nodig is en niet anders kan, controleer het dan zorgvuldig en gebruik betrouwbare wachtwoorden.
\n
Bron: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439\u00a0\u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30311","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Analyse van aanvallen op de honeypot Cowrie | ProHoster","description":"Statistieken na 24 uur van het instellen van de honeypot op het Digital Ocean-knooppunt in Singapore Piu-piu!","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/analiz-atak-na-hanipot-cowrie","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0430\u0442\u0430\u043a \u043d\u0430 \u0445\u0430\u043d\u0438\u043f\u043e\u0442 Cowrie | ProHoster","og:description":"\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443!","og:url":"https:\/\/prohoster.info\/nl\/blog\/analiz-atak-na-hanipot-cowrie","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:49+00:00","article:modified_time":"2019-10-31T18:34:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30311","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/30311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=30311"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/30311\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=30311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=30311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=30311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}