{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception aan de hand van het voorbeeld Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Op Habr zijn al verschillende artikelen over de technologie\u00ebn Honeypot en Deception.1 artikel<\/a><\/noindex>, 2 artikelen<\/a><\/noindex>. Echter, we komen nog steeds vaak onbegrip tegen over het verschil tussen deze klassen van beveiligingsmiddelen. Daarom hebben onze collega's van Xello Deception<\/a><\/noindex> (de eerste Russische ontwikkelaar van Deception-platforms<\/a><\/noindex>) besloten om de verschillen, voordelen en architecturale kenmerken van deze oplossingen uitgebreid te beschrijven.<\/p>\n

Laten we eens bekijken wat \"honeypots\" en \"deception\" zijn:<\/h2>\n

\"Deceptie technologie\" (Engels: Deception technology) is relatief recent op de markt van informatieveiligheidssystemen verschenen. Toch beschouwen sommige specialisten Security Deception nog steeds als een geavanceerdere vorm van \"honeypots\" (Engels: honeypot). <\/p>\n

In dit artikel zullen we zowel de overeenkomsten als de fundamentele verschillen tussen deze twee oplossingen belichten. In het eerste deel bespreken we de 'honeypot', hoe deze technologie zich heeft ontwikkeld en wat de voordelen en nadelen ervan zijn. In het tweede deel zullen we uitgebreid ingaan op de principes van het functioneren van platforms voor het cre\u00ebren van een gedistribueerde infrastructuur voor valse doelwitten (Engels, Distributed Deception Platform - DDP). <\/p>\n

Het basisprincipe achter honeypots is het cre\u00ebren van vallen voor hackers. Op hetzelfde principe zijn ook de eerste Deception-oplossingen ontwikkeld. Moderne DDP's overstijgen echter honeypots aanzienlijk, zowel in functionaliteit als in effectiviteit. Deception-platforms omvatten: valse doelen (Engels, decoys, traps), lokmiddelen (Engels, lures), applicaties, gegevens, databases, Active Directory. Moderne DDP's kunnen uitgebreide mogelijkheden bieden voor het detecteren van bedreigingen, het analyseren van aanvallen en het automatiseren van responsacties. <\/p>\n

Deception-technieken bootsen de IT-infrastructuur van een bedrijf na en misleiden hackers. Hierdoor kunnen dergelijke platforms aanvallen stoppen voordat er aanzienlijke schade aan de activa van het bedrijf is aangericht. Honeypots hebben natuurlijk niet zo'n brede functionaliteit en automatiseringsniveau, waardoor hun toepassing meer expertise van het personeel van beveiligingsafdelingen vereist.<\/p>\n

1. Honeypots, Honeynets en Sandboxing: wat zijn het en hoe worden ze toegepast?<\/h2>\n

De term \"honeypots\" werd voor het eerst in 1989 gebruikt in het boek van Clifford Stoll \"The Cuckoo\u2019s Egg\", waarin de gebeurtenissen rond het opsporen van een hacker in het Lawrence Berkeley National Laboratory (VS) worden beschreven. In de praktijk werd dit idee in 1999 gerealiseerd door Lance Spitzner, een beveiligingsexpert van Sun Microsystems, die het onderzoekproject \"Honeynet Project\" oprichtte. De eerste honeypots waren zeer resource-intensief, complex in opzet en onderhoud. <\/p>\n

Laten we dieper ingaan op wat honeypots <\/strong>en honeynets<\/strong>. Honeypots zijn afzonderlijke hosts die bedoeld zijn om aanvallers aan te trekken om in het netwerk van een bedrijf binnen te dringen en te proberen waardevolle gegevens te stelen, en tevens om het bereik van het netwerk te vergroten. Een honeypot (letterlijk vertaald als \"pot met honing\") is een speciale server met een reeks verschillende netwerkservices en protocollen, zoals HTTP, FTP, enz. (zie afbeelding 1).<\/p>\n

\"Honeypot<\/p>\n

Als we meerdere honeypots <\/strong>in een netwerk combineren, krijgen we een effectievere systeem honeynet<\/strong>, wat een emulatie van het bedrijfsnetwerk van het bedrijf is (webserver, bestandenserver en andere netwerkcomponenten). Deze oplossing stelt ons in staat om de strategie\u00ebn van aanvallers te begrijpen en hen te misleiden. Een typische honeynet werkt meestal parallel aan het operationele netwerk en is volledig onafhankelijk ervan. Zo'n \"netwerk\" kan op een afzonderlijk kanaal op het internet worden gepubliceerd, en er kan ook een afzonderlijk IP-adresbereik voor worden toegewezen (zie afbeelding 2).<\/p>\n

\"Honeypot<\/p>\n

Het doel van het gebruik van een honeynet is om de hacker te laten denken dat hij zogenaamd in het bedrijfsnetwerk van de organisatie is binnengekomen, terwijl de aanvaller zich eigenlijk in een \"ge\u00efsoleerde omgeving\" bevindt en onder nauwlettend toezicht staat van beveiligingsspecialisten (zie afbeelding 3).<\/p>\n

\"Honeypot<\/p>\n

Hier moet ook een middel worden genoemd, zoals een \"sandbox<\/strong>\" (Engels, sandbox<\/strong>), dat aanvallers in staat stelt om schadelijke programma's in een ge\u00efsoleerde omgeving te installeren en uit te voeren, waar IT-specialisten hun acties kunnen volgen om potenti\u00eble risico's te identificeren en de benodigde tegenmaatregelen te nemen. Tegenwoordig wordt sandboxing doorgaans ge\u00efmplementeerd op zelfstandige virtuele machines op een virtuele host. Het is echter belangrijk op te merken dat sandboxing alleen laat zien hoe gevaarlijke en kwaadaardige programma's zich gedragen, terwijl een honeynet de specialist helpt het gedrag van \"gevaarlijke spelers\" te analyseren. <\/p>\n

Het voor de hand liggende voordeel van honeynets is dat ze indringers in de war brengen, waardoor ze hun krachten, middelen en tijd verspillen. Als gevolg hiervan vallen ze, in plaats van echte doelwitten, valse doelwitten aan en kunnen ze hun aanval op het netwerk be\u00ebindigen zonder iets te bereiken. Honeynets worden vooral gebruikt in overheidsinstellingen en grote bedrijven, financi\u00eble organisaties, omdat deze structuren vaak doelwitten zijn van grote cyberaanvallen. Echter, kleine en middelgrote ondernemingen (KMO's) hebben ook effectieve hulpmiddelen nodig voor het voorkomen van informatiebeveiligingsincidenten, maar honeynets zijn in de KMO-sector moeilijk te gebruiken vanwege een gebrek aan gekwalificeerd personeel voor zo\u2019n complexe taak.<\/p>\n

Beperkingen van Honeypots en Honeynets<\/u><\/strong><\/p>\n

Waarom zijn honeypots en honeynets vandaag de dag niet de beste oplossingen voor het bestrijden van aanvallen? Het moet worden opgemerkt dat aanvallen steeds grootschaliger, technisch geavanceerder worden en ernstige schade kunnen toebrengen aan de IT-infrastructuur van een organisatie. Cybercriminaliteit is naar een totaal ander niveau gegaan en vormt hooggeorganiseerde schimmige bedrijfsstructuren, uitgerust met alle benodigde middelen. Daar komt ook nog eens de 'menselijke factor' bij (fouten in de configuratie van software en hardware, acties van insiders, enz.), waardoor het gebruik van alleen technologie\u00ebn voor het voorkomen van aanvallen op dit moment al onvoldoende is. <\/p>\n

Hieronder worden de belangrijkste beperkingen en nadelen van honeypots (honeynets) opgesomd:<\/p>\n

    \n
  1. \n

    Honeypots zijn oorspronkelijk ontwikkeld om bedreigingen buiten het bedrijfsnetwerk te identificeren, zijn meer bedoeld voor het analyseren van het gedrag van aanvallers en zijn niet uitgerust voor snelle reactie op bedreigingen. <\/p>\n<\/li>\n

  2. \n

    Indringers hebben over het algemeen al geleerd om ge\u00ebmmuleerde systemen te herkennen en vermijden honeypots. <\/p>\n<\/li>\n

  3. \n

    Honeynets (honeypots) hebben een zeer laag niveau van interactiviteit en interactie met andere beveiligingssystemen, waardoor het, bij gebruik van honeypots, moeilijk is om uitgebreide informatie over aanvallen en aanvallers te verkrijgen, en dus effici\u00ebnt en snel te reageren op informatiebeveiligingsincidenten. Bovendien krijgen informatiebeveiligingsexperts veel valse waarschuwingen over bedreigingen. <\/p>\n<\/li>\n

  4. \n

    In sommige gevallen kunnen hackers een gecompromitteerde honeypot gebruiken als uitgangspunt om de aanval op het netwerk van de organisatie voort te zetten. <\/p>\n<\/li>\n

  5. \n

    Er doen zich vaak problemen voor met de schaalbaarheid van honeypots, de hoge operationele belasting en de configuratie van dergelijke systemen (ze vereisen hooggekwalificeerd personeel, hebben geen gebruiksvriendelijke beheersinterface, enz.). Er zijn aanzienlijke moeilijkheden bij het implementeren van honeypots in gespecialiseerde omgevingen, zoals IoT, POS, cloudsystemen, enz.<\/p>\n<\/li>\n<\/ol>\n

    2. Deceptietechnologie: voordelen en basisprincipes van werking<\/h2>\n

    Na het bestuderen van alle voordelen en nadelen van honeypots concluderen we dat er een volledig nieuwe benadering vereist is voor incidentrespons in cybersecurity om een snelle en adequate reactie op aanvallers te ontwikkelen. En zo'n oplossing is technologie. Cyber deception (beveiligingsmisleiding)<\/strong>. <\/p>\n

    De terminologie \"Cyber deception\", \"Security deception\", \"Deception technology\", \"Distributed Deception Platform\" (DDP) is relatief nieuw en is niet lang geleden ontstaan. In feite betekenen al deze termen het gebruik van \"deceptietechnologie\u00ebn\" of \"technieken voor het imiteren van IT-infrastructuur en het verspreiden van desinformatie naar aanvallers\". De eenvoudigste Deception-oplossingen zijn een uitbreiding van de idee\u00ebn van honeypots, maar dan op een technologisch geavanceerder niveau, dat meer automatisering van dreigingsdetectie en respons inhoudt. Echter, er zijn al serieuze DDP-oplossingen op de markt die eenvoud in implementatie en schaalbaarheid beloven, en die beschikken over een arsenaal aan \"vallen\" en \"lokken\" voor aanvallers. Bijvoorbeeld, Deception maakt het mogelijk om objecten van IT-infrastructuur te emuleren, zoals databanken, werkstations, routers, switches, geldautomaten, servers en SCADA, medische apparatuur en IoT. <\/p>\n

    Hoe werkt een \"Distributed Deception Platform\"? Na de implementatie van DDP wordt de IT-infrastructuur van de organisatie opgebouwd uit twee lagen: de eerste laag is de echte infrastructuur van het bedrijf, en de tweede laag is de \"ge\u00ebmmuleerde\" omgeving, bestaande uit vallen (Engels: decoys, traps) en lokmiddelen (Engels: lures), die zich op echte fysieke apparaten in het netwerk bevinden (zie fig. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Bijvoorbeeld, een aanvaller kan valse databases met \"vertrouwelijke documenten\" ontdekken, valse inloggegevens van zogenaamd \"bevoegde gebruikers\" - dit zijn allemaal valse doelen die de aandacht van inbrekers kunnen trekken, waardoor ze worden afgeleid van de echte informatie-assets van het bedrijf (zie fig. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP is een nieuwkomer op de markt van beveiligingsproducten, deze oplossingen zijn nog maar enkele jaren oud en tot nu toe zijn ze alleen betaalbaar voor de bedrijfsector. Maar kleine en middelgrote ondernemingen zullen binnenkort ook gebruik kunnen maken van Deception door DDP te huren bij gespecialiseerde leveranciers, \"als een dienst\". Deze optie is zelfs handiger, omdat er geen noodzaak is voor zeer gekwalificeerd personeel.<\/p>\n

    Hieronder staan de belangrijkste voordelen van de Deception-technologie:<\/p>\n