{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception using the example of Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Det finnes allerede flere artikler om Honeypot og Deception-teknologier p\u00e5 Habr\u00e9 (1 artikkel<\/a><\/noindex>, del 2<\/a><\/noindex>). Imidlertid m\u00f8ter vi fortsatt en misforst\u00e5else mellom disse klassene av beskyttelsesverkt\u00f8y. For dette har v\u00e5re kolleger fra Xello Deception<\/a><\/noindex> (den f\u00f8rste russiske utvikleren av Deception-plattformer<\/a><\/noindex>) besluttet \u00e5 detaljerte forskjeller, fordeler og arkitektoniske egenskaper ved disse l\u00f8sningene.<\/p>\n

La oss finne ut hva \u00abhoneypots\u00bb og \u00abdeception\u00bb er:<\/h2>\n

\u00abBedragsteknologier\u00bb (engelsk, Deception technology) har nylig dukket opp p\u00e5 markedet for informasjonssikkerhetssystemer. Imidlertid mener noen spesialister fortsatt at Security Deception bare er mer avanserte \u00abhoneypots\u00bb (engelsk, honeypot). <\/p>\n

I denne artikkelen vil vi belyse b\u00e5de likhetene og de grunnleggende forskjellene mellom disse to l\u00f8sningene. I f\u00f8rste del vil vi snakke om \u00abhoneypots\u00bb, hvordan teknologien har utviklet seg og hvilke fordeler og ulemper den har. I den andre delen vil vi fokusere p\u00e5 prinsippene for plattformer som oppretter distribuert infrastruktur av falske m\u00e5l (engelsk, Distributed Deception Platform \u2014 DDP). <\/p>\n

Det grunnleggende prinsippet bak honeypots er \u00e5 lage feller for hackere. Det samme prinsippet ble ogs\u00e5 brukt til \u00e5 utvikle de tidligste Deception-l\u00f8sningene. Men moderne DDP er betydelig mer avanserte enn honeypots, b\u00e5de n\u00e5r det gjelder funksjonalitet og effektivitet. Deception-plattformer inkluderer: feller (engelsk, decoys, traps), lokkemidler (engelsk, lures), applikasjoner, data, databaser, Active Directory. Moderne DDP kan tilby omfattende muligheter for trusseloppdagelse, angrepsanalyse og automatisering av respons. <\/p>\n

Dermed representerer Deception teknikker for \u00e5 imitere IT-infrastruktur i selskapet og lure hackere. Som et resultat lar slike plattformer deg stoppe angrep f\u00f8r de p\u00e5f\u00f8rer betydelig skade p\u00e5 selskapets eiendeler. Honeypots har selvf\u00f8lgelig ikke den samme omfattende funksjonaliteten og automasjonsniv\u00e5et, s\u00e5 bruken av dem krever h\u00f8yere kvalifikasjoner fra de ansatte i IKT-avdelingene.<\/p>\n

1. Honeypots, Honeynets og Sandboxing: hva er dette og hvordan brukes det?<\/h2>\n

Begrepet \u00abhoneypots\u00bb ble f\u00f8rst brukt i 1989 i Clifford Stoll's bok \u00abThe Cuckoo\u2019s Egg\u00bb, som beskriver hendelsene rundt sporing av en hacker ved Lawrence Berkeley National Laboratory (USA). I praksis ble denne ideen realisert i 1999 av Lance Spitzner, en ekspert p\u00e5 informasjonssikkerhet i Sun Microsystems, som grunnla forskningsprosjektet \u00abHoneynet Project\u00bb. De f\u00f8rste honeypots var sv\u00e6rt ressurskrevende og vanskelige \u00e5 sette opp og vedlikeholde. <\/p>\n

Let's take a closer look at what honeypots <\/strong>og honeynets<\/strong>. Honeypots are standalone hosts whose purpose is to lure attackers into penetrating the company\u2019s network and attempting to steal valuable data, as well as to extend the range of the network. A honeypot (literally translated as 'barrel of honey') is a special server with a set of various network services and protocols, such as HTTP, FTP, etc. (see fig. 1).<\/p>\n

\"Honeypot<\/p>\n

If we combine several honeypots <\/strong>into a network, we obtain a more effective system honeynet<\/strong>, which simulates the corporate network of the company (web server, file server, and other network components). This solution allows us to understand the strategy of attackers and mislead them. A typical honeynet usually operates in parallel with the working network and completely independently of it. This 'network' can be published on the Internet via a separate channel, and a separate range of IP addresses can also be allocated for it (see fig. 2).<\/p>\n

\"Honeypot<\/p>\n

The purpose of using a honeynet is to make the hacker believe that they have supposedly penetrated the corporate network of the organization; in reality, the attacker is in an 'isolated environment' and under the close watch of information security specialists (see fig. 3).<\/p>\n

\"Honeypot<\/p>\n

Here, it is also necessary to mention a tool called 'sandbox<\/strong>' (in English, sandbox<\/strong>), which allows attackers to install and run malicious programs in an isolated environment, where IT specialists can monitor their actions to identify potential risks and take necessary countermeasures. Currently, sandboxing is typically implemented on dedicated virtual machines on a virtual host. However, it should be noted that sandboxing only shows how dangerous and malicious programs behave, while honeynet helps the specialist analyze the behavior of 'dangerous players'. <\/p>\n

Den \u00e5penbare fordelen med honeynets er at de bedrar angripere, samtidig som de sl\u00f8ser bort ressursene, kreftene og tiden deres. Som et resultat av dette angriper de falske m\u00e5l i stedet for reelle, noe som kan f\u00e5 dem til \u00e5 avbryte angrepene uten \u00e5 oppn\u00e5 noe. Honeynets-teknologi benyttes ofte av statlige institusjoner og store selskaper, samt finansielle organisasjoner, da disse strukturene ofte er m\u00e5l for store cyberangrep. Men sm\u00e5 og mellomstore bedrifter (SMB) trenger ogs\u00e5 effektive verkt\u00f8y for \u00e5 forhindre IKT-hendelser, til tross for at det kan v\u00e6re utfordrende \u00e5 bruke honeynets i SMB-sektoren p\u00e5 grunn av mangel p\u00e5 kvalifisert arbeidskraft for dette komplekse arbeidet.<\/p>\n

Begrensninger ved Honeypots og Honeynets<\/u><\/strong><\/p>\n

Hvorfor er ikke honeypots og honeynets de beste l\u00f8sningene for motstand mot angrep i dag? Det m\u00e5 bemerkes at angrepene blir stadig mer omfattende, teknisk krevende og kan for\u00e5rsake betydelig skade p\u00e5 en organisasjons IT-infrastruktur. Cyberkriminalitet har n\u00e5dd et helt nytt niv\u00e5 og utgj\u00f8r h\u00f8yt organiserte skyggevirksomheter som har alle n\u00f8dvendige ressurser. I tillegg kommer det \u00abmenneskelige faktoren\u00bb (feil i programvare- og maskinvareoppsett, handlinger fra innsidere osv.), derfor er det ikke lenger tilstrekkelig \u00e5 kun bruke teknologi for \u00e5 forhindre angrep. <\/p>\n

Nedenfor er de viktigste begrensningene og ulempene ved honeypots (honeynets):<\/p>\n

    \n
  1. \n

    Honeypots ble opprinnelig utviklet for \u00e5 identifisere trusler som befinner seg utenfor det bedriftsnettverket, og er mer rettet mot \u00e5 analysere oppf\u00f8rselen til angripere enn \u00e5 svare raskt p\u00e5 trusler. <\/p>\n<\/li>\n

  2. \n

    Angripere har vanligvis allerede l\u00e6rt \u00e5 kjenne igjen emulerte systemer og unng\u00e5 honeypots. <\/p>\n<\/li>\n

  3. \n

    Honeynets (honeypots) har en ekstremt lav grad av interaktivitet og samhandling med andre sikkerhetssystemer, noe som gj\u00f8r det vanskelig \u00e5 f\u00e5 omfattende informasjon om angrepene og angriperne, og dermed effektivt og raskt reagere p\u00e5 IKT-hendelser. Dessuten mottar IKT-spesialister et stort antall falske varsler om trusler. <\/p>\n<\/li>\n

  4. \n

    I noen tilfeller kan hackere bruke et kompromittert honeypot som et utgangspunkt for videre angrep p\u00e5 organisasjonens nettverk. <\/p>\n<\/li>\n

  5. \n

    Det oppst\u00e5r ofte problemer med skalerbarhet av honeypots, h\u00f8y driftbelastning og konfigureringen av slike systemer (de krever h\u00f8yt kvalifiserte spesialister, har ikke et brukervennlig administrasjonsgrensesnitt osv.). Det er store utfordringer med \u00e5 implementere honeypots i spesialiserte milj\u00f8er, slik som IoT, POS, skybaserte systemer osv.<\/p>\n<\/li>\n<\/ol>\n

    2. Deception-teknologi: fordeler og grunnleggende prinsipper for drift<\/h2>\n

    Etter \u00e5 ha unders\u00f8kt alle fordeler og ulemper med honeypots konkluderer vi med at det er behov for en helt ny tiln\u00e6rming til hendelsesh\u00e5ndtering innen informasjonssikkerhet for \u00e5 utvikle en rask og adekvat respons p\u00e5 angrepshandlinger. Og en slik l\u00f8sning er teknologi. Cyber deception (Security deception)<\/strong>. <\/p>\n

    Terminologien \u00abCyber deception\u00bb, \u00abSecurity deception\u00bb, \u00abDeception technology\u00bb, \u00abDistributed Deception Platform\u00bb (DDP) er relativt ny og dukket opp for ikke s\u00e5 lenge siden. Faktisk betyr alle disse begrepene bruken av \u00abbedragsteknologier\u00bb eller \u00abimitasjonsmetoder for IT-infrastruktur og desinformasjon av angripere\u00bb. De enkleste Deception-l\u00f8sningene er utviklingen av ideene bak honeypots, men p\u00e5 et mer teknologisk avansert niv\u00e5 som inneb\u00e6rer h\u00f8yere grad av automatisering i trusseldeteksjon og respons. Imidlertid er det allerede seri\u00f8se l\u00f8sninger av DDP-klasse p\u00e5 markedet som tilbyr enkel distribusjon og skalerbarhet, samt har et betydelig arsenal av \u00abfeller\u00bb og \u00abagn\u00bb for angripere. For eksempel gj\u00f8r Deception det mulig \u00e5 emulere objekter fra IT-infrastrukturen, som databaser, arbeidsstasjoner, rutere, svitsjer, minibanker, servere og SCADA, medisinsk utstyr og IoT. <\/p>\n

    Hvordan fungerer \u00abDistributed Deception Platform\u00bb? Etter distribusjon av DDP vil IT-infrastrukturen til organisasjonen v\u00e6re bygget opp som om den best\u00e5r av to lag: det f\u00f8rste laget er den virkelige infrastrukturen til selskapet, mens det andre laget er et \u00abemulert\u00bb milj\u00f8 best\u00e5ende av feller (engelsk, decoys, traps) og agn (engelsk, lures) som er plassert p\u00e5 faktiske fysiske enheter i nettverket (se fig. 4).<\/p>\n

    \"Honeypot<\/p>\n

    For example, an attacker may discover false databases with \"confidential documents\" and fake credentials supposedly belonging to \"privileged users\" \u2014 all of these are false targets that could attract intruders, diverting their attention from the company's true information assets (see Fig. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP is a new product in the information security market; these solutions are only a few years old and are currently only accessible to the corporate sector. However, small and medium-sized businesses will soon be able to take advantage of Deception by renting DDP from specialized providers \"as a service.\" This option is even more convenient since there is no need for in-house highly qualified personnel.<\/p>\n

    Below are the main advantages of Deception technology:<\/p>\n