🥇Honeypot vs Deception na przykładzie Xello

Na portalu Chaba już pojawiło się kilka artykułów na temat technologii Honeypot i Deception (1 artykuł, 2 artykuł). Niemniej jednak, wciąż spotykamy się z brakiem zrozumienia różnicy między tymi klasami środków ochrony. W tym celu nasi koledzy z Xello Deception (pierwszy rosyjski deweloper platformy Deception) postanowili szczegółowo opisać różnice, zalety i cechy architektoniczne tych rozwiązań.

Przyjrzyjmy się, czym są "honeypoty" i "deception":

"Technologie oszustwa" (ang., Deception technology) pojawiły się na rynku systemów bezpieczeństwa informacji stosunkowo niedawno. Niemniej jednak, niektórzy specjaliści wciąż uważają, że Security Deception to tylko bardziej zaawansowane "honeypoty" (ang., honeypot).

W tym artykule postaramy się omówić zarówno podobieństwa, jak i zasadnicze różnice tych dwóch rozwiązań. W pierwszej części opowiemy o "honeypotach", jak ta technologia się rozwijała oraz jakie ma zalety i wady. W drugiej części szczegółowo omówimy zasady działania platform do tworzenia rozproszonej infrastruktury fałszywych celów (ang., Distributed Deception Platform — DDP).

Podstawowa zasada, na której opierają się honeypoty, to tworzenie pułapek dla hakerów. Na tej samej zasadzie opracowano również pierwsze rozwiązania Deception. Jednak współczesne DDP znacznie przewyższają honeypoty zarówno pod względem funkcjonalności, jak i efektywności. Platformy Deception obejmują: pułapki (ang., decoys, traps), przynęty (ang., lures), aplikacje, dane, bazy danych, Active Directory. Współczesne DDP mogą zapewnić szerokie możliwości wykrywania zagrożeń, analizy ataków oraz automatyzacji działań odpowiednich.

W ten sposób, Deception to techniki imitacji infrastruktury IT przedsiębiorstwa oraz wprowadzania w błąd hakerów. W efekcie, takie platformy pozwalają na zatrzymywanie ataków przed wyrządzeniem znacznych szkód aktywom firmy. Honeypoty, oczywiście, nie mają tak szerokiego funkcjonalności i takiego poziomu automatyzacji, dlatego ich zastosowanie wymaga większej kwalifikacji od pracowników działów bezpieczeństwa informacji.

1. Honeypoty, Honeynety i Sandboxing: co to jest i jak się to stosuje

Po raz pierwszy termin „honeypots” został użyty w 1989 roku w książce Clifforda Stolla „The Cuckoo’s Egg”, w której opisano wydarzenia związane z wykrywaniem hakera w Narodowym Laboratorium Lawrence'a Berkeleya (USA). W praktyce pomysł ten został wcielony w życie w 1999 roku przez Lanca Spitznera, specjalistę ds. bezpieczeństwa w firmie Sun Microsystems, który założył projekt badawczy „Honeynet Project”. Pierwsze honeypoty były bardzo zasobożerne, skomplikowane w konfiguracji i utrzymaniu.

Przyjrzyjmy się bliżej, czym są honeypots i honeynets. Honeypots to pojedyncze hosty, których celem jest przyciągnięcie napastników do włamania się do sieci firmy i próby kradzieży cennych danych, a także rozszerzenie obszaru działania sieci. Honeypot (tłumaczy się dosłownie jako „bębenek z miodem”) jest specjalnym serwerem z zestawem różnych usług i protokołów sieciowych, takich jak HTTP, FTP itp. (zob. rys. 1).

Jeśli połączymy kilka honeypots w sieć, otrzymamy znacznie bardziej efektywny system honeynet, który stanowi symulację korporacyjnej sieci firmy (serwer www, serwer plików i inne komponenty sieci). Takie rozwiązanie pozwala zrozumieć strategię działań napastników i wprowadzić ich w błąd. Typowy honeynet zazwyczaj działa równolegle z siecią roboczą i jest całkowicie od niej niezależny. Taką „sieć” można opublikować w Internecie przez oddzielny kanał, a także można jej przydzielić osobny zakres adresów IP (zob. rys. 2).

Celem zastosowania honeynet jest pokazanie hackerowi, że rzekomo włamał się do korporacyjnej sieci organizacji, podczas gdy w rzeczywistości napastnik znajduje się w „izolowanym środowisku” i pod ścisłą kontrolą specjalistów ds. bezpieczeństwa (zob. rys. 3).

Warto również wspomnieć o takim narzędziu, jak „sandbox”, które pozwala napastnikom instalować i uruchamiać złośliwe oprogramowanie w izolowanym środowisku, gdzie specjaliści IT mogą śledzić ich działania w celu wykrycia potencjalnych zagrożeń i podjęcia niezbędnych działań zaradczych. W chwili obecnej sandboxing zazwyczaj wdraża się na wydzielonych maszynach wirtualnych na wirtualnym hoście. Jednak należy zauważyć, że sandboxing pokazuje tylko, jak zachowują się niebezpieczne i złośliwe programy, podczas gdy honeynet pomaga specjaliście przeanalizować zachowanie „niebezpiecznych graczy”. sandbox), która pozwala atakującym na instalowanie i uruchamianie złośliwego oprogramowania w izolowanym środowisku, gdzie specjaliści IT mogą śledzić ich działania w celu identyfikacji potencjalnych zagrożeń i podejmowania odpowiednich działań. Obecnie sandboxing zazwyczaj wdrażany jest na dedykowanych maszynach wirtualnych na wirtualnym hoście. Należy jednak zauważyć, że sandboxing pokazuje tylko, jak zachowują się niebezpieczne i złośliwe programy, podczas gdy honeynet pomaga specjalistom w analizie zachowań „niebezpiecznych graczy”.

Oczywistą korzyścią z honeynetów jest to, że wprowadzają one przestępców w błąd, marnując ich siły, zasoby i czas. W rezultacie, zamiast atakować rzeczywiste cele, atakują fałszywe i mogą zaprzestać ataków na sieć, nic nie osiągając. Najczęściej technologie honeynetów są wykorzystywane w instytucjach rządowych i dużych korporacjach, organizacjach finansowych, ponieważ to te struktury najczęściej stają się celem dużych cyberataków. Jednak małe i średnie przedsiębiorstwa (SMB) również potrzebują skutecznych narzędzi do zapobiegania incydentom bezpieczeństwa, lecz używanie honeynetów w sektorze SMB nie jest takie proste z powodu braku wykwalifikowanego personelu do tak skomplikowanej pracy.

Ograniczenia rozwiązań Honeypots i Honeynets

Dlaczego honeypots i honeynets nie są najlepszymi rozwiązaniami do przeciwdziałania atakom dzisiaj? Należy zauważyć, że ataki stają się coraz bardziej rozbudowane, technicznie skomplikowane i zdolne do wyrządzenia poważnych szkód w infrastrukturze IT organizacji, a cyberprzestępczość weszła na zupełnie nowy poziom i stanowi wysoko zorganizowane struktury biznesowe, wyposażone we wszystkie niezbędne zasoby. Do tego należy dodać 'czynnik ludzki' (błędy w konfiguracji oprogramowania i sprzętu, działania osób wewnętrznych itd.), dlatego stosowanie tylko technologii do zapobiegania atakom obecnie już nie wystarcza.

Poniżej przedstawiamy główne ograniczenia i wady honeypots (honeynets):

Honeypoty zostały pierwotnie zaprojektowane do identyfikacji zagrożeń, które są poza korporacyjną siecią, są raczej przeznaczone do analizy zachowań napastników i nie są zaplanowane do szybkiego reagowania na zagrożenia.
Sprawcy przestępstw zazwyczaj już nauczyli się rozpoznawać emulowane systemy i unikać honeypots.
Honeynets (honeypots) mają niezwykle niski poziom interaktywności i współpracy z innymi systemami bezpieczeństwa, w efekcie czego, korzystając z honeypotów, trudno uzyskać szczegółowe informacje o atakach i atakujących, co utrudnia efektywne i szybkie reagowanie na incydenty bezpieczeństwa. Co więcej, specjaliści ds. bezpieczeństwa otrzymują dużą liczbę fałszywych powiadomień o zagrożeniach.
W niektórych przypadkach hakerzy mogą wykorzystać skompromitowany honeypot jako punkt wyjścia do kontynuacji ataku na sieć organizacji.
Często występują problemy ze skalowalnością honeypotów, wysokim obciążeniem operacyjnym oraz konfiguracją takich systemów (wymagają wysoko wykwalifikowanych specjalistów, nie mają wygodnego interfejsu zarządzania itd.). Istnieją duże trudności w wdrażaniu honeypotów w wyspecjalizowanych środowiskach, takich jak IoT, POS, systemy chmurowe itd.

2. Technologia oszustw: zalety i podstawowe zasady działania

Analizując wszystkie zalety i wady honeypotów, dochodzimy do wniosku, że konieczne jest całkowicie nowe podejście do reagowania na incydenty bezpieczeństwa, aby wypracować szybkie i adekwatne odpowiedzi na działania atakujących. A takim rozwiązaniem są technologie Cyber deception (oszustwo w cyberprzestrzeni).

Terminologia «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) jest stosunkowo nowa i pojawiła się niedawno. W rzeczywistości wszystkie te terminy oznaczają wykorzystanie «technologii oszustw» lub «technik symulacji infrastruktury IT i dezinformacji dla działań przestępczych». Najprostsze rozwiązania Deception są rozwinięciem idei honeypotów, ale na bardziej technologicznie zaawansowanym poziomie, co zakłada większą automatyzację wykrywania zagrożeń oraz reakcji na nie. Na rynku istnieją już poważne rozwiązania klasy DDP, które zakładają łatwość wdrażania i skalowania, a także dysponują poważnym arsenałem «pułapek» i «przynęt» dla atakujących. Na przykład Deception pozwala na emulację takich obiektów infrastruktury IT jak bazy danych, stacje robocze, routery, przełączniki, bankomaty, serwery oraz SCADA, sprzęt medyczny oraz IoT.

Jak działa «Distributed Deception Platform»? Po wdrożeniu DDP, infrastruktura IT organizacji zostanie zbudowana jakby z dwóch warstw: pierwsza warstwa to rzeczywista infrastruktura firmy, a druga to «emulowane» środowisko, składające się z pułapek (ang. decoys, traps) i przynęt (ang. lures), które są umiejscowione na rzeczywistych fizycznych urządzeniach sieci (zob. rys. 4).

Na przykład, cyberprzestępca może odkryć fałszywe bazy danych z "poufniecymi dokumentami", podrobione dane logowania rzekomo "uprawnionych użytkowników" — to wszystko są fałszywe cele, które mogą zainteresować naruszających, odciągając ich uwagę od prawdziwych zasobów informacyjnych firmy (patrz rys. 5).

DDP to nowość na rynku produktów bezpieczeństwa IT, te rozwiązania mają zaledwie kilka lat i obecnie mogą sobie na nie pozwolić tylko firmy korporacyjne. Jednak małe i średnie przedsiębiorstwa wkrótce także będą mogły skorzystać z Deception, wynajmując DDP u specjalistycznych dostawców "jako usługa". Taki wariant jest nawet wygodniejszy, ponieważ nie ma konieczności posiadania własnych wysoko wykwalifikowanych pracowników.

Poniżej przedstawiono główne zalety technologii Deception:

Autentyczność. Technologia Deception potrafi odtworzyć w pełni autentyczne środowisko IT firmy, jakościowo emulując systemy operacyjne, IoT, POS, systemy specjalistyczne (medyczne, przemysłowe itp.), usługi, aplikacje, dane logowania itp. Pułapki (decoys) są starannie mieszane z rzeczywistym środowiskiem, co uniemożliwia cyberprzestępcy zidentyfikowanie ich jako honeypots.
Wdrożenie. DDP wykorzystuje uczenie maszynowe (ang. machine learning, ML) w swojej pracy. Dzięki ML zapewniona jest prostota, elastyczność w ustawieniach i efektywność wdrażania Deception. "Pułapki" i "przynęty" szybko się aktualizują, angażując cyberprzestępcę w "fałszywą" infrastrukturę IT firmy, a w międzyczasie zaawansowane systemy analizy oparte na sztucznej inteligencji mogą wykrywać aktywne działania hakerów i je zapobiegać (na przykład, próbę dostępu do Active Directory na podstawie fałszywych danych logowania).
Łatwość eksploatacji. Nowoczesne "Distributed Deception Platforms" są proste w obsłudze i zarządzaniu. Zwykle zarządzane są przez lokalną lub chmurową konsolę, istnieją możliwości integracji z korporacyjnym SOC (Security Operations Center) za pośrednictwem API oraz z wieloma istniejącymi środkami kontroli bezpieczeństwa. Do zarządzania i pracy DDP nie są wymagane usługi wysoko wykwalifikowanych ekspertów ds. bezpieczeństwa IT.
Skalowalność. Oszustwa zabezpieczeń mogą być rozprzestrzeniane w środowiskach fizycznych, wirtualnych i chmurowych. DDP efektywnie działa również w wyspecjalizowanych środowiskach, takich jak IoT, ICS, POS, SWIFT itd. Zaawansowane platformy Deception mogą projektować „technologie oszustwa” także w zdalnych biurach oraz izolowanych środowiskach, nie wymagając pełnego dodatkowego wdrożenia platformy.
Interakcja. Wykorzystując skuteczne i atrakcyjne pułapki (decoys) oparte na rzeczywistych systemach operacyjnych, sprytnie umieszczone w obrębie rzeczywistej infrastruktury IT, platforma Deception gromadzi obszerną informację o napastniku. Następnie DDP zapewnia przesyłanie powiadomień o zagrożeniach, generuje raporty i przeprowadza automatyczne reagowanie na incydenty bezpieczeństwa.
Punkt początku ataku. W nowoczesnych rozwiązaniach Deception pułapki i wabiki są umieszczane wewnątrz zakresu sieci, a nie na jej zewnątrz (jak w przypadku honeypotów). Taki model wdrożenia pułapek uniemożliwia napastnikowi wykorzystanie ich jako punktu oparcia do ataku na rzeczywistą infrastrukturę IT firmy. W bardziej zaawansowanych rozwiązaniach klasy Deception istnieją możliwości routingu ruchu, co pozwala na skierowanie całego ruchu napastników przez specjalnie dedykowane połączenie. To umożliwi analizę aktywności napastników bez ryzyka dla cennych aktywów firmy.
Przekonującość „technologii oszustwa”. Na początkowym etapie ataku napastnicy zbierają i analizują dane o infrastrukturze IT, a następnie wykorzystują je do poziomego poruszania się po sieci firmowej. Dzięki „technologiom oszustwa” atakujący na pewno wpadnie w „pułapki”, które odciągną go od rzeczywistych aktywów organizacji. DDP przeanalizuje potencjalne ścieżki dostępu do danych uwierzytelniających w sieci korporacyjnej i dostarczy atakującemu „fałszywe cele” zamiast rzeczywistych danych uwierzytelniających. Te możliwości były bardzo brakującą cechą technologii honeypot. (Zob. rys. 6).

Deception VS Honeypot

I wreszcie dochodzimy do najciekawszego punktu naszego badania. Spróbujmy wydobyć kluczowe różnice pomiędzy technologiami Deception i Honeypot. Mimo pewnych podobieństw, te dwie technologie różnią się znacznie, począwszy od zasadniczej idei aż po efektywność działania.

Różne podstawowe idee. Jak już wcześniej pisaliśmy, honeypoty są instalowane jako "przynęty" wokół cennych aktywów firmy (poza siecią korporacyjną), starając się w ten sposób odwrócić uwagę cyberprzestępców. Technologia honeypot opiera się na obrazach infrastruktury organizacji, jednak honeypoty mogą stać się punktem wyjścia do ataku na sieć firmy. Technologia Deception została opracowana z perspektywy cyberprzestępcy i umożliwia identyfikację ataku we wczesnym stadium, co daje specjalistom ds. bezpieczeństwa znaczną przewagę nad przestępcami i zyskuje cenny czas.
"Przyciąganie" VS "Mylenie". Przy użyciu honeypotów sukces zależy od przyciągnięcia uwagi atakujących oraz dalszej motywacji, aby przeszli do celu w honeypocie. Oznacza to, że atakujący musi dotrzeć do honeypota, a tylko potem będzie można go powstrzymać. W ten sposób obecność cyberprzestępców w sieci może trwać przez kilka miesięcy i dłużej, co prowadzi do wycieku danych i strat. DDP jakościowo imituje rzeczywistą infrastrukturę IT firmy, a ich celem nie jest tylko przyciągnięcie uwagi przestępcy, ale również wprowadzenie go w błąd, aby stracił czas i zasoby na marno, nie uzyskując dostępu do rzeczywistych aktywów firmy.
"Ograniczona skalowalność" VS "automatyczna skalowalność". Jak wcześniej zaznaczone, honeypoty i honeynety mają problemy ze skalowalnością. Jest to trudne i kosztowne, a aby zwiększyć liczbę honeypotów w korporacyjnej sieci, należy dodać nowe komputery, systemy operacyjne, zakupić licencje i przydzielić adresy IP. Co więcej, potrzebny jest również wykwalifikowany personel do zarządzania takimi systemami. Platformy Deception automatycznie rozprzestrzeniają się w miarę skalowania infrastruktury, bez znacznych kosztów dodatkowych.
"Duża liczba fałszywych alarmów" VS "brak fałszywych alarmów"Istotą problemu jest to, że nawet przeciętny użytkownik może napotkać pułapkę, dlatego "drugą stroną" tej technologii jest duża liczba fałszywych alarmów, które odciągają specjalistów ds. bezpieczeństwa od ich pracy. "Przynęty" i "pułapki" w DDP są starannie ukryte przed przeciętnym użytkownikiem i zaprojektowane wyłącznie po to, aby oszukać przestępców, dlatego każdy sygnał z takiego systemu to powiadomienie o rzeczywistej groźbie, a nie fałszywy alarm.

Podsumowanie

Naszym zdaniem technologia Deception to ogromny krok naprzód w porównaniu do starszej technologii Honeypots. W istocie DDP stała się kompleksową platformą bezpieczeństwa, która jest łatwa w wdrożeniu i zarządzaniu.

Nowoczesne platformy tej klasy odgrywają ważną rolę w precyzyjnym wykrywaniu i skutecznym reagowaniu na zagrożenia sieciowe, a ich integracja z innymi składnikami stosu bezpieczeństwa zwiększa poziom automatyzacji, poprawia skuteczność i efektywność reagowania na incydenty. Platformy Deception opierają się na autentyczności, skalowalności, prostocie zarządzania i integracji z innymi systemami. To wszystko daje znaczną przewagę w szybkości reagowania na incydenty bezpieczeństwa.

Wynika także z obserwacji dotyczących testów penetracyjnych w firmach, gdzie wdrożono lub testowano platformę Xello Deception, że nawet doświadczeni pentesterzy często nie potrafią rozpoznać przynęt w sieci korporacyjnej i ponoszą porażkę, wpadając w przygotowane pułapki. Ten fakt jeszcze raz potwierdza skuteczność Deception i duże możliwości, które otwierają się przed tą technologią w przyszłości.