{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot a Deception na przyk\u0142adzie Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Na portalu Chaba ju\u017c pojawi\u0142o si\u0119 kilka artyku\u0142\u00f3w na temat technologii Honeypot i Deception (1 artyku\u0142<\/a><\/noindex>, 2 artyku\u0142<\/a><\/noindex>). Niemniej jednak, wci\u0105\u017c spotykamy si\u0119 z brakiem zrozumienia r\u00f3\u017cnicy mi\u0119dzy tymi klasami \u015brodk\u00f3w ochrony. W tym celu nasi koledzy z Xello Deception<\/a><\/noindex> (pierwszy rosyjski deweloper platformy Deception<\/a><\/noindex>) postanowili szczeg\u00f3\u0142owo opisa\u0107 r\u00f3\u017cnice, zalety i cechy architektoniczne tych rozwi\u0105za\u0144.<\/p>\n

Zrozumiemy, czym w\u0142a\u015bciwie s\u0105 «honeypoty» i «deceptiony»:<\/h2>\n

«Technologie oszustwa» (ang. Deception technology) pojawi\u0142y si\u0119 na rynku system\u00f3w zabezpiecze\u0144 informacyjnych stosunkowo niedawno. Jednak niekt\u00f3rzy specjali\u015bci wci\u0105\u017c uwa\u017caj\u0105 Security Deception za bardziej zaawansowane «honeypoty» (ang. honeypot). <\/p>\n

W tym artykule postaramy si\u0119 om\u00f3wi\u0107 zar\u00f3wno podobie\u0144stwa, jak i zasadnicze r\u00f3\u017cnice tych dw\u00f3ch rozwi\u0105za\u0144. W pierwszej cz\u0119\u015bci opowiemy o \"honeypotach\", jak ta technologia si\u0119 rozwija\u0142a oraz jakie ma zalety i wady. W drugiej cz\u0119\u015bci szczeg\u00f3\u0142owo om\u00f3wimy zasady dzia\u0142ania platform do tworzenia rozproszonej infrastruktury fa\u0142szywych cel\u00f3w (ang., Distributed Deception Platform \u2014 DDP). <\/p>\n

Podstawowa zasada, na kt\u00f3rej opieraj\u0105 si\u0119 honeypoty, to tworzenie pu\u0142apek dla haker\u00f3w. Na tej samej zasadzie opracowano r\u00f3wnie\u017c pierwsze rozwi\u0105zania Deception. Jednak wsp\u00f3\u0142czesne DDP znacznie przewy\u017cszaj\u0105 honeypoty zar\u00f3wno pod wzgl\u0119dem funkcjonalno\u015bci, jak i efektywno\u015bci. Platformy Deception obejmuj\u0105: pu\u0142apki (ang., decoys, traps), przyn\u0119ty (ang., lures), aplikacje, dane, bazy danych, Active Directory. Wsp\u00f3\u0142czesne DDP mog\u0105 zapewni\u0107 szerokie mo\u017cliwo\u015bci wykrywania zagro\u017ce\u0144, analizy atak\u00f3w oraz automatyzacji dzia\u0142a\u0144 odpowiednich. <\/p>\n

W ten spos\u00f3b, Deception to techniki imitacji infrastruktury IT przedsi\u0119biorstwa oraz wprowadzania w b\u0142\u0105d haker\u00f3w. W efekcie, takie platformy pozwalaj\u0105 na zatrzymywanie atak\u00f3w przed wyrz\u0105dzeniem znacznych szk\u00f3d aktywom firmy. Honeypoty, oczywi\u015bcie, nie maj\u0105 tak szerokiego funkcjonalno\u015bci i takiego poziomu automatyzacji, dlatego ich zastosowanie wymaga wi\u0119kszej kwalifikacji od pracownik\u00f3w dzia\u0142\u00f3w bezpiecze\u0144stwa informacji.<\/p>\n

1. Honeypoty, Honeynety i Sandboxing: co to jest i jak si\u0119 to stosuje<\/h2>\n

Po raz pierwszy termin «honeypots» zosta\u0142 u\u017cyty w 1989 roku w ksi\u0105\u017cce Clifforda Stolla «The Cuckoo\u2019s Egg», w kt\u00f3rej opisano wydarzenia zwi\u0105zane ze \u015bledzeniem hakera w Narodowym Laboratorium Lawrence'a Berkleya (USA). W praktyce pomys\u0142 ten zosta\u0142 zrealizowany w 1999 roku przez Lance'a Spitznera, specjalist\u0119 ds. bezpiecze\u0144stwa w firmie Sun Microsystems, kt\u00f3ry za\u0142o\u017cy\u0142 projekt badawczy «Honeynet Project». Pierwsze honeypoty by\u0142y bardzo zasobo\u017cerne, trudne w konfiguracji i zarz\u0105dzaniu. <\/p>\n

Przyjrzyjmy si\u0119 bli\u017cej, czym s\u0105 honeypots <\/strong>i honeynets<\/strong>. Honeypots to pojedyncze hosty, kt\u00f3rych celem jest przyci\u0105gni\u0119cie napastnik\u00f3w do w\u0142amania si\u0119 do sieci firmy i pr\u00f3by kradzie\u017cy cennych danych, a tak\u017ce rozszerzenie obszaru dzia\u0142ania sieci. Honeypot (t\u0142umaczy si\u0119 dos\u0142ownie jako \u201eb\u0119benek z miodem\u201d) jest specjalnym serwerem z zestawem r\u00f3\u017cnych us\u0142ug i protoko\u0142\u00f3w sieciowych, takich jak HTTP, FTP itp. (zob. rys. 1).<\/p>\n

\"Honeypot<\/p>\n

Je\u015bli po\u0142\u0105czymy kilka honeypots <\/strong>w sie\u0107, otrzymamy znacznie bardziej efektywny system honeynet<\/strong>, kt\u00f3ry stanowi symulacj\u0119 korporacyjnej sieci firmy (serwer www, serwer plik\u00f3w i inne komponenty sieci). Takie rozwi\u0105zanie pozwala zrozumie\u0107 strategi\u0119 dzia\u0142a\u0144 napastnik\u00f3w i wprowadzi\u0107 ich w b\u0142\u0105d. Typowy honeynet zazwyczaj dzia\u0142a r\u00f3wnolegle z sieci\u0105 robocz\u0105 i jest ca\u0142kowicie od niej niezale\u017cny. Tak\u0105 \u201esie\u0107\u201d mo\u017cna opublikowa\u0107 w Internecie przez oddzielny kana\u0142, a tak\u017ce mo\u017cna jej przydzieli\u0107 osobny zakres adres\u00f3w IP (zob. rys. 2).<\/p>\n

\"Honeypot<\/p>\n

Celem zastosowania honeynet jest pokazanie hackerowi, \u017ce rzekomo w\u0142ama\u0142 si\u0119 do korporacyjnej sieci organizacji, podczas gdy w rzeczywisto\u015bci napastnik znajduje si\u0119 w \u201eizolowanym \u015brodowisku\u201d i pod \u015bcis\u0142\u0105 kontrol\u0105 specjalist\u00f3w ds. bezpiecze\u0144stwa (zob. rys. 3).<\/p>\n

\"Honeypot<\/p>\n

Warto r\u00f3wnie\u017c wspomnie\u0107 o takim narz\u0119dziu, jak \u201esandbox<\/strong>\u201d, kt\u00f3re pozwala napastnikom instalowa\u0107 i uruchamia\u0107 z\u0142o\u015bliwe oprogramowanie w izolowanym \u015brodowisku, gdzie specjali\u015bci IT mog\u0105 \u015bledzi\u0107 ich dzia\u0142ania w celu wykrycia potencjalnych zagro\u017ce\u0144 i podj\u0119cia niezb\u0119dnych dzia\u0142a\u0144 zaradczych. W chwili obecnej sandboxing zazwyczaj wdra\u017ca si\u0119 na wydzielonych maszynach wirtualnych na wirtualnym ho\u015bcie. Jednak nale\u017cy zauwa\u017cy\u0107, \u017ce sandboxing pokazuje tylko, jak zachowuj\u0105 si\u0119 niebezpieczne i z\u0142o\u015bliwe programy, podczas gdy honeynet pomaga specjali\u015bcie przeanalizowa\u0107 zachowanie \u201eniebezpiecznych graczy\u201d. sandbox<\/strong>), kt\u00f3ra pozwala atakuj\u0105cym na instalowanie i uruchamianie z\u0142o\u015bliwego oprogramowania w izolowanym \u015brodowisku, gdzie specjali\u015bci IT mog\u0105 \u015bledzi\u0107 ich dzia\u0142ania w celu identyfikacji potencjalnych zagro\u017ce\u0144 i podejmowania odpowiednich dzia\u0142a\u0144. Obecnie sandboxing zazwyczaj wdra\u017cany jest na dedykowanych maszynach wirtualnych na wirtualnym ho\u015bcie. Nale\u017cy jednak zauwa\u017cy\u0107, \u017ce sandboxing pokazuje tylko, jak zachowuj\u0105 si\u0119 niebezpieczne i z\u0142o\u015bliwe programy, podczas gdy honeynet pomaga specjalistom w analizie zachowa\u0144 \u201eniebezpiecznych graczy\u201d. <\/p>\n

Oczywist\u0105 korzy\u015bci\u0105 z honeynet\u00f3w jest to, \u017ce wprowadzaj\u0105 one przest\u0119pc\u00f3w w b\u0142\u0105d, marnuj\u0105c ich si\u0142y, zasoby i czas. W rezultacie, zamiast atakowa\u0107 rzeczywiste cele, atakuj\u0105 fa\u0142szywe i mog\u0105 zaprzesta\u0107 atak\u00f3w na sie\u0107, nic nie osi\u0105gaj\u0105c. Najcz\u0119\u015bciej technologie honeynet\u00f3w s\u0105 wykorzystywane w instytucjach rz\u0105dowych i du\u017cych korporacjach, organizacjach finansowych, poniewa\u017c to te struktury najcz\u0119\u015bciej staj\u0105 si\u0119 celem du\u017cych cyberatak\u00f3w. Jednak ma\u0142e i \u015brednie przedsi\u0119biorstwa (SMB) r\u00f3wnie\u017c potrzebuj\u0105 skutecznych narz\u0119dzi do zapobiegania incydentom bezpiecze\u0144stwa, lecz u\u017cywanie honeynet\u00f3w w sektorze SMB nie jest takie proste z powodu braku wykwalifikowanego personelu do tak skomplikowanej pracy.<\/p>\n

Ograniczenia rozwi\u0105za\u0144 Honeypots i Honeynets<\/u><\/strong><\/p>\n

Dlaczego honeypots i honeynets nie s\u0105 najlepszymi rozwi\u0105zaniami do przeciwdzia\u0142ania atakom dzisiaj? Nale\u017cy zauwa\u017cy\u0107, \u017ce ataki staj\u0105 si\u0119 coraz bardziej rozbudowane, technicznie skomplikowane i zdolne do wyrz\u0105dzenia powa\u017cnych szk\u00f3d w infrastrukturze IT organizacji, a cyberprzest\u0119pczo\u015b\u0107 wesz\u0142a na zupe\u0142nie nowy poziom i stanowi wysoko zorganizowane struktury biznesowe, wyposa\u017cone we wszystkie niezb\u0119dne zasoby. Do tego nale\u017cy doda\u0107 'czynnik ludzki' (b\u0142\u0119dy w konfiguracji oprogramowania i sprz\u0119tu, dzia\u0142ania os\u00f3b wewn\u0119trznych itd.), dlatego stosowanie tylko technologii do zapobiegania atakom obecnie ju\u017c nie wystarcza. <\/p>\n

Poni\u017cej przedstawiamy g\u0142\u00f3wne ograniczenia i wady honeypots (honeynets):<\/p>\n

    \n
  1. \n

    Honeypoty zosta\u0142y pierwotnie zaprojektowane do identyfikacji zagro\u017ce\u0144, kt\u00f3re s\u0105 poza korporacyjn\u0105 sieci\u0105, s\u0105 raczej przeznaczone do analizy zachowa\u0144 napastnik\u00f3w i nie s\u0105 zaplanowane do szybkiego reagowania na zagro\u017cenia. <\/p>\n<\/li>\n

  2. \n

    Sprawcy przest\u0119pstw zazwyczaj ju\u017c nauczyli si\u0119 rozpoznawa\u0107 emulowane systemy i unika\u0107 honeypots. <\/p>\n<\/li>\n

  3. \n

    Honeynets (honeypots) maj\u0105 niezwykle niski poziom interaktywno\u015bci i wsp\u00f3\u0142pracy z innymi systemami bezpiecze\u0144stwa, w efekcie czego, korzystaj\u0105c z honeypot\u00f3w, trudno uzyska\u0107 szczeg\u00f3\u0142owe informacje o atakach i atakuj\u0105cych, co utrudnia efektywne i szybkie reagowanie na incydenty bezpiecze\u0144stwa. Co wi\u0119cej, specjali\u015bci ds. bezpiecze\u0144stwa otrzymuj\u0105 du\u017c\u0105 liczb\u0119 fa\u0142szywych powiadomie\u0144 o zagro\u017ceniach. <\/p>\n<\/li>\n

  4. \n

    W niekt\u00f3rych przypadkach hakerzy mog\u0105 wykorzysta\u0107 skompromitowany honeypot jako punkt wyj\u015bcia do kontynuacji ataku na sie\u0107 organizacji. <\/p>\n<\/li>\n

  5. \n

    Cz\u0119sto wyst\u0119puj\u0105 problemy ze skalowalno\u015bci\u0105 honeypot\u00f3w, wysokim obci\u0105\u017ceniem operacyjnym oraz konfiguracj\u0105 takich system\u00f3w (wymagaj\u0105 wysoko wykwalifikowanych specjalist\u00f3w, nie maj\u0105 wygodnego interfejsu zarz\u0105dzania itd.). Istniej\u0105 du\u017ce trudno\u015bci w wdra\u017caniu honeypot\u00f3w w wyspecjalizowanych \u015brodowiskach, takich jak IoT, POS, systemy chmurowe itd.<\/p>\n<\/li>\n<\/ol>\n

    2. Technologia oszustw: zalety i podstawowe zasady dzia\u0142ania<\/h2>\n

    Analizuj\u0105c wszystkie zalety i wady honeypot\u00f3w, dochodzimy do wniosku, \u017ce konieczne jest ca\u0142kowicie nowe podej\u015bcie do reagowania na incydenty bezpiecze\u0144stwa, aby wypracowa\u0107 szybkie i adekwatne odpowiedzi na dzia\u0142ania atakuj\u0105cych. A takim rozwi\u0105zaniem s\u0105 technologie Cyber deception (oszustwo w cyberprzestrzeni)<\/strong>. <\/p>\n

    Terminologia «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) jest stosunkowo nowa i pojawi\u0142a si\u0119 niedawno. Faktycznie, wszystkie te terminy oznaczaj\u0105 zastosowanie «technologii oszustwa» lub «technik imitacji infrastruktury IT i dezinformacji wobec napastnik\u00f3w». Najprostsze rozwi\u0105zania Deception to rozwini\u0119cie idei honeypots, jedynie na bardziej technologicznie zaawansowanym poziomie, kt\u00f3ry zak\u0142ada wi\u0119ksz\u0105 automatyzacj\u0119 wykrywania zagro\u017ce\u0144 i reagowania na nie. Na rynku znajduj\u0105 si\u0119 ju\u017c powa\u017cne rozwi\u0105zania klasy DDP, kt\u00f3re oferuj\u0105 \u0142atwo\u015b\u0107 wdro\u017cenia i skalowania, a tak\u017ce dysponuj\u0105 powa\u017cnym arsena\u0142em «pu\u0142apek» i «przyn\u0119t» dla atakuj\u0105cych. Na przyk\u0142ad, Deception pozwala emulowa\u0107 takie obiekty infrastruktury IT, jak bazy danych, stacje robocze, routery, prze\u0142\u0105czniki, bankomaty, serwery i SCADA, sprz\u0119t medyczny oraz IoT. <\/p>\n

    Jak dzia\u0142a «Distributed Deception Platform»? Po wdro\u017ceniu DDP infrastruktura IT organizacji b\u0119dzie zbudowana tak, jakby sk\u0142ada\u0142a si\u0119 z dw\u00f3ch warstw: pierwsza warstwa to rzeczywista infrastruktura firmy, a druga to «emulowane» \u015brodowisko, sk\u0142adaj\u0105ce si\u0119 z pu\u0142apek (ang. decoys, traps) i przyn\u0119t (ang. lures), kt\u00f3re s\u0105 rozmieszczone na rzeczywistych fizycznych urz\u0105dzeniach sieci (zob. rys. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Na przyk\u0142ad, cyberprzest\u0119pca mo\u017ce odkry\u0107 fa\u0142szywe bazy danych z \"poufniecymi dokumentami\", podrobione dane logowania rzekomo \"uprawnionych u\u017cytkownik\u00f3w\" \u2014 to wszystko s\u0105 fa\u0142szywe cele, kt\u00f3re mog\u0105 zainteresowa\u0107 naruszaj\u0105cych, odci\u0105gaj\u0105c ich uwag\u0119 od prawdziwych zasob\u00f3w informacyjnych firmy (patrz rys. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP to nowo\u015b\u0107 na rynku produkt\u00f3w bezpiecze\u0144stwa IT, te rozwi\u0105zania maj\u0105 zaledwie kilka lat i obecnie mog\u0105 sobie na nie pozwoli\u0107 tylko firmy korporacyjne. Jednak ma\u0142e i \u015brednie przedsi\u0119biorstwa wkr\u00f3tce tak\u017ce b\u0119d\u0105 mog\u0142y skorzysta\u0107 z Deception, wynajmuj\u0105c DDP u specjalistycznych dostawc\u00f3w \"jako us\u0142uga\". Taki wariant jest nawet wygodniejszy, poniewa\u017c nie ma konieczno\u015bci posiadania w\u0142asnych wysoko wykwalifikowanych pracownik\u00f3w.<\/p>\n

    Poni\u017cej przedstawiono g\u0142\u00f3wne zalety technologii Deception:<\/p>\n