{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception com o exemplo do Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

No Hub j\u00e1 existem alguns artigos sobre as tecnologias Honeypot e Deception (1 artigo<\/a><\/noindex>, 2 artigos<\/a><\/noindex>). No entanto, ainda enfrentamos a falta de compreens\u00e3o sobre as diferen\u00e7as entre essas classes de ferramentas de prote\u00e7\u00e3o. Para isso, nossos colegas da Xello Deception<\/a><\/noindex> (primeiro desenvolvedor russo de plataformas Deception<\/a><\/noindex>) decidiram descrever detalhadamente as diferen\u00e7as, vantagens e caracter\u00edsticas arquitet\u00f4nicas dessas solu\u00e7\u00f5es.<\/p>\n

Vamos entender o que s\u00e3o «honeypots» e «deception»:<\/h2>\n

As «Tecnologias de engano» (ingl., Deception technology) surgiram no mercado de sistemas de seguran\u00e7a da informa\u00e7\u00e3o relativamente recentemente. No entanto, alguns especialistas ainda consideram a Seguran\u00e7a Deception apenas uma vers\u00e3o mais avan\u00e7ada dos «honeypots» (ingl., honeypot). <\/p>\n

Neste artigo, tentaremos abordar tanto as semelhan\u00e7as quanto as diferen\u00e7as fundamentais entre essas duas solu\u00e7\u00f5es. Na primeira parte, falaremos sobre os \u00abhoneypots\u00bb, como essa tecnologia se desenvolveu e quais s\u00e3o suas vantagens e desvantagens. Na segunda parte, focaremos nos princ\u00edpios de funcionamento das plataformas para cria\u00e7\u00e3o de infraestrutura distribu\u00edda de alvos falsos (em ingl\u00eas, Distributed Deception Platform \u2014 DDP). <\/p>\n

O princ\u00edpio b\u00e1sico por tr\u00e1s dos honeypots \u00e9 a cria\u00e7\u00e3o de armadilhas para hackers. O mesmo princ\u00edpio foi utilizado para desenvolver as primeiras solu\u00e7\u00f5es de Deception. Por\u00e9m, as modernas DDP superam significativamente os honeypots, tanto em funcionalidade quanto em efic\u00e1cia. As plataformas Deception incluem: armadilhas (em ingl\u00eas, decoys, traps), iscas (em ingl\u00eas, lures), aplicativos, dados, bases de dados, Active Directory. As modernas DDP podem fornecer amplas oportunidades para detec\u00e7\u00e3o de amea\u00e7as, an\u00e1lise de ataques e automa\u00e7\u00e3o de respostas. <\/p>\n

Assim, as Deception representam t\u00e9cnicas de simula\u00e7\u00e3o da infraestrutura de TI da empresa e de engano aos hackers. Como resultado, essas plataformas permitem interromper ataques antes que causem danos significativos aos ativos da empresa. Os honeypots, naturalmente, n\u00e3o possuem tal funcionalidade ampla e n\u00edvel de automa\u00e7\u00e3o, portanto, sua aplica\u00e7\u00e3o requer maior qualifica\u00e7\u00e3o dos funcion\u00e1rios dos departamentos de seguran\u00e7a da informa\u00e7\u00e3o.<\/p>\n

1. Honeypots, Honeynets e Sandboxing: o que s\u00e3o e como s\u00e3o aplicados<\/h2>\n

O termo «honeypots» foi utilizado pela primeira vez em 1989 no livro de Clifford Stoll «The Cuckoo\u2019s Egg», que descreve eventos de rastreamento de um hacker no Laborat\u00f3rio Nacional Lawrence Berkeley (EUA). Na pr\u00e1tica, essa ideia foi implementada em 1999 por Lance Spitzner, especialista em seguran\u00e7a da informa\u00e7\u00e3o da Sun Microsystems, que fundou o projeto de pesquisa «Honeynet Project». Os primeiros honeypots eram muito exigentes em recursos, complexos de configurar e manter. <\/p>\n

Vamos considerar mais detalhadamente o que \u00e9 honeypots <\/strong>e honeynets<\/strong>. Honeypots s\u00e3o hosts individuais destinados a atrair invasores para penetrar na rede da empresa e tentar roubar dados valiosos, al\u00e9m de expandir a \u00e1rea de atua\u00e7\u00e3o da rede. Honeypot (traduzido literalmente como \"barril de mel\") \u00e9 um servidor espec\u00edfico com um conjunto de v\u00e1rios servi\u00e7os e protocolos de rede, como HTTP, FTP, etc. (veja a Fig. 1).<\/p>\n

\"Honeypot<\/p>\n

Se v\u00e1rias honeypots <\/strong>forem combinadas em uma rede, obteremos um sistema mais eficaz de honeynet<\/strong>, que \u00e9 uma emula\u00e7\u00e3o da rede corporativa da empresa (servidor web, servidor de arquivos e outros componentes da rede). Essa solu\u00e7\u00e3o permite entender a estrat\u00e9gia dos invasores e enganar eles. Um honeynet t\u00edpico geralmente opera em paralelo com a rede de trabalho, completamente independente dela. Essa \"rede\" pode ser publicada na Internet por um canal separado, e um intervalo espec\u00edfico de endere\u00e7os IP tamb\u00e9m pode ser designado para ela (veja a Fig. 2).<\/p>\n

\"Honeypot<\/p>\n

O sentido da aplica\u00e7\u00e3o do honeynet \u00e9 mostrar ao hacker que ele supostamente penetrou na rede corporativa da organiza\u00e7\u00e3o, mas na verdade ele est\u00e1 em um \"ambiente isolado\" e sob vigil\u00e2ncia atenta dos especialistas em seguran\u00e7a da informa\u00e7\u00e3o (veja a Fig. 3).<\/p>\n

\"Honeypot<\/p>\n

Aqui tamb\u00e9m \u00e9 necess\u00e1rio mencionar um recurso conhecido como \"sandbox<\/strong>\" (ingl., sandbox<\/strong>), que permite aos invasores instalar e executar programas maliciosos em um ambiente isolado, onde os especialistas em TI podem monitorar suas a\u00e7\u00f5es com o objetivo de identificar riscos potenciais e implementar as contramedidas necess\u00e1rias. Atualmente, o sandboxing \u00e9 geralmente implementado em m\u00e1quinas virtuais dedicadas em um host virtual. No entanto, \u00e9 importante notar que o sandboxing mostra apenas como os programas perigosos e maliciosos se comportam, enquanto o honeynet ajuda o especialista a analisar o comportamento dos \"jogadores perigosos\". <\/p>\n

A evidente vantagem das honeynets \u00e9 que elas enganam os invasores, desperdi\u00e7ando suas for\u00e7as, recursos e tempo. Como resultado, em vez de atacar alvos reais, eles atacam alvos falsos e podem desistir do ataque \u00e0 rede sem conseguir nada. Mais frequentemente, as tecnologias de honeynets s\u00e3o usadas em institui\u00e7\u00f5es governamentais e grandes corpora\u00e7\u00f5es, bem como em organiza\u00e7\u00f5es financeiras, j\u00e1 que essas estruturas s\u00e3o alvos de grandes ciberataques. No entanto, empresas de pequeno e m\u00e9dio porte (PMEs) tamb\u00e9m precisam de ferramentas eficazes para prevenir incidentes de seguran\u00e7a da informa\u00e7\u00e3o, mas as honeynets no setor de PMEs n\u00e3o s\u00e3o t\u00e3o f\u00e1ceis de usar devido \u00e0 falta de pessoal qualificado para esse trabalho complexo.<\/p>\n

Limita\u00e7\u00f5es das solu\u00e7\u00f5es Honeypots e Honeynets<\/u><\/strong><\/p>\n

Por que os honeypots e honeynets n\u00e3o s\u00e3o as melhores solu\u00e7\u00f5es para enfrentar ataques atualmente? \u00c9 importante notar que os ataques est\u00e3o se tornando cada vez mais abrangentes, tecnicamente complexos e capazes de causar s\u00e9rios danos \u00e0 infraestrutura de TI das organiza\u00e7\u00f5es, e o cibercrime atingiu um n\u00edvel totalmente diferente, representando estruturas de neg\u00f3cios ilegais altamente organizadas, equipadas com todos os recursos necess\u00e1rios. A isso, deve-se acrescentar o \"fator humano\" (erros na configura\u00e7\u00e3o de software e hardware, a\u00e7\u00f5es de insiders, etc.), por isso, o uso apenas de tecnologias para preven\u00e7\u00e3o de ataques nesse momento j\u00e1 n\u00e3o \u00e9 suficiente. <\/p>\n

Abaixo, listamos as principais limita\u00e7\u00f5es e desvantagens dos honeypots (honeynets):<\/p>\n

    \n
  1. \n

    Os honeypots foram inicialmente desenvolvidos para identificar amea\u00e7as que est\u00e3o fora da rede corporativa, s\u00e3o mais voltados para analisar o comportamento dos malfeitores e n\u00e3o s\u00e3o projetados para uma resposta r\u00e1pida a amea\u00e7as. <\/p>\n<\/li>\n

  2. \n

    Os invasores geralmente j\u00e1 aprenderam a reconhecer sistemas emulados e evitam honeypots. <\/p>\n<\/li>\n

  3. \n

    As honeynets (honeypots) t\u00eam um n\u00edvel extremamente baixo de interatividade e intera\u00e7\u00e3o com outros sistemas de seguran\u00e7a, o que torna dif\u00edcil obter informa\u00e7\u00f5es detalhadas sobre os ataques e atacantes ao usar honeypots, e, portanto, responder de forma eficaz e r\u00e1pida a incidentes de seguran\u00e7a da informa\u00e7\u00e3o. Al\u00e9m disso, os especialistas em seguran\u00e7a da informa\u00e7\u00e3o recebem um grande n\u00famero de alertas falsos sobre amea\u00e7as. <\/p>\n<\/li>\n

  4. \n

    Em alguns casos, hackers podem usar um honeypot comprometido como ponto de partida para continuar o ataque \u00e0 rede da organiza\u00e7\u00e3o. <\/p>\n<\/li>\n

  5. \n

    Frequentemente, surgem problemas com a escalabilidade dos honeypots, alta carga operacional e configura\u00e7\u00e3o desses sistemas (eles exigem profissionais altamente qualificados, n\u00e3o possuem uma interface de gerenciamento amig\u00e1vel, etc.). Existem grandes dificuldades na implanta\u00e7\u00e3o de honeypots em ambientes especializados, como IoT, POS, sistemas em nuvem, etc.<\/p>\n<\/li>\n<\/ol>\n

    2. Tecnologia de engano: vantagens e princ\u00edpios b\u00e1sicos de funcionamento<\/h2>\n

    Ap\u00f3s analisar todas as vantagens e desvantagens dos honeypots, chegamos \u00e0 conclus\u00e3o de que uma abordagem completamente nova \u00e9 necess\u00e1ria para a resposta a incidentes de seguran\u00e7a da informa\u00e7\u00e3o, visando desenvolver uma resposta r\u00e1pida e adequada \u00e0s a\u00e7\u00f5es dos atacantes. E essa solu\u00e7\u00e3o s\u00e3o as tecnologias Engano cibern\u00e9tico (Security deception)<\/strong>. <\/p>\n

    A terminologia «Cyber deception», «Security deception», «Deception technology» e «Distributed Deception Platform» (DDP) \u00e9 relativamente nova e surgiu h\u00e1 pouco tempo. De fato, todos esses termos referem-se ao uso de «tecnologias de engano» ou «t\u00e9cnicas de simula\u00e7\u00e3o da infraestrutura de TI e desinforma\u00e7\u00e3o de invasores». As solu\u00e7\u00f5es mais simples de Deception s\u00e3o uma evolu\u00e7\u00e3o das ideias de honeypots, mas em um n\u00edvel tecnologicamente mais avan\u00e7ado, que envolve uma maior automa\u00e7\u00e3o na detec\u00e7\u00e3o e resposta a amea\u00e7as. Contudo, no mercado j\u00e1 existem solu\u00e7\u00f5es robustas de classe DDP, que oferecem facilidade de implanta\u00e7\u00e3o e escalabilidade, al\u00e9m de apresentarem um arsenal significativo de «iscas» e «armadilhas» para atacantes. Por exemplo, a Deception permite simular objetos da infraestrutura de TI, como bancos de dados, esta\u00e7\u00f5es de trabalho, roteadores, switches, caixas eletr\u00f4nicos, servidores e SCADA, equipamentos m\u00e9dicos e IoT. <\/p>\n

    Como funciona a «Distributed Deception Platform»? Ap\u00f3s a implementa\u00e7\u00e3o do DDP, a infraestrutura de TI da organiza\u00e7\u00e3o ser\u00e1 estruturada como se fosse composta por duas camadas: a primeira camada \u00e9 a infraestrutura real da empresa, enquanto a segunda \u00e9 um ambiente «emulado», composto por armadilhas (ingl., decoys, traps) e iscas (ingl., lures), que est\u00e3o localizadas em dispositivos f\u00edsicos reais da rede (veja a fig. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Por exemplo, um invasor pode descobrir bancos de dados falsos com \"documentos confidenciais\", credenciais falsas supostamente de \"usu\u00e1rios privilegiados\" \u2014 todos esses s\u00e3o alvos falsos que podem atrair a aten\u00e7\u00e3o dos infratores, desviando-a dos verdadeiros ativos de informa\u00e7\u00e3o da empresa (veja a Fig. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP \u00e9 uma novidade no mercado de produtos de seguran\u00e7a da informa\u00e7\u00e3o, essas solu\u00e7\u00f5es t\u00eam apenas alguns anos e, por enquanto, s\u00f3 o setor corporativo pode se dar ao luxo de utiliz\u00e1-las. Mas pequenas e m\u00e9dias empresas em breve tamb\u00e9m poder\u00e3o aproveitar o Deception, alugando DDP de provedores especializados, \"como servi\u00e7o\". Essa op\u00e7\u00e3o \u00e9 ainda mais conveniente, pois n\u00e3o h\u00e1 necessidade de possuir uma equipe altamente qualificada.<\/p>\n

    Abaixo est\u00e3o as principais vantagens da tecnologia Deception:<\/p>\n