{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception \u00een exemplul Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Pe Habr\u0103 exist\u0103 deja c\u00e2teva articole despre tehnologiile Honeypot \u0219i Deception (1 articol<\/a><\/noindex>, 2 articole<\/a><\/noindex>). Cu toate acestea, ne confrunt\u0103m \u00een continuare cu ne\u00een\u021belerea diferen\u021bei dintre aceste clase de instrumente de protec\u021bie. \u00cen acest sens, colegii no\u0219tri de la Xello Deception<\/a><\/noindex> (primul dezvoltator rus platforma Deception<\/a><\/noindex>) au decis s\u0103 descrie \u00een detaliu diferen\u021bele, avantajele \u0219i caracteristicile arhitecturale ale acestor solu\u021bii.<\/p>\n

S\u0103 ne clarific\u0103m ce sunt «honeypoturile» \u0219i «decep\u021biile»:<\/h2>\n

«Tehnologiile de \u00een\u0219el\u0103ciune» (\u00een englez\u0103, Deception technology) au ap\u0103rut relativ recent pe pia\u021ba sistemelor de securitate informa\u021bional\u0103. Cu toate acestea, unii speciali\u0219ti consider\u0103 \u00eenc\u0103 c\u0103 Security Deception este doar o form\u0103 mai avansat\u0103 de \u00abhoneypot\u00bb (\u00een englez\u0103, honeypot). <\/p>\n

\u00cen acest articol, ne vom concentra at\u00e2t asupra asem\u0103n\u0103rilor, c\u00e2t \u0219i asupra diferen\u021belor fundamentale dintre aceste dou\u0103 solu\u021bii. \u00cen prima parte, vom vorbi despre \u201ehoneypot\u201d, cum s-a dezvoltat aceast\u0103 tehnologie \u0219i care sunt avantajele \u0219i dezavantajele ei. Iar \u00een a doua parte, ne vom opri \u00een detaliu asupra principiilor de func\u021bionare ale platformelor pentru crearea unei infrastructuri distribuite de obiective false (\u00een englez\u0103, Distributed Deception Platform \u2014 DDP). <\/p>\n

Principiul de baz\u0103 pe care se fundamenteaz\u0103 honeypots este crearea unor capcane pentru hackeri. Pe acela\u0219i principiu au fost concepute \u0219i cele dint\u00e2i solu\u021bii Deception. \u00cens\u0103, DDP-urile moderne dep\u0103\u0219esc cu mult honeypots, at\u00e2t ca func\u021bionalitate, c\u00e2t \u0219i ca eficien\u021b\u0103. Platformele Deception includ: capcane (\u00een englez\u0103, decoys, traps), momeal\u0103 (\u00een englez\u0103, lures), aplica\u021bii, date, baze de date, Active Directory. DDP-urile moderne pot oferi oportunit\u0103\u021bi extinse pentru detectarea amenin\u021b\u0103rilor, analiza atacurilor \u0219i automatizarea reac\u021biilor. <\/p>\n

Astfel, Deception reprezint\u0103 tehnici de simulare a infrastructurii IT a unui \u00eentreprinderi \u0219i inducerea \u00een eroare a hackerilor. Ca rezultat, aceste platforme permit oprirea atacurilor \u00eenainte de a provoca daune semnificative activelor companiei. Honeypots, desigur, nu au o func\u021bionalitate at\u00e2t de larg\u0103 \u0219i un nivel de automatizare at\u00e2t de ridicat, de aceea utilizarea lor necesit\u0103 o calificare mai mare din partea angaja\u021bilor departamentelor de securitate informa\u021bional\u0103.<\/p>\n

1. Honeypots, Honeynets \u0219i Sandbboxing: ce sunt \u0219i cum se aplic\u0103<\/h2>\n

Pentru prima dat\u0103, termenul «honeypots» a fost folosit \u00een 1989 \u00een cartea lui Clifford Stoll «The Cuckoo\u2019s Egg», care descrie evenimentele legate de urm\u0103rirea unui hacker \u00een Laboratorul Na\u021bional Lawrence Berkeley (SUA). \u00cen practic\u0103, aceast\u0103 idee a fost implementat\u0103 \u00een 1999 de Lance Spitzner, un expert \u00een securitate al companiei Sun Microsystems, care a fondat proiectul de cercetare «Honeynet Project». Primele honeypoturi au fost foarte \u00eencercate \u00een resurse, complicate de configurat \u0219i \u00eentre\u021binut. <\/p>\n

S\u0103 analiz\u0103m mai detaliat ce este honeypots <\/strong>\u0219i honeynets<\/strong>. Honeypots sunt gazde separate, destinate s\u0103 atrag\u0103 infractorii s\u0103 penetreze re\u021beaua companiei \u0219i s\u0103 \u00eencerce s\u0103 fure date valoroase, precum \u0219i s\u0103 extind\u0103 zona de acoperire a re\u021belei. Honeypot (tradus literal ca \u201ebutoi cu miere\u201d) reprezint\u0103 un server special cu un set de diferite servicii \u0219i protocoale de re\u021bea, cum ar fi HTTP, FTP etc. (vezi fig. 1).<\/p>\n

\"Honeypot<\/p>\n

Dac\u0103 combin\u0103m mai multe honeypots <\/strong>\u00eentr-o re\u021bea, vom ob\u021bine un sistem honeynet<\/strong>, care reprezint\u0103 o emulare a re\u021belei corporative a companiei (server web, server de fi\u0219iere \u0219i alte componente ale re\u021belei). Aceast\u0103 solu\u021bie permite \u00een\u021belegerea strategiei de ac\u021biune a infractorilor \u0219i p\u0103c\u0103lirea acestora. Un honeynet tipic func\u021bioneaz\u0103, de obicei, \u00een paralel cu re\u021beaua de lucru \u0219i complet independent de aceasta. Aceast\u0103 \u201ere\u021bea\u201d poate fi publicat\u0103 pe Internet printr-un canal separat, pentru ea put\u00e2nd fi alocat un interval aparte de adrese IP (vezi fig. 2).<\/p>\n

\"Honeypot<\/p>\n

Sensul aplic\u0103rii honeynet-ului este de a ar\u0103ta hackerului c\u0103 a p\u0103truns \u00een re\u021beaua corporativ\u0103 a organiza\u021biei, c\u00e2nd, de fapt, infractorul se afl\u0103 \u00eentr-un \u201emediu izolat\u201d \u0219i sub supravegherea atent\u0103 a speciali\u0219tilor \u00een securitate informa\u021bional\u0103 (vezi fig. 3).<\/p>\n

\"Honeypot<\/p>\n

Aici trebuie men\u021bionat \u0219i un astfel de instrument, numit \u201esandbox<\/strong>\u201d, care permite infractorilor s\u0103 instaleze \u0219i s\u0103 ruleze programe d\u0103un\u0103toare \u00eentr-un mediu izolat, unde speciali\u0219tii IT pot monitoriza ac\u021biunile lor pentru a identifica riscurile poten\u021biale \u0219i a lua m\u0103surile necesare. \u00cen prezent, de obicei, sandboxingul este realizat pe ma\u0219ini virtuale dedicate pe un host virtual. Totu\u0219i, trebuie subliniat c\u0103 sandboxingul arat\u0103 doar cum se comport\u0103 programele periculoase \u0219i rele, \u00een timp ce honeynet-ul ajut\u0103 specialistul s\u0103 analizeze comportamentul \u201ejuc\u0103torilor periculo\u0219i\u201d. sandbox<\/strong>), care permite atacatorilor s\u0103 instaleze \u0219i s\u0103 ruleze programe d\u0103un\u0103toare \u00eentr-un mediu izolat, unde speciali\u0219tii IT pot urm\u0103ri ac\u021biunile lor pentru a identifica riscurile poten\u021biale \u0219i a lua m\u0103surile necesare. \u00cen prezent, sandboxing-ul este, de obicei, implementat pe ma\u0219ini virtuale dedicate pe un gazd\u0103 virtual\u0103. Cu toate acestea, trebuie men\u021bionat c\u0103 sandboxing-ul arat\u0103 doar cum se comport\u0103 programele periculoase \u0219i d\u0103un\u0103toare, \u00een timp ce honeynet-ul ajut\u0103 specialistul s\u0103 analizeze comportamentul \u201ejuc\u0103torilor periculo\u0219i\u201d. <\/p>\n

Beneficiul evident al honeynets este c\u0103 ele induc \u00een eroare infractorii, consum\u00e2ndu-le for\u021bele, resursele \u0219i timpul. Ca urmare, \u00een loc s\u0103 atace obiective reale, ace\u0219tia atac\u0103 \u021binte false \u0219i pot abandona atacul asupra re\u021belei, f\u0103r\u0103 a ob\u021bine nimic. Cele mai frecvente utiliz\u0103ri ale tehnologiilor honeynets sunt \u00een institu\u021biile guvernamentale \u0219i \u00een marile corpora\u021bii, organiza\u021bii financiare, deoarece aceste structuri devin \u021binte pentru atacuri cibernetice mari. Cu toate acestea, \u00eentreprinderile mici \u0219i mijlocii (SMB) au, de asemenea, nevoie de instrumente eficiente pentru prevenirea incidentelor de securitate informatic\u0103, dar utilizarea honeynets \u00een sectorul SMB nu este at\u00e2t de simpl\u0103 din cauza lipsei de personal calificat pentru o astfel de munc\u0103 complex\u0103.<\/p>\n

Limit\u0103rile solu\u021biilor Honeypots \u0219i Honeynets<\/u><\/strong><\/p>\n

De ce honeypots \u0219i honeynets nu sunt cele mai bune solu\u021bii pentru a face fa\u021b\u0103 atacurilor \u00een prezent? Trebuie men\u021bionat c\u0103 atacurile devin tot mai ample, tehnic complicate \u0219i capabile s\u0103 cauzeze daune serioase infrastructurii IT a organiza\u021biei, iar criminalitatea cibernetic\u0103 a ajuns la un alt nivel \u0219i reprezint\u0103 structuri de afaceri clandestine foarte organizate, dotate cu toate resursele necesare. La acestea se adaug\u0103 \u0219i \u201efactorul uman\u201d (erori \u00een configur\u0103rile software-ului \u0219i echipamentului, ac\u021biuni ale insiderilor etc.), prin urmare, utilizarea doar a tehnologiilor pentru prevenirea atacurilor nu este suficient\u0103 \u00een acest moment. <\/p>\n

Iat\u0103 principalele limite \u0219i dezavantaje ale honeypots (honeynets):<\/p>\n

    \n
  1. \n

    Honeypots au fost concepute ini\u021bial pentru a identifica amenin\u021b\u0103rile externe re\u021belei corporative, fiind destinate mai mult analizei comportamentului infractorilor \u0219i nereu\u0219ind s\u0103 ofere o reac\u021bie rapid\u0103 la amenin\u021b\u0103ri. <\/p>\n<\/li>\n

  2. \n

    Infractorii, \u00een general, au \u00eenv\u0103\u021bat deja s\u0103 recunoasc\u0103 sistemele emulate \u0219i s\u0103 evite honeypots. <\/p>\n<\/li>\n

  3. \n

    Honeynets (honeypots) au un nivel extrem de sc\u0103zut de interactivitate \u0219i interac\u021biune cu alte sisteme de securitate, ceea ce face dificil\u0103 ob\u021binerea de informa\u021bii detaliate despre atacuri \u0219i atacatori, \u0219i, prin urmare, reac\u021bia eficient\u0103 \u0219i rapid\u0103 la incidentele de securitate informatic\u0103. Mai mult, speciali\u0219tii \u00een securitate informatic\u0103 primesc un num\u0103r mare de alerte false despre amenin\u021b\u0103ri. <\/p>\n<\/li>\n

  4. \n

    \u00cen anumite cazuri, hackerii pot utiliza un honeypot compromis ca punct de plecare pentru a continua atacul asupra re\u021belei organiza\u021biei. <\/p>\n<\/li>\n

  5. \n

    Adesea, apar probleme legate de scalabilitatea honeypot-urilor, de sarcina opera\u021bional\u0103 ridicat\u0103 \u0219i de configurarea acestor sisteme (necesit\u0103 speciali\u0219ti foarte bine califica\u021bi, nu au o interfa\u021b\u0103 de gestionare u\u0219or de utilizat etc.). Exist\u0103 dificult\u0103\u021bi semnificative \u00een desf\u0103\u0219urarea honeypot-urilor \u00een medii specializate, cum ar fi IoT, POS, sisteme de cloud etc.<\/p>\n<\/li>\n<\/ol>\n

    2. Tehnologia de \u00een\u0219el\u0103ciune: avantaje \u0219i principii de baz\u0103 de func\u021bionare<\/h2>\n

    Analiz\u00e2nd toate avantajele \u0219i dezavantajele honeypot-urilor, ajungem la concluzia c\u0103 este necesar un nou abordare \u00een reac\u021bia la incidentele de securitate cibernetic\u0103, cu scopul de a oferi un r\u0103spuns rapid \u0219i adecvat la ac\u021biunile atacatorilor. Iar o astfel de solu\u021bie este tehnologia Cyber deception (\u00een\u0219el\u0103ciune cibernetic\u0103)<\/strong>. <\/p>\n

    Terminologia «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) este relativ nou\u0103 \u0219i a ap\u0103rut nu cu mult timp \u00een urm\u0103. Practic, toate aceste termeni se refer\u0103 la utilizarea \u00abtehnologiilor de \u00een\u0219el\u0103ciune\u00bb sau \u00abtehnicilor de simulare a infrastructurii IT \u0219i de dezinformare a atacatorilor\u00bb. Cele mai simple solu\u021bii de Deception reprezint\u0103 o dezvoltare a ideilor honeypots, dar la un nivel tehnologic mai avansat, care presupune o automare mai mare \u00een detectarea amenin\u021b\u0103rilor \u0219i reac\u021bia la acestea. Cu toate acestea, pe pia\u021b\u0103 exist\u0103 deja solu\u021bii serioase de tip DDP, care ofer\u0103 u\u0219urin\u021b\u0103 \u00een desf\u0103\u0219urare \u0219i scalare, av\u00e2nd la dispozi\u021bie un arsenal serios de \u00abcapcane\u00bb \u0219i \u00abmomeal\u0103\u00bb pentru atacatori. De exemplu, Deception permite simularea obiectelor din infrastructura IT, cum ar fi baze de date, sta\u021bii de lucru, routere, switch-uri, ATM-uri, servere \u0219i SCADA, echipamente medicale \u0219i IoT. <\/p>\n

    Cum func\u021bioneaz\u0103 «Distributed Deception Platform»? Dup\u0103 desf\u0103\u0219urarea DDP, infrastructura IT a organiza\u021biei va fi construit\u0103 ca \u0219i cum ar fi format\u0103 din dou\u0103 straturi: primul strat \u2014 este infrastructura real\u0103 a companiei, iar al doilea \u2014 este mediul «simulat», format din capcane (\u00een englez\u0103, decoys, traps) \u0219i momeli (\u00een englez\u0103, lures), care sunt plasate pe dispozitive fizice reale din re\u021bea (vezi figura 4).<\/p>\n

    \"Honeypot<\/p>\n

    De exemplu, un atacator poate descoperi baze de date false cu \u201edocumente confiden\u021biale\u201d, creden\u021biale false care pretind a fi \u201eutilizatori privilegia\u021bi\u201d \u2014 toate acestea sunt \u021binte false care ar putea interesa infractorii, direc\u021bion\u00e2ndu-le astfel aten\u021bia de la adev\u0103ratele active informa\u021bionale ale companiei (vezi fig. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP este o noutate pe pia\u021ba produselor de securitate cibernetic\u0103, aceste solu\u021bii av\u00e2nd c\u00e2\u021biva ani de execu\u021bie \u0219i fiind disponibile doar pentru sectorul corporativ deocamdat\u0103. \u00cens\u0103, micile \u0219i medii afaceri vor putea, de asemenea, s\u0103 beneficieze \u00een cur\u00e2nd de Deception, \u00eenchiriind DDP de la furnizori specializa\u021bi, \u201eca serviciu\u201d. Aceast\u0103 variant\u0103 este chiar mai convenabil\u0103, deoarece nu este necesar\u0103 existen\u021ba unor cadre foarte calificate proprii.<\/p>\n

    Mai jos sunt prezentate principalele avantaje ale tehnologiei Deception:<\/p>\n