{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception na pr\u00edklade Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Na Humbre u\u017e existuje nieko\u013eko \u010dl\u00e1nkov o technol\u00f3giach Honeypot a Deception (1 \u010dl\u00e1nok<\/a><\/noindex>, 2. \u010dl\u00e1nok<\/a><\/noindex>). Napriek tomu sa st\u00e1le stret\u00e1vame s neporozumen\u00edm rozdielu medzi t\u00fdmito triedami ochrann\u00fdch prostriedkov. Na tento \u00fa\u010del na\u0161i kolegovia z Xello Deception<\/a><\/noindex> (prv\u00fd rusk\u00fd v\u00fdvoj\u00e1r Deception platformy<\/a><\/noindex>) sa rozhodli podrobne op\u00edsa\u0165 rozdiely, v\u00fdhody a architektonick\u00e9 znaky t\u00fdchto rie\u0161en\u00ed.<\/p>\n

Pozrime sa na to, \u010do s\u00fa to «honeypoty» a «deceptiony»:<\/h2>\n

«Technol\u00f3gie klamstva» (angl., Deception technology) sa na trhu syst\u00e9mov informa\u010dnej bezpe\u010dnosti objavili relat\u00edvne ned\u00e1vno. Niektor\u00ed odborn\u00edci v\u0161ak st\u00e1le pova\u017euj\u00fa Security Deception len za pokro\u010dilej\u0161ie «honeypoty» (angl., honeypot). <\/p>\n

V tomto \u010dl\u00e1nku sa pok\u00fasime objasni\u0165 ako podobnosti, tak aj z\u00e1kladn\u00e9 rozdiely t\u00fdchto dvoch rie\u0161en\u00ed. V prvej \u010dasti budeme hovori\u0165 o \u201ehanipotoch\u201c, ako sa t\u00e1to technol\u00f3gia vyv\u00edjala a ak\u00e9 s\u00fa jej v\u00fdhody a nev\u00fdhody. A v druhej \u010dasti sa podrobne zameriame na princ\u00edpy fungovania platforiem na vytv\u00e1ranie distribuovanej infra\u0161trukt\u00fary falo\u0161n\u00fdch cie\u013eov (angl., Distributed Deception Platform \u2014 DDP). <\/p>\n

Z\u00e1kladn\u00fd princ\u00edp, na ktorom s\u00fa postaven\u00e9 honeypoty, spo\u010d\u00edva v vytv\u00e1ran\u00ed pasc\u00ed pre hackerov. Na rovnakom princ\u00edpe boli vyvinut\u00e9 aj prv\u00e9 rie\u0161enia Deception. Av\u0161ak modern\u00e9 DDP v\u00fdrazne prevy\u0161uj\u00fa hanipoty, pokia\u013e ide o ich funkcie a efekt\u00edvnos\u0165. Deception platformy zah\u0155\u0148aj\u00fa: pasce (angl., decoys, traps), n\u00e1vnady (angl., lures), aplik\u00e1cie, \u00fadaje, datab\u00e1zy, Active Directory. Modern\u00e9 DDP m\u00f4\u017eu poskytn\u00fa\u0165 \u0161irok\u00e9 mo\u017enosti na odha\u013eovanie hrozieb, anal\u00fdzu \u00fatokov a automatiz\u00e1ciu reak\u010dn\u00fdch opatren\u00ed. <\/p>\n

Tak\u017ee Deception predstavuj\u00fa techniky imit\u00e1cie IT-infrastrukt\u00fary podniku a zav\u00e1dzania hackerov. V d\u00f4sledku toho tieto platformy umo\u017e\u0148uj\u00fa zastavi\u0165 \u00fatoky pred t\u00fdm, ako sp\u00f4sobia v\u00fdznamn\u00e9 \u0161kody na akt\u00edvach spolo\u010dnosti. Hanipoty nemaj\u00fa samozrejme tak\u00fd \u0161irok\u00fd funk\u010dn\u00fd rozsah a \u00farove\u0148 automatiz\u00e1cie, a preto ich pou\u017eitie vy\u017eaduje v\u00e4\u010d\u0161iu kvalifik\u00e1ciu zamestnancov oddelen\u00ed IB.<\/p>\n

1. Honeypots, Honeynets a Sandboxing: \u010do to je a ako sa aplikuje<\/h2>\n

Po prv\u00fdkr\u00e1t bol term\u00edn «honeypots» pou\u017eit\u00fd v roku 1989 v knihe Clifforda Stolla «The Cuckoo\u2019s Egg», v ktorej s\u00fa op\u00edsan\u00e9 udalosti t\u00fdkaj\u00face sa sledovania hackerov v N\u00e1rodnej laborat\u00f3rii Lawrence Berkeley (USA). V praxi bola t\u00e1to my\u0161lienka realizovan\u00e1 v roku 1999 Lancem Spitznerom, expertom na informa\u010dn\u00fa bezpe\u010dnos\u0165 z firmy Sun Microsystems, ktor\u00fd zalo\u017eil v\u00fdskumn\u00fd projekt «Honeynet Project». Prv\u00e9 honeypoty boli ve\u013emi n\u00e1ro\u010dn\u00e9 na zdroje a zlo\u017eit\u00e9 na nastavenie a \u00fadr\u017ebu. <\/p>\n

Pozrime sa bli\u017e\u0161ie na to, \u010do je honeypots <\/strong>a honeynets<\/strong>. Honeypoty s\u00fa jednotliv\u00e9 hostite\u013esk\u00e9 syst\u00e9my, ktor\u00fdch \u00falohou je pril\u00e1ka\u0165 \u00fato\u010dn\u00edkov, aby sa pok\u00fasili prenikn\u00fa\u0165 do siete spolo\u010dnosti a pok\u00fasi\u0165 sa ukradn\u00fa\u0165 cenn\u00e9 \u00fadaje, ako aj roz\u0161\u00edri\u0165 rozsah p\u00f4sobenia siete. Honeypot (doslovn\u00fd preklad je \u201ez\u00e1klad\u0148a s medom\u201c) predstavuje \u0161peci\u00e1lny server so sadou r\u00f4znych sie\u0165ov\u00fdch slu\u017eieb a protokolov, ako s\u00fa HTTP, FTP at\u010f. (pozri obr. 1).<\/p>\n

\"Honeypot<\/p>\n

Ak spoj\u00edme nieko\u013eko honeypots <\/strong>do siete, z\u00edskame ove\u013ea efekt\u00edvnej\u0161\u00ed syst\u00e9m honeynet<\/strong>, ktor\u00fd predstavuje emul\u00e1ciu firemnej siete spolo\u010dnosti (webov\u00fd server, s\u00faborov\u00fd server a \u010fal\u0161ie komponenty siete). Toto rie\u0161enie umo\u017e\u0148uje pochopi\u0165 strat\u00e9giu konania \u00fato\u010dn\u00edkov a zavies\u0165 ich do omylu. Typick\u00fd honeynet zvy\u010dajne funguje paralelne s pracovnou sie\u0165ou a je od nej \u00faplne nez\u00e1visl\u00fd. Tak\u00fato \u201esie\u0165\u201c je mo\u017en\u00e9 zverejni\u0165 na Internete cez samostatn\u00fd kan\u00e1l, pre \u0148u je mo\u017en\u00e9 vyhradi\u0165 aj samostatn\u00fd rozsah IP adries (pozri obr. 2).<\/p>\n

\"Honeypot<\/p>\n

Zmysel pou\u017eitia honeynet je uk\u00e1za\u0165 hackerovi, \u017ee sa \u00fadajne dostal do firemnej siete organiz\u00e1cie, v skuto\u010dnosti sa \u00fato\u010dn\u00edk nach\u00e1dza v \u201eizolovanom prostred\u00ed\u201c a pod pr\u00edsnym doh\u013eadom odborn\u00edkov na bezpe\u010dnos\u0165 (pozri obr. 3).<\/p>\n

\"Honeypot<\/p>\n

Tu je tie\u017e potrebn\u00e9 zmieni\u0165 prostriedok, ako je \u201esandbox<\/strong>\u201c (angl., sandbox<\/strong>), ktor\u00fd umo\u017e\u0148uje \u00fato\u010dn\u00edkom in\u0161talova\u0165 a sp\u00fa\u0161\u0165a\u0165 \u0161kodliv\u00e9 programy v izolovanom prostred\u00ed, kde IT odborn\u00edci m\u00f4\u017eu sledova\u0165 ich \u010dinnos\u0165 s cie\u013eom identifikova\u0165 potenci\u00e1lne rizik\u00e1 a prija\u0165 potrebn\u00e9 protiopatrenia. V s\u00fa\u010dasnosti sa sandboxing zvy\u010dajne realizuje na vyhraden\u00fdch virtu\u00e1lnych strojoch na virtu\u00e1lnom hoste. Je v\u0161ak potrebn\u00e9 poznamena\u0165, \u017ee sandboxing ukazuje iba to, ako sa spr\u00e1vaj\u00fa nebezpe\u010dn\u00e9 a \u0161kodliv\u00e9 programy, zatia\u013e \u010do honeynet pom\u00e1ha odborn\u00edkovi analyzova\u0165 spr\u00e1vanie \u201enebezpe\u010dn\u00fdch hr\u00e1\u010dov\u201c. <\/p>\n

Jasn\u00e1 v\u00fdhoda honeynetov spo\u010d\u00edva v tom, \u017ee uv\u00e1dzaj\u00fa naru\u0161ite\u013eov do omylu, m\u00ed\u0148aj\u00fac ich sily, zdroje a \u010das. V d\u00f4sledku toho, namiesto skuto\u010dn\u00fdch cie\u013eov, \u00fato\u010dia na falo\u0161n\u00e9 a m\u00f4\u017eu preru\u0161i\u0165 \u00fatok na sie\u0165, bez toho, aby nie\u010do dosiahli. Naj\u010dastej\u0161ie sa technol\u00f3gie honeynetov vyu\u017e\u00edvaj\u00fa v \u0161t\u00e1tnych in\u0161tit\u00faci\u00e1ch a ve\u013ek\u00fdch korpor\u00e1ci\u00e1ch, ako aj vo finan\u010dn\u00fdch organiz\u00e1ci\u00e1ch, preto\u017ee pr\u00e1ve tieto \u0161trukt\u00fary sa st\u00e1vaj\u00fa obe\u0165ami ve\u013ek\u00fdch kybernetick\u00fdch \u00fatokov. Av\u0161ak, mal\u00e9 a stredn\u00e9 podniky (SMB) tie\u017e potrebuj\u00fa efekt\u00edvne n\u00e1stroje na prevenciu incidentov v oblasti informa\u010dnej bezpe\u010dnosti, no pou\u017e\u00edvanie honeynetov v sektore SMB nie je tak\u00e9 jednoduch\u00e9 kv\u00f4li nedostatku kvalifikovan\u00fdch odborn\u00edkov na tak\u00fa zlo\u017eit\u00fa pr\u00e1cu.<\/p>\n

Obmedzenia rie\u0161en\u00ed Honeypots a Honeynets<\/u><\/strong><\/p>\n

Pre\u010do nie s\u00fa honeypots a honeynets najlep\u0161ie rie\u0161enia na ochranu pred \u00fatokmi v s\u00fa\u010dasnosti? Je potrebn\u00e9 poznamena\u0165, \u017ee \u00fatoky sa st\u00e1vaj\u00fa \u010doraz mas\u00edvnej\u0161\u00edmi, technicky zlo\u017eit\u00fdmi a m\u00f4\u017eu sp\u00f4sobi\u0165 v\u00e1\u017ene \u0161kody na IT infra\u0161trukt\u00fare organiz\u00e1cie, pri\u010dom kybernetick\u00e1 kriminalita sa dostala na \u00faplne in\u00fa \u00farove\u0148 a predstavuje vysoko organizovan\u00e9 tie\u0148ov\u00e9 obchodn\u00e9 \u0161trukt\u00fary, vybaven\u00e9 v\u0161etk\u00fdmi potrebn\u00fdmi zdrojmi. K tomu je potrebn\u00e9 prida\u0165 aj \u201e\u013eudsk\u00fd faktor\u201c (chyby v nastaven\u00ed softv\u00e9ru a hardv\u00e9ru, \u010dinnosti insiderov at\u010f.), preto\u017ee samotn\u00e9 technol\u00f3gie na prevenciu \u00fatokov u\u017e v s\u00fa\u010dasnosti nesta\u010dia. <\/p>\n

Ni\u017e\u0161ie uv\u00e1dzame hlavn\u00e9 obmedzenia a nev\u00fdhody honeypots (honeynets):<\/p>\n

    \n
  1. \n

    Honeypoty boli p\u00f4vodne navrhnut\u00e9 na identifik\u00e1ciu hrozieb, ktor\u00e9 s\u00fa mimo podnikovej siete, s\u00fa sk\u00f4r ur\u010den\u00e9 na anal\u00fdzu spr\u00e1vania \u00fato\u010dn\u00edkov a nie s\u00fa ur\u010den\u00e9 na r\u00fdchlu reakciu na hrozby. <\/p>\n<\/li>\n

  2. \n

    \u00dato\u010dn\u00edci sa vo v\u0161eobecnosti u\u017e nau\u010dili rozpozn\u00e1va\u0165 emulovan\u00e9 syst\u00e9my a vyh\u00fdba\u0165 sa honeypot\u016fm. <\/p>\n<\/li>\n

  3. \n

    Honeynets (honeypots) maj\u00fa extr\u00e9mne n\u00edzku \u00farove\u0148 interaktivity a spolupr\u00e1ce s in\u00fdmi bezpe\u010dnostn\u00fdmi syst\u00e9mami, v d\u00f4sledku \u010doho je \u0165a\u017ek\u00e9 z\u00edska\u0165 podrobn\u00e9 inform\u00e1cie o \u00fatokoch a \u00fato\u010dn\u00edkoch, a teda \u00fa\u010dinne a r\u00fdchlo reagova\u0165 na incidenty v oblasti informa\u010dnej bezpe\u010dnosti. Nie je to len tak, \u017ee odborn\u00edci na informa\u010dn\u00fa bezpe\u010dnos\u0165 dost\u00e1vaj\u00fa mno\u017estvo falo\u0161n\u00fdch upozornen\u00ed na hrozby. <\/p>\n<\/li>\n

  4. \n

    V niektor\u00fdch pr\u00edpadoch m\u00f4\u017eu hackeri vyu\u017ei\u0165 skompromitovan\u00fd honeypot ako v\u00fdchodz\u00ed bod pre pokra\u010dovanie \u00fatoku na sie\u0165 organiz\u00e1cie. <\/p>\n<\/li>\n

  5. \n

    \u010casto sa vyskytuj\u00fa probl\u00e9my so \u0161k\u00e1lovate\u013enos\u0165ou honeypotov, vysokou prev\u00e1dzkovou z\u00e1\u0165a\u017eou a konfigur\u00e1ciou tak\u00fdchto syst\u00e9mov (vy\u017eaduj\u00fa vysoko kvalifikovan\u00fdch odborn\u00edkov, nemaj\u00fa intuit\u00edvne rozhranie a pod.). Existuj\u00fa ve\u013ek\u00e9 \u0165a\u017ekosti s nasaden\u00edm honeypotov v \u0161pecializovan\u00fdch prostrediach, ako s\u00fa IoT, POS, cloudov\u00e9 syst\u00e9my a pod.<\/p>\n<\/li>\n<\/ol>\n

    2. Technol\u00f3gia klamania: v\u00fdhody a z\u00e1kladn\u00e9 princ\u00edpy fungovania<\/h2>\n

    Po presk\u00faman\u00ed v\u0161etk\u00fdch v\u00fdhod a nev\u00fdhod honeypotov dospievame k z\u00e1veru, \u017ee je potrebn\u00fd \u00faplne nov\u00fd pr\u00edstup k reakcii na kybernetick\u00e9 incidenty s cie\u013eom vypracova\u0165 r\u00fdchlu a adekv\u00e1tnu odpove\u010f na \u010dinnosti \u00fato\u010dn\u00edkov. A tak\u00e9to rie\u0161enie s\u00fa technol\u00f3gie Kybernetick\u00e9 klamanie (Security deception)<\/strong>. <\/p>\n

    Terminol\u00f3gia «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) je relat\u00edvne nov\u00e1 a objavila sa len ned\u00e1vno. V skuto\u010dnosti v\u0161etky tieto term\u00edny ozna\u010duj\u00fa vyu\u017e\u00edvanie «technol\u00f3gi\u00ed klamstva» alebo «techn\u00edk napodob\u0148ovania IT infra\u0161trukt\u00fary a dezinform\u00e1cie \u00fato\u010dn\u00edkov». Najjednoduch\u0161ie rie\u0161enia Deception s\u00fa rozvojom my\u0161lienok honeypots, len na technologicky pokro\u010dilej\u0161ej \u00farovni, ktor\u00e1 predpoklad\u00e1 v\u00e4\u010d\u0161iu automatiz\u00e1ciu detekcie hrozieb a reakciu na ne. Na trhu s\u00fa u\u017e v\u00e1\u017ene rie\u0161enia triedy DDP, ktor\u00e9 umo\u017e\u0148uj\u00fa jednoduch\u00e9 nasadenie a \u0161k\u00e1lovanie, ako aj disponuj\u00fa v\u00e1\u017enym arzen\u00e1lom «pasce» a «n\u00e1vnady» pre \u00fato\u010dn\u00edkov. Napr\u00edklad, Deception umo\u017e\u0148uje emulova\u0165 tak\u00e9 objekty IT infra\u0161trukt\u00fary, ako s\u00fa datab\u00e1zy, pracovn\u00e9 stanice, smerova\u010de, prep\u00edna\u010de, bankomaty, servery a SCADA, medic\u00ednske zariadenia a IoT. <\/p>\n

    Ako funguje «Distributed Deception Platform»? Po nasaden\u00ed DDP bude IT infra\u0161trukt\u00fara organiz\u00e1cie vybudovan\u00e1 akoby z dvoch vrstiev: prv\u00e1 vrstva \u2013 to je re\u00e1lna infra\u0161trukt\u00fara spolo\u010dnosti, a druh\u00e1 \u2013 to je «emulovan\u00e1» prostredie, ktor\u00e9 pozost\u00e1va z pasc\u00ed (angl., decoys, traps) a n\u00e1vnad (angl., lures), umiestnen\u00fdch na skuto\u010dn\u00fdch fyzick\u00fdch zariadeniach siete (pozri obr. 4).<\/p>\n

    \"Honeypot<\/p>\n

    Napr\u00edklad, \u00fato\u010dn\u00edk m\u00f4\u017ee objavi\u0165 falo\u0161n\u00e9 datab\u00e1zy s \u201ed\u00f4vern\u00fdmi dokumentmi\u201c, falo\u0161n\u00e9 prihlasovacie \u00fadaje \u00fadajne \u201eprivilegovan\u00fdch pou\u017e\u00edvate\u013eov\u201c \u2014 v\u0161etko s\u00fa to falo\u0161n\u00e9 ciele, ktor\u00e9 m\u00f4\u017eu zauja\u0165 naru\u0161ite\u013eov, \u010d\u00edm ich odvr\u00e1tia od skuto\u010dn\u00fdch informa\u010dn\u00fdch akt\u00edv spolo\u010dnosti (pozri obr. 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP je novinkou na trhu produktov kybernetickej bezpe\u010dnosti, tieto rie\u0161enia existuj\u00fa len p\u00e1r rokov a zatia\u013e si ich m\u00f4\u017eu dovoli\u0165 len korpor\u00e1cie. Av\u0161ak mal\u00fd a stredn\u00fd podnik \u010doskoro tie\u017e vyu\u017eije Deception, pren\u00e1jom DDP od \u0161pecializovan\u00fdch poskytovate\u013eov ako \u201eslu\u017ebu\u201c. Tento variant je e\u0161te pohodlnej\u0161\u00ed, preto\u017ee nie je potrebn\u00e9 ma\u0165 vlastn\u00fdch vysoko kvalifikovan\u00fdch pracovn\u00edkov.<\/p>\n

    Ni\u017e\u0161ie s\u00fa uveden\u00e9 hlavn\u00e9 v\u00fdhody technol\u00f3gie Deception:<\/p>\n