{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Honeypot vs Deception na primeru Xello","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Honeypot<\/p>\n

Na Habru je \u017ee nekaj \u010dlankov o tehnologijah Honeypot in Deception (1 \u010dlanek<\/a><\/noindex>, 2. \u010dlanek<\/a><\/noindex>). Vendar se \u0161e vedno sre\u010dujemo z nerazumevanjem razlike med tema dvema razredoma za\u0161\u010ditnih sredstev. V ta namen so na\u0161i kolegi iz Xello Deception<\/a><\/noindex> (prvi ruski razvijalec Deception platforme<\/a><\/noindex>) se odlo\u010dili, da podrobno opi\u0161ejo razlike, prednosti in arhitekturne zna\u010dilnosti teh re\u0161itev.<\/p>\n

Poglejmo, kaj so 'honeypoti' in 'deception':<\/h2>\n

'Tehnologije prevare' (angle\u0161ko, Deception technology) so se na trgu sistemov informacijske varnosti pojavile razmeroma nedavno. Vendar pa nekateri strokovnjaki \u0161e vedno menijo, da je Security Deception le bolj napredna 'honeypot' (angle\u0161ko, honeypot). <\/p>\n

V tem \u010dlanku bomo posku\u0161ali osvetliti tako podobnosti kot temeljne razlike teh dveh re\u0161itev. V prvem delu bomo govorili o \u00bbhanipotu\u00ab, kako se je ta tehnologija razvijala ter kak\u0161ne so njene prednosti in slabosti. V drugem delu pa se bomo podrobno osredoto\u010dili na na\u010dine delovanja platform za ustvarjanje distribucijske infrastrukture la\u017enih ciljev (angl., Distributed Deception Platform \u2014 DDP). <\/p>\n

Osnovno na\u010delo, ki le\u017ei v ozadju honeypots, je ustvarjanje pasti za hekerje. Na enakem na\u010delu so bila razvita tudi prva Deception re\u0161itev. Vendar pa sodobne DDP bistveno presegajo hanipote, tako po funkcionalnosti kot po u\u010dinkovitosti. Deception platforme vklju\u010dujejo: pasti (angl., decoys, traps), vab (angl., lures), aplikacije, podatke, baze podatkov, Active Directory. Sodobne DDP lahko zagotavljajo \u0161iroke mo\u017enosti za odkrivanje gro\u017eenj, analizo napadov in avtomatizacijo odzivnih ukrepov. <\/p>\n

Tako Deception predstavljajo tehnike posnemanja IT\u2011infrastrukture podjetja in zavajanja hekerjev. Posledi\u010dno te platforme omogo\u010dajo ustavljanje napadov pred nastankom znatne \u0161kode premo\u017eenju podjetja. Hanipoti seveda nimajo tako \u0161iroke funkcionalnosti in ravni avtomatizacije, zato njihova uporaba zahteva ve\u010djo usposobljenost od zaposlenih v oddelkih za informacijsko varnost.<\/p>\n

1. Honeypots, Honeynets in Sandboxing: kaj je to in kako se uporablja<\/h2>\n

Prvi\u010d je bil izraz 'honeypots' uporabljen leta 1989 v knjigi Clifforda Stolla 'The Cuckoo\u2019s Egg', ki opisuje dogodke s sledenjem hekerju v Nacionalni laboratorij Lawrence Berkeley (ZDA). V praksi je bila ta ideja uresni\u010dena leta 1999 z Lansom Spitznerjem, strokovnjakom za IKT iz podjetja Sun Microsystems, ki je ustanovil raziskovalni projekt 'Honeynet Project'. Prvi honeypoti so bili zelo zahtevni, kompleksni za nastavitev in vzdr\u017eevanje. <\/p>\n

Razmotrimo detaljnije \u0161ta su honeypots <\/strong>in honeynets<\/strong>. Honeypots su pojedina\u010dni hostovi \u010dija je svrha da privuku napada\u010de da poku\u0161aju da prodru u mre\u017eu kompanije i ukradu dragocene podatke, kao i da pro\u0161ire zonu delovanja mre\u017ee. Honeypot (doslovni prevod: \u00abbure s medom\u00bb) predstavlja poseban server sa skupom razli\u010ditih mre\u017enih usluga i protokola, kao \u0161to su HTTP, FTP itd. (vidi sl. 1).<\/p>\n

\"Honeypot<\/p>\n

Ako spojimo nekoliko honeypots <\/strong>u mre\u017eu, dobi\u0107emo ve\u0107u i efikasniju sistemsku honeynet<\/strong>, koja predstavlja emulaciju korporativne mre\u017ee kompanije (web server, file server i drugi komponenti mre\u017ee). Ova re\u0161enja omogu\u0107avaju razumevanje strategije delovanja napada\u010da i dovode ih u zabludu. Tipi\u010dni honeynet obi\u010dno radi paralelno s radnom mre\u017eom i potpuno nezavisno od nje. Ovu \u00abmre\u017eu\u00bb mo\u017ee se objaviti na Internetu preko zasebnog kanala, a mo\u017ee joj se dodeliti i poseban opseg IP adresa (vidi sl. 2).<\/p>\n

\"Honeypot<\/p>\n

Svrha primene honeyneta je da poka\u017ee hakeru da je navodno upao u korporativnu mre\u017eu organizacije, dok se u stvarnosti napada\u010d nalazi u \u00abizolovanom okru\u017eenju\u00bb pod pa\u017eljivim nadzorom stru\u010dnjaka za informati\u010dku bezbednost (vidi sl. 3).<\/p>\n

\"Honeypot<\/p>\n

Ovde tako\u0111e treba pomenuti sredstvo kao \u0161to je \u00absandbox<\/strong>\u00bb (eng., sandbox<\/strong>), koje omogu\u0107ava napada\u010dima da instaliraju i pokre\u0107u zlonamerne programe u izolovanom okru\u017eenju, gde IT stru\u010dnjaci mogu pratiti njihove aktivnosti u cilju identifikacije potencijalnih rizika i preduzimanja potrebnih mera. Trenutno se, u ve\u0107ini slu\u010dajeva, sandboxing realizuje na dedikovanim virtuelnim ma\u0161inama na virtuelnom hostu. Me\u0111utim, treba napomenuti da sandboxing prikazuje samo kako se pona\u0161aju opasni i zlonamerni programi, dok honeynet poma\u017ee stru\u010dnjaku da analizira pona\u0161anje \u00abopasnih igra\u010da\u00bb. <\/p>\n

O\u010ditna korist honeynetov je v tem, da zavajajo kr\u0161itelje, katerih mo\u010di, sredstva in \u010das se porabljajo. Namesto dejanskih ciljev napadajo la\u017ene in lahko prenehajo z napadom na omre\u017eje, ne da bi dosegli karkoli. Tehnologije honeynetov se najpogosteje uporabljajo v vladnih institucijah in velikih korporacijah, finan\u010dnih organizacijah, saj so ta podjetja najve\u010dja tar\u010da ve\u010djih kibernetskih napadov. Vendar pa tudi mala in srednja podjetja (SMB) potrebujejo u\u010dinkovite instrumente za prepre\u010devanje kibernetskih incidentov, a uporabo honeynetov v sektorju SMB ote\u017euje pomanjkanje usposobljenega kadra za tako zahtevno delo.<\/p>\n

Omejenost re\u0161itev Honeypots in Honeynets<\/u><\/strong><\/p>\n

Zakaj honeypots in honeynets niso najbolj\u0161a re\u0161itev za prepre\u010devanje napadov danes? Treba je omeniti, da napadi postajajo vse bolj obse\u017eni, tehni\u010dno zahtevni in lahko povzro\u010dijo resno \u0161kodo IT-infrastrukturi podjetja, kibernetski kriminal pa se je premaknil na povsem novo raven in predstavlja zelo organizirane sen\u010dne poslovne strukture, opremljene z vsemi potrebnimi sredstvi. K temu je treba dodati \u0161e \u00bb\u010dlove\u0161ki faktor\u00ab (napake pri nastavitvah programske opreme in opreme, dejanja insiderjev itd.), zato samo uporaba tehnologij za prepre\u010devanje napadov v trenutnih razmerah ni ve\u010d dovolj. <\/p>\n

Spodaj navajamo glavne omejitve in pomanjkljivosti honeypots (honeynets):<\/p>\n

    \n
  1. \n

    Honeypots so bili sprva zasnovani za odkrivanje gro\u017eenj, ki so zunaj korporativnega omre\u017eja, namenjeni so predvsem analizi obna\u0161anja napadalcev in niso zasnovani za hitro odzivanje na gro\u017enje. <\/p>\n<\/li>\n

  2. \n

    Napadalci so se praviloma \u017ee nau\u010dili prepoznavati emulirane sisteme in se izogibajo honeypots. <\/p>\n<\/li>\n

  3. \n

    Honeynets (honeypots) imajo izjemno nizek nivo interaktivnosti in sodelovanja z drugimi varnostnimi sistemi, kar onemogo\u010da pridobitev podrobnih informacij o napadih in napadalcih ter u\u010dinkovito in hitro ukrepanje ob kibernetskih incidentih. Poleg tega strokovnjaki za kibernetsko varnost prejemajo veliko \u0161tevilo la\u017enih opozoril o gro\u017enjah. <\/p>\n<\/li>\n

  4. \n

    V nekaterih primerih lahko hekerji uporabijo kompromitiran honeypot kot izhodi\u0161\u010dno to\u010dko za nadaljevanje napada na omre\u017eje organizacije. <\/p>\n<\/li>\n

  5. \n

    Pogosto se pojavijo te\u017eave z raz\u0161irljivostjo honeypotov, visoko operativno obremenitvijo in konfiguracijo tak\u0161nih sistemov (zahtevajo visoko usposobljene strokovnjake, nimajo enostavnega upravljalskega vmesnika itd.). Obstajajo velike te\u017eave pri implementaciji honeypotov v specializirana okolja, kot so IoT, POS, obla\u010dni sistemi itd.<\/p>\n<\/li>\n<\/ol>\n

    2. Tehnologija zavajanja: prednosti in osnovna na\u010dela delovanja<\/h2>\n

    Po pregledu vseh prednosti in slabosti honeypotov pridemo do zaklju\u010dka, da je potreben povsem nov pristop k re\u0161evanju incidentov informacijske varnosti, da bi se razvila hitra in ustrezna reakcija na dejanja napadalcev. In to re\u0161itev predstavljajo tehnologije Cyber deception (varnostno zavajanje)<\/strong>. <\/p>\n

    Terminologija 'Cyber deception', 'Security deception', 'Deception technology', 'Distributed Deception Platform' (DDP) je razmeroma nova in se je pojavila nedavno. V bistvu vsi ti izrazi pomenijo uporabo 'tehnologij prevare' ali 'tehnike imitacije IKT infrastrukture in dezinformacije napadalcev'. Najpreprostej\u0161a re\u0161itev Deception je raz\u0161iritev idej honeypotov, le na bolj tehnolo\u0161ko napredni ravni, ki predvideva ve\u010djo avtomatizacijo odkrivanja gro\u017eenj in odzivanja nanje. Na trgu so \u017ee resne re\u0161itve razreda DDP, ki omogo\u010dajo enostavno name\u0161\u010danje in raz\u0161irjanje ter posedujejo obse\u017een arsenal 'past' in 'vabe' za napadalce. Na primer, Deception omogo\u010da emulacijo tak\u0161nih objektov IKT infrastrukture, kot so baze podatkov, delovne postaje, usmerjevalniki, stikala, bankomati, stre\u017eniki in SCADA, medicinska oprema ter IoT. <\/p>\n

    Kako deluje 'Distributed Deception Platform'? Po namestitvi DDP bo IT infrastruktura organizacije zgrajena v dveh plasteh: prva plast je dejanska infrastruktura podjetja, druga pa 'emulirana' okolica, sestavljena iz pasti (angle\u0161ko, decoys, traps) in vab (angle\u0161ko, lures), ki so name\u0161\u010dene na pravih fizi\u010dnih napravah v omre\u017eju (glej sliko 4).<\/p>\n

    \"Honeypot<\/p>\n

    Na primer, napadalec lahko odkrije la\u017ene baze podatkov z \"zaupnimi dokumenti\" in ponarejena poverilnica domnevno \"privilegiranih uporabnikov\" \u2014 vse to so la\u017ene tar\u010de, ki lahko zanimajo kr\u0161itelje, s \u010dimer odvrnejo njihovo pozornost od pravih informacijskih sredstev podjetja (glej sliko 5).<\/p>\n

    \"Honeypot<\/p>\n

    DDP je novost na trgu re\u0161itev za informati\u010dno varnost, ta re\u0161itev obstaja \u0161ele nekaj let in si jo lahko privo\u0161\u010di le korporativni sektor. Vendar bo kmalu tudi mali in srednji podjetja lahko izkoristila Deception, tako da bodo najemala DDP pri specializiranih ponudnikih kot \"storitev\". Ta mo\u017enost je \u0161e bolj priro\u010dna, saj ni potrebe po lastnih visoko usposobljenih kadrih.<\/p>\n

    Spodaj so predstavljene glavne prednosti tehnologije Deception:<\/p>\n