Në Habr ka disa artikuj mbi teknologjitë Honeypot dhe Deception (, ). Megjithatë, ne ende përballemi me keqkuptime mbi dallimin midis këtyre kategorive të mjeteve të mbrojtjes. Për këtë, kolegët tanë nga (prodhuesi i parë vendas ) vendosën të përshkruajnë detajet, përparësitë dhe karakteristikat arkitektonike të këtyre zgjidhjeve.
Le të shqyrtojmë se çfarë janë "hanipotët" dhe "desepshenët":
"Teknologjitë e mashtrimit" (angl., Deception technology) u shfaqën në tregun e sistemeve të sigurisë informacioni relativisht kohët e fundit. Sidoqoftë, disa specialistë ende e shohin Security Deception vetëm si "hanipotë" më të avancuar (angl., honeypot).
Në këtë artikull do të përpiqemi të ilustrojmë si ngjashmërinë ashtu edhe dallimet thelbësore të këtyre dy zgjidhjeve. Në pjesën e parë, do të flasim për "hanipotin", si është zhvilluar kjo teknologji dhe cilat janë përparësitë dhe disavantazhet e saj. Në pjesën e dytë, do të ndalemi më gjerësisht në parimet e funksionimit të platformave për krijimin e infrastrukturës së shpërndarë të objektivave të falsifikuara (angl., Distributed Deception Platform — DDP).
Parimi themelor që qëndron pas honeypot-ëve është krijimi i grackave për hakerët. Po këtë parim janë zhvilluar edhe zgjidhjet e para Deception. Por, DDP-të moderne tejkalojnë në mënyrë të konsiderueshme hane-pots, si në funksionalitetin e tyre ashtu edhe në efikasitet. Platformat Deception përfshijnë: gracka (angl., decoys, traps), joshje (angl., lures), aplikacione, të dhëna, baza të dhënash, Active Directory. DDP-të moderne ofrojnë mundësi të gjera për zbulimin e kërcënimeve, analizimin e sulmeve dhe automatizimin e veprimeve reaguese.
Kështu, Deception paraqesin teknika për imitim të infrastrukturës IT të ndërmarrjes dhe për të çuar hakerët në mashtërim. Si pasojë, këto platforma lejojnë ndalimin e sulmeve para se të shkaktojnë dëm të rëndësishëm për asetet e kompanisë. Honeypot-ët, sigurisht, nuk kanë një funksionalitet aq të gjerë dhe një nivel të tillë automatizimi, prandaj përdorimi i tyre kërkon kualifikim më të lartë nga stafi i departamenteve të sigurisë kibernetike.
1. Honeypots, Honeynets dhe Sandboxing: çfarë janë dhe si aplikohen
Për herë të parë, termi «honeypots» u përdor në vitin 1989 në librin e Clifford Stollit «The Cuckoo’s Egg», në të cilin përshkruhen ngjarjet e ndjekjes së një hakeri në Laboratorin Nacional Berkeley (SHBA). Në praktikë, kjo ide u realizua në vitin 1999 nga Lance Spitzner, një specialist i sigurisë në kompaninë Sun Microsystems, i cili themeloi projektin kërkues «Honeynet Project». Honeypotët e parë ishin shumë të shtrenjtë në burime, të ndërlikuar për t'u konfiguruar dhe mbajtur.
Le të shqyrtojmë më në detaje se çfarë janë honeypots dhe honeynets. Honeypotët — janë hoste të veçanta, të cilat kanë si qëllim të tërheqin sulmuesit që të kryejnë depërtim në rrjetin e kompanisë dhe të përpiqen të vjedhin të dhëna të çmuara, si dhe të zgjasin zonën e veprimit të rrjetit. Honeypoti (i përkthyer doslovno si «barrel me mjaltë») paraqet një server të veçantë me një grup shërbimesh dhe protokollesh të ndryshme rrjeti, si HTTP, FTP etj. (shih fig. 1).
Nëse bashkojmë disa honeypots në një rrjet, do të marrim një sistem më efikas honeynet, që përfaqëson një emulim të rrjetit të Korporatës (server web, server skedarësh, dhe komponentë të tjerë të rrjetit). Ky zgjidhje lejon të kuptoni strategjinë e veprimeve të aktorëve të këqij dhe t'i çoni ata në një stekë e gabuar. Një honeynet tipik zakonisht punon paralelisht me rrjetin e punës dhe është plotësisht e pavarur nga ai. Kjo "rrjet" mund të publikohet në Internet përmes një kanali të veçantë, dhe gjithashtu mund të rezervoni një gamë të veçantë IP-sh adresash (shih figura 2).
Kuptimi i përdorimit të honeynet është të tregoni hakerit se ai për një moment ka hyrë në rrjetin korporativ të organizatës, ndërkohë që në të vërtetë ai ndodhet në një "mjedis të izoluar" dhe nën vëzhgimin e ngushtë të specialistëve të sigurisë informative (shih figura 3).
Këtu gjithashtu duhet të përmendet një mjet i tillë si "sandbox" (anglisht, sandbox), e cila u lejon sulmuesit të instalojnë dhe të nisin programe malinj në një mjedis të izoluar, ku specialistët e IT-së mund të ndjekin veprimet e tyre me qëllim identifikimin e rreziqeve të mundshme dhe marrjen e masave të nevojshme. Aktualisht, zakonisht sandboxing implementohet në makina virtuale të dedikuara në një host virtual. Megjithatë, duhet theksuar se sandboxing tregon vetëm se si veprojnë programet e rrezikshme dhe malinje, ndërsa honeynet ndihmon specialistin të analizojë sjelljen e 'lojtarëve të rrezikshëm'.
Përfitimi i qartë i honeynets është se ata i çoroditin shkelësit, duke i shpërdoruar forcat, burimet dhe kohën e tyre. Si rezultat, në vend të qëllimeve reale, ata sulmojnë të falsifikuara dhe mund të ndërpresin sulmin në rrjet, duke mos arritur asgjë. Teknologjitë honeynets përdoren më së shumti në institucione qeveritare dhe në korporata të mëdha, si dhe në organizata financiare, pasi këto struktura janë shpesh objektiva për sulme të mëdha kibernetike. Megjithatë, ndërmarrjet e vogla dhe të mesme (SMB) gjithashtu kanë nevojë për mjete efektive për të parandaluar incidentet e sigurisë së informacionit, por përdorimi i honeynets në sektorin SMB nuk është aq i lehtë për shkak të mungesës së personelit të kualifikuar për një punë kaq të komplikuar.
Kufizimet e zgjidhjeve Honeypots dhe Honeynets
Pse honeypots dhe honeynets nuk janë zgjidhjet më të mira për të kundërshtuar sulmet sot? Duhet të theksohet se sulmet po bëhen gjithnjë e më të mëdha, teknikisht më të komplikuara dhe në gjendje të shkaktojnë dëme të konsiderueshme në infrastrukturën IT të organizatës, ndërsa krimi kibernetik ka hyrë në një nivel krejt tjetër dhe përbën struktura biznesi të organizuara mirë, të armatosura me të gjitha burimet e nevojshme. Kësaj i shtohet edhe "faktori njeri" (gabimet në konfigurimin e softuerit dhe pajisjeve, veprimet e insiderëve, etj.), prandaj përdorimi i vetëm të teknologjive për të parandaluar sulmet për momentin nuk mjafton më.
Më poshtë janë përmendur kufizimet dhe mangësitë kryesore të honeypots (honeynets):
"Honeypots" janë krijuar fillimisht për të zbuluar kërcënimet që ndodhin jashtë rrjetit korporativ, janë më së shumti për analizimin e sjelljes së sulmuesve dhe nuk janë të dizajnuar për të reaguar shpejt ndaj kërcënimeve.
Sulmuesit, zakonisht, tashmë kanë mësuar të identifikojnë sistemet e emuluara dhe të shmangin honeypots.
Honeynets (honeypots) kanë një nivel shumë të ulët interaktiviteti dhe ndërveprimi me sistemet e tjera të sigurisë, duke e bërë të vështirë që, duke përdorur honeypot, të merret një informacion i gjerë mbi sulmet dhe sulmuesit, duke mos u mundësuar kështu përgjigje efikase dhe të shpejtë ndaj incidenteve të sigurisë informuese. Për më tepër, specialistët e sigurisë informuese marrin një sasi të madhe alarmesh të rreme për kërcënime.
Në disa raste, hakerët mund të përdorin një honeypot të komprometuar si një pikë fillestare për të vazhduar sulmin në rrjetin e organizatës.
Shpesh ndodhin probleme me skalueshmërinë e honeypotëve, ngarkesën e lartë operacionale dhe konfigurimin e këtyre sistemeve (ato kërkojnë specialistë të kualifikuar, nuk kanë një ndërfaqe menaxhimi të lehtë etj.). Ka vështirësi të mëdha në vendosjen e honeypot-ëve në ambiente të specializuara, siç janë IoT, POS, sisteme në re etj.
2. Teknologjia e mashtrimit: përfitimet dhe prinsipet kryesore të punës
Pas studimit të të gjitha përparësive dhe disavantazheve të honeypot-ëve, arrijmë në përfundimin se nevojitet një qasje krejtësisht e re në reagimin ndaj incidenteve të sigurisë kibernetike, me qëllim që të zhvillohet një përgjigje e shpejtë dhe e duhur ndaj veprimeve të sulmuesve. Një zgjidhje e tillë janë teknologjitë Mashtrimi kibernetik (Mashtrimi për siguri).
Terminologjia «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) është relativisht e re dhe ka dalë vetëm së fundmi. Në të vërtetë, të gjithë këto terma nënkuptojnë përdorimin e «teknologjive të gënjeshtrës» ose «teknikave të imitim të infrastrukturës IT dhe deziformimit të keqbërësve». Zgjidhjet më të thjeshta të Deception janë zhvillimi i ideve honeypots, vetëm në një nivel më teknologjikisht të avancuar, i cili parashikon një automatizim më të madh të zbuluarjes së kërcënimeve dhe përgjigjjes ndaj tyre. Megjithatë, në treg tashmë ekzistojnë zgjidhje serioze të klasit DDP, të cilat parashikojnë lehtësinë e shpërndarjes dhe shkallëzimit, si dhe kanë një arsenali të rëndësishëm prej «kapjesh» dhe «kurtheve» për sulmuesit. Për shembull, Deception lejon imitim të objekteve të infrastrukturës IT siç janë bazat e të dhënave, stacionet e punës, ruterët, switch-ët, bankomatet, serverët dhe SCADA, pajisje mjekësore dhe IoT.
Si si zhvillon «Platforma e Mashtresës të Distribuar»? Pas implementimit të DDP, infrastruktura IT e organizatës do të ndërtohet si të ishte në dy shtresa: shtresa e parë është infrastruktura reale e kompanisë, ndërsa e dyta është një mjedis 'i emuluar', që përbëhet nga kurthe (angl. decoys, traps) dhe joshje (angl. lures), të cilat janë të vendosura në pajisje fizike reale të rrjetit (shih fig. 4).
Për shembull, një hacker mund të gjejë baza të gabuara të dhënash me 'dokumente konfidenciale', kredenciale të rreme të ashtuquajturëve 'përdorues të privilegjuar' — të gjitha këto janë qëllime të rreme, të cilat mund të tërheqin vëmendjen e shkelësve, duke i zgjedhur ata nga asetet e vërteta informative të kompanisë (shih fig. 5).
DDP është një risi në tregun e produkteve të sigurisë kibernetike, këto zgjidhje janë disa vjet të vjetra dhe deri tani mund të përballohen vetëm nga sektori korporativ. Por biznisi i vogël dhe i mesëm do të ndihmojë së shpejti të përfitojë nga Deception, duke e marrë DDP nga ofrues të specializuar, si një 'shërbim'. Ky variant është madje më i përshtatshëm, pasi nuk ka nevojë për punonjës të kualifikuar të lartë.
Më poshtë janë përfitimet kryesore të teknologjisë Deception:
Autentikimi. Teknologjia Deception është në gjendje të krijojë një ambient IT të plotë autentik, duke imituar me cilësi sistemet operative, IoT, POS, sistemet e specializuara (mjekësore, industriale etj.), shërbimet, aplikacionet, kredencialet etj. Zallaret (decoys) përzihen me kujdes me ambientin e punës dhe sulmuesi nuk do të jetë në gjendje t'i identifikojë ato si honeypots.
Implementimi. DDP përdor mësimin e makinerive (angl. machine learning, ML) në punën e saj. Me ndihmën e ML ofrohet lehtësia, fleksibiliteti në konfigurime dhe efikasiteti në zbatimin e Deception. "Zallaret" dhe "kërkesat" përditësohen shumë shpejt, duke e angazhuar sulmuesin në "infrastrukturën" IT të rreme të kompanisë, ndërkohë që sistemet e avancuara të analizës të bazuara në inteligjencën artificiale mund të zbulojnë veprimet aktive të hakerëve dhe të parandalojnë ato (për shembull, përpjekjen për qasje në Active Directory në bazë të kredencialeve të gabuara).
Thjeshtësia e përdorimit. Platforma moderne «Distributed Deception» është e thjeshtë për t'u mbajtur dhe menaxhuar. Ato zakonisht menaxhohen përmes një konsol të lokalizuar ose në re, kanë mundësi integrimi me SOC-in e korporatës (Qendra e Operacioneve të Sigurisë) përmes API dhe me shumë mjete ekzistuese për kontrollin e sigurisë. Shërbimi dhe funksionimi i DDP-së nuk kërkon shërbime nga ekspertë të kualifikuar të sigurisë kibernetike.
Shkallëzueshmëria. Paqëndrimet e sigurisë mund të implementohen në mjedise fizike, virtuale dhe në re. DDP-të funksionojnë gjithashtu me mjedise të specializuara, si IoT, ICS, POS, SWIFT, etj. Platforma të avancuara të Deception mund të projektojnë «teknologji mashtruese» edhe në zyra të largëta e mjedise të izoluar, pa pasur nevojë për një zbatim të plotë të platformës.
Ndërveprimi. Duke përdorur kurthe efektive dhe tërheqëse (decoys), të bazuara në sisteme operative reale dhe të vendosura me kujdes në infrastrukturën e vërtetë IT, platforma Deception mbledh informacione të shumta mbi sulmuesin. Më pas, DDP ofron njoftime për kërcënimet, gjeneron raporte dhe realizon reagim automatik ndaj incidenteve të sigurisë kibernetike.
Pika e fillimit të sulmit. Në zgjidhjet moderne të Deception, kurthet dhe grackat vendosen brenda gamës së rrjetit, e jo jashtë tij (siç ndodh me honeypots). Kjo model i implementimit të kurtheve nuk lejon që sulmuesi t'i përdorë ato si pikë reference për të sulmuar infrastrukturën e vërtetë IT të kompanisë. Në zgjidhjet më të avancuara të klasës Deception ekzistojnë mundësi për orientimin e trafikut, kështu që e gjithë aktivizmi i sulmuesve mund të drejtosh nëpër një lidhje të veçantë. Kjo do të lejojë analizimin e aktivites së sulmuesve pa rrezik për asetet e çmuara të kompanisë.
Kredita e 'teknologjive të mashtrimit'. Në fazën fillestare të një sulmi, sulmuesit grumbullojnë dhe analizojnë të dhëna mbi infrastrukturën IT, pastaj i përdorin ato për të avancuar horizontalisht në rrjetin e korporatës. Me ndihmën e "teknologjive të mashtimit", sulmuesi do të kapet në "kurthe" që do ta shpjerë larg aktiveve reale të organizatës. DDP do të analizojë rrugët potenciale për qasje në kredencialet në rrjetin korporativ dhe do t'i ofrojë sulmuesit "objekte të rreme" në vend të kredencialeve reale. Këto mundësi kanë qenë shumë të munguar për teknologjitë honeypot. (Shih figurën 6).
Mashtimi VS Honeypot
Dhe në fund, po afrohemi në momentin më të interesant të hulumtimit tonë. Do të mundohemi të theksojmë dallimet kryesore midis teknologjive të Mashtimit dhe Honeypot. Pavarësisht disa ngjashmërive, këto dy teknologji ndryshojnë shumë, duke filluar nga ideja themelore e deri te efektiviteti i funksionimit.
Ide të ndryshme të bazuara. Siç e përmendëm më lart, honeypot-et vendosen si «kërcyes» rreth aktivave të çmuara të kompanisë (jashtë rrjetit korporativ), duke përpjekur kështu të shpërqendrojnë sulmuesit. Teknologjia honeypot bazohet në përfaqësimin e infrastrukturës së organizatës, megjithatë honeypot-et mund të bëhen një pikë mbështetjeje për fillimin e një sulmi në rrjetin e kompanisë. Teknologjia Deception është zhvilluar me parasysh këndvështrimin e sulmuesit dhe lejon identifikimin e sulmit në një fazë të hershme, duke i dhënë kështu specialistëve të sigurisë një avantazh të rëndësishëm përpara sulmuesve dhe fiton kohë.
«Tërheqja» VS «Dërmimi». Në përdorimin e honeypot-ëve, suksesi varet nga tërheqja e vëmendjes së sulmuesve dhe motivimi i tyre për të kaluar në objektivin në honeypot. Kjo do të thotë se sulmuesi duhet të arrijë në honeypot dhe vetëm atëherë do të mund ta ndaloni atë. Kështu, prania e aktorëve të keq në rrjet mund të vazhdojë për disa muaj dhe më shumë, gjë që do të çojë në rrjedhje të të dhënave dhe dëm fizik. DDP simulon cilësisht infrastrukturën reale të TI-së së kompanisë; qëllimi i implementimit të tyre është jo thjesht të tërheqë vëmendjen e aktorëve të keq, por të konfuzojë ata për t'i bërë të humbasin kohë dhe burime, pa arritur qasje në asetet reale të kompanisë.
«Skalabilitet i kufizuar» VS «skalabilitet automatik». Si është përmendur më parë, honeypots dhe honeynets kanë probleme me shkallëzimin. Kjo është e komplikuar dhe e shtrenjtë, dhe për të rritur numrin e honeypots në sistemet e korporatave, do të duhet të shtoni kompjuterë të rinj, sisteme operative, të blini licenca, dhe të angazhoni IP. Përveç kësaj, nevojitet edhe staf i kualifikuar për të menaxhuar këto sisteme. Platformat Deception deployohen automatikisht ndërsa shkallëzohet infrastruktura, pa shpenzime të përmasave të konsiderueshme.
«Numri i madh i goditjeve false» VS «mungesa e goditjeve false». Thelbi i problemit është se edhe një përdorues i zakonshëm mund të përballet me një honeypot, prandaj «anashkalimi» i kësaj teknologjie është numri i madh i goditjeve false, që e shpërqendron specialistët e sigurisë ndarë nga puna. «Përbindëshat» dhe «llastikat» në DDP janë të fshehura në mënyrë të kujdesshme nga përdoruesit e zakonshëm dhe janë të projektuara vetëm për sulmuesit, prandaj çdo sinjal nga një sistem i tillë është një njoftim për një kërcënim të vërtetë, dhe jo një goditje false.
Përfundimi
Në mendimin tonë, teknologjia Deception është një hap i madh përpara krahasuar me teknologjinë më të vjetër Honeypots. Në thelb, DDP është bërë një platformë e plotë sigurie që është e lehtë për t'u implementuar dhe menaxhuar.
Platformat moderne të këtij tipi luajnë një rol të rëndësishëm në zbulimin e saktë dhe reagimin efektiv ndaj kërcënimeve në rrjet, dhe integrimi i tyre me komponentët e tjerë të stack-ut të sigurisë rrit nivelin e automatizimit, përmirëson efikasitetin dhe efektivitetin e reagimit ndaj incidenteve. Platformat Deception janë të bazuara në autenticitet, skalabilitet, thjeshtësi menaxhimi dhe integrim me sisteme të tjera. Të gjitha këto ofrojnë një avantazh të konsiderueshëm në shpejtësinë e reagimit ndaj incidenteve të sigurisë informacionit.
Gjithashtu, duke u bazuar në vëzhgimet e testeve të penetrimit të kompanive ku është implementuar ose pilotuar platforma Xello Deception, mund të përfundosh se madje edhe testuesit më të përsosur shpesh nuk janë në gjendje të njohin mashtrimet në rrjetin korporativ dhe dështojnë duke rënë në kurthet e tendosura. Kjo fakt e konfirmon përsëri efikasitetin e Deception dhe mundësitë e mëdha që shfaqen për këtë teknologji në të ardhmen.
Testimi i produktit
Nëse jeni të interesuar për platformat Deception, ne jemi të gatshëm .
Ndjekni azhurnimet në kanalet tona (, , , )!
Burimi: habr.com
