Статистика за 24 сата након инсталирања хонеипот-а на чвор Дигитал Оцеан у Сингапуру

Пев Пев! Почнимо одмах са мапом напада

Наша супер кул мапа приказује јединствене АСН-ове који су се повезали са нашим Цоврие медом у року од 24 сата. Жута одговара ССХ конекцијама, а црвена Телнет. Такве анимације често импресионирају управни одбор компаније, што може помоћи да се обезбеди више средстава за безбедност и ресурсе. Међутим, мапа има одређену вредност, јасно показује географско и организационо ширење извора напада на наш домаћин за само 24 сата. Анимација не одражава количину саобраћаја из сваког извора.

Шта је мапа Пев Пев?

Мапа Пев Пев - Је визуализација сајбер напада, обично анимирани и веома леп. То је фенси начин да продате свој производ, који неславно користи Норсе Цорп. Компанија је завршила лоше: испоставило се да су лепе анимације њихова једина предност, а за анализу су користили фрагментарне податке.

Направљено са Леафлетјс-ом

За оне који желе да дизајнирају карту напада за велики екран у оперативном центру (вашем шефу ће се свидети), постоји библиотека леафлетјс. Комбинујемо га са додатком миграциони слој летака, Макминд ГеоИП услуга - и готови сте.

ВТФ: шта је ово Цоврие медени лонац?

Хонеипот је систем који се поставља на мрежу посебно да би намамио нападаче. Везе са системом су обично нелегалне и омогућавају вам да откријете нападача користећи детаљне евиденције. Дневници чувају не само редовне информације о вези, већ и информације о сесији које откривају технике, тактике и процедуре (ТТП) уљез.

Хонеипот Цоврие створена за ССХ и Телнет записи веза. Такви хонеипотс се често постављају на Интернет да би се пратили алати, скрипте и мноштво нападача.

Моја порука компанијама које мисле да неће бити нападнуте: "Тешко тражите."
— Џејмс Снук

Шта је у евиденцији?

Укупан број прикључака

Било је поновљених покушаја повезивања са многих домаћина. Ово је нормално, пошто скрипте за напад имају пуну листу акредитива и испробавају неколико комбинација. Цоврие Хонеипот је конфигурисан да прихвати одређене комбинације корисничког имена и лозинке. Ово је конфигурисано у усер.дб фајл.

Географија напада

Користећи Макминд геолокацијске податке, пребројао сам број веза из сваке земље. Бразил и Кина предњаче са великом разликом, а често је много буке од скенера који долазе из ових земаља.

Власник мрежног блока

Истраживање власника мрежних блокова (АСН) може идентификовати организације са великим бројем нападачких хостова. Наравно, у таквим случајевима увек треба да запамтите да многи напади долазе од заражених домаћина. Разумно је претпоставити да већина нападача није довољно глупа да скенира мрежу са кућног рачунара.

Отворени портови на нападачким системима (подаци са Сходан.ио)

Покретање ИП листе кроз одлично Сходан АПИ брзо идентификује системи са отвореним портовима а који су то портови? На слици испод приказана је концентрација отворених лука по земљама и организацијама. Било би могуће идентификовати блокове компромитованих система, али унутар мали узорак ништа изванредно се не види, осим великог броја 500 отворених лука у Кини.

Занимљиво откриће је велики број система у Бразилу који имају није отворен 22, 23 или друге луке, према Ценсис и Сходан. Очигледно су то везе са рачунара крајњих корисника.

Ботови? Није потребно

Подаци Ценсис за луке 22 и 23 показали су нешто чудно тога дана. Претпоставио сам да већина скенирања и напада на лозинку долази од ботова. Скрипта се шири преко отворених портова, погађајући лозинке и копира се са новог система и наставља да се шири користећи исти метод.

Али овде можете видети да само мали број хостова који скенирају телнет има отворен порт 23. То значи да су системи или компромитовани на неки други начин, или нападачи ручно покрећу скрипте.

Кућне везе

Још један занимљив налаз био је велики број кућних корисника у узорку. Коришћењем обрнуто тражење Идентификовао сам 105 веза са одређених кућних рачунара. За многе кућне везе, обрнута ДНС претрага приказује име хоста са речима дсл, хоме, кабл, фибер и тако даље.

Учите и истражујте: Подигните свој Хонеипот

Недавно сам написао кратак водич о томе како да инсталирајте Цоврие хонеипот на свој систем. Као што је већ поменуто, у нашем случају смо користили Дигитал Оцеан ВПС у Сингапуру. За 24 сата анализе, цена је била буквално неколико центи, а време за склапање система је било 30 минута.

Уместо да покрећете Цоврие на интернету и хватате сву буку, можете имати користи од хонеипота на вашој локалној мрежи. Стално подесите обавештење ако се захтеви шаљу на одређене портове. Ово је или нападач унутар мреже, или радознали запослени, или скенирање рањивости.

Налази

Након што се сагледају акције нападача током периода од XNUMX сата, постаје јасно да је немогуће идентификовати јасан извор напада у било којој организацији, земљи или чак оперативном систему.

Широка дистрибуција извора показује да је шум скенирања константан и није повезан са одређеним извором. Свако ко ради на Интернету мора осигурати да свој систем неколико нивоа безбедности. Уобичајено и ефикасно решење за ССХ услуга ће се преселити на насумични високи порт. Ово не елиминише потребу за строгом заштитом лозинком и надзором, али барем осигурава да евиденције нису зачепљене сталним скенирањем. Већа је вероватноћа да ће везе са високим портовима бити циљани напади, што вас може занимати.

Често су отворени телнет портови на рутерима или другим уређајима, тако да се не могу лако преместити на високи порт. Информације о свим отвореним портовима и површина напада је једини начин да се осигура да су ове услуге заштићене заштитним зидом или онемогућене. Ако је могуће, не би требало да користите Телнет уопште; овај протокол није шифрован. Ако вам је потребан и не можете без њега, пажљиво га пратите и користите јаке лозинке.

Извор: ввв.хабр.цом