Хонеипот против обмане користећи Кселло као пример

Већ постоји неколико чланака на Хабреу о технологијама Хонеипот и Децептион (1 чланак, 2 чланак). Међутим, и даље се суочавамо са недостатком разумевања разлике између ових класа заштитне опреме. За ово су наше колеге из Здраво Децептион (први руски програмер Платформска обмана) одлучио да детаљно опише разлике, предности и архитектонске карактеристике ових решења.

Хајде да схватимо шта су "лонци" и "преваре":

„Технологије обмане“ појавиле су се на тржишту система безбедности информација релативно недавно. Међутим, неки стручњаци и даље сматрају да су Сецурити Децептион само напредније медице.

У овом чланку ћемо покушати да истакнемо и сличности и фундаменталне разлике између ова два решења. У првом делу ћемо говорити о хонеипоту, како се ова технологија развијала и које су њене предности и мане. А у другом делу ћемо се детаљно задржати на принципима рада платформи за стварање дистрибуиране инфраструктуре мамаца (енглески, Дистрибутед Децептион Платформ - ДДП).

Основни принцип који лежи у основи хонеипотс је стварање замки за хакере. Прва решења за превару развијена су на истом принципу. Али модерни ДДП-ови су знатно супериорнији од хонеипота, како по функционалности, тако и по ефикасности. Платформе за превару укључују: мамце, замке, мамце, апликације, податке, базе података, Ацтиве Дирецтори. Савремени ДДП-ови могу пружити моћне могућности за откривање претњи, анализу напада и аутоматизацију одговора.

Дакле, обмана је техника за симулацију ИТ инфраструктуре предузећа и обмањујућих хакера. Као резултат тога, такве платформе омогућавају заустављање напада пре него што нанесу значајну штету имовини компаније. Хонеипотс, наравно, немају тако широку функционалност и такав ниво аутоматизације, па њихова употреба захтева више квалификација од запослених у одељењима за безбедност информација.

1. Хонеипотс, Хонеинетс и Сандбокинг: шта су и како се користе

Термин „хонеипотс“ је први пут употребљен 1989. године у књизи Клифорда Стола „Кукавичје јаје“, која описује догађаје проналажења хакера у Националној лабораторији Лоренс Беркли (САД). Ову идеју је 1999. године спровео у праксу Ленс Шпицнер, стручњак за безбедност информација у компанији Сун Мицросистемс, који је основао истраживачки пројекат Хонеинет Пројецт. Први хонеипотс су били веома интензивни, тешки за постављање и одржавање.

Хајде да ближе погледамо шта је то џезве и медене мреже. Хонеипотс су појединачни домаћини чија је сврха да привуку нападаче да продру у мрежу компаније и покушају да украду вредне податке, као и да прошире подручје покривености мреже. Хонеипот (буквално преведено као „буре меда“) је посебан сервер са скупом различитих мрежних услуга и протокола, као што су ХТТП, ФТП, итд. (види слику 1).

Ако комбинујете неколико џезве у мрежу, онда ћемо добити ефикаснији систем хонеинет, који је емулација корпоративне мреже компаније (веб сервер, сервер датотека и друге мрежне компоненте). Ово решење вам омогућава да разумете стратегију нападача и доведете их у заблуду. Типичан хонеинет, по правилу, ради паралелно са радном мрежом и потпуно је независан од ње. Таква „мрежа“ се може објавити на Интернету преко посебног канала, за њу се такође може доделити посебан опсег ИП адреса (види слику 2).

Сврха коришћења хонеинет-а је да покаже хакеру да је наводно продро у корпоративну мрежу организације; у ствари, нападач је у „изолованом окружењу“ и под блиским надзором стручњака за безбедност информација (види слику 3).

Овде такође треба да поменемо такав алат као „сандбок"(Енглески језик, кутија с песком), што омогућава нападачима да инсталирају и покрећу малвер у изолованом окружењу где ИТ може да надгледа њихове активности како би идентификовао потенцијалне ризике и предузео одговарајуће противмере. Тренутно, сандбокинг се обично имплементира на наменским виртуелним машинама на виртуелном хосту. Међутим, треба напоменути да сандбокинг само показује како се опасни и злонамерни програми понашају, док хонеинет помаже стручњаку да анализира понашање „опасних играча“.

Очигледна предност медених мрежа је да обмањују нападаче, трошећи њихову енергију, ресурсе и време. Као резултат тога, уместо правих циљева, они нападају лажне и могу да престану да нападају мрежу, а да ништа не постигну. Најчешће, хонеинетс технологије се користе у државним агенцијама и великим корпорацијама, финансијским организацијама, јер су то структуре које се испостављају као мете великих сајбер напада. Међутим, малим и средњим предузећима (СМБ) такође су потребни ефикасни алати за спречавање инцидената у области безбедности информација, али мреже у СМБ сектору нису тако једноставне за коришћење због недостатка квалификованог особља за овако сложен посао.

Ограничења Хонеипотс и Хонеинетс решења

Зашто лонци и мреже нису најбоља решења за сузбијање напада данас? Треба напоменути да напади постају све обимнији, технички сложенији и способни да нанесу озбиљну штету ИТ инфраструктури организације, а сајбер криминал је достигао потпуно другачији ниво и представља високо организоване пословне структуре у сенци опремљене свим потребним ресурсима. Овоме се мора додати и „људски фактор“ (грешке у подешавањима софтвера и хардвера, радње инсајдера, итд.), тако да коришћење само технологије за спречавање напада тренутно више није довољно.

У наставку наводимо главна ограничења и недостатке хонеипотс (хонеинетс):

1. Хонеипотс су првобитно развијени да идентификују претње које су изван корпоративне мреже, пре су намењене за анализу понашања нападача и нису дизајниране да брзо реагују на претње.

2. Нападачи су, по правилу, већ научили да препознају емулиране системе и избегавају хонеипотс.

3. Хонеинетс (хонеипотс) имају изузетно низак ниво интерактивности и интеракције са другим сигурносним системима, услед чега је коришћењем хонеипота тешко доћи до детаљних информација о нападима и нападачима, а самим тим и ефикасно и брзо реаговати на инциденте у вези са информационом сигурношћу. . Штавише, стручњаци за безбедност информација добијају велики број лажних упозорења о претњи.

4. У неким случајевима, хакери могу користити компромитовани медијум као почетну тачку за наставак напада на мрежу организације.

5. Често се јављају проблеми са скалабилношћу хонеипотова, великим оперативним оптерећењем и конфигурацијом таквих система (захтевају високо квалификоване стручњаке, немају погодан интерфејс за управљање итд.). Постоје велике потешкоће у примени хонеипота у специјализованим окружењима као што су ИоТ, ПОС, системи у облаку итд.

2. Технологија обмане: предности и основни принципи рада

Проучавајући све предности и мане хонеипотс-а, долазимо до закључка да је потребан потпуно нов приступ реаговању на инциденте безбедности информација како би се развио брз и адекватан одговор на акције нападача. А такво решење је технологија Сајбер обмана (безбедносна обмана).

Терминологија „Сајбер обмана“, „Безбедносна обмана“, „Технологија обмане“, „Дистрибутед Децептион Платформ“ (ДДП) је релативно нова и појавила се не тако давно. У ствари, сви ови термини значе употребу „технологија обмане“ или „технике за симулацију ИТ инфраструктуре и дезинформације нападача“. Најједноставнија решења Децептион су развој идеја хонеипотс-а, само на технолошки напреднијем нивоу, што подразумева већу аутоматизацију детекције претњи и одговора на њих. Међутим, на тржишту већ постоје озбиљна решења ДДП класе која се лако постављају и скалирају, а такође имају и озбиљан арсенал „замки“ и „мамца“ за нападаче. На пример, Децептион вам омогућава да емулирате објекте ИТ инфраструктуре као што су базе података, радне станице, рутери, прекидачи, банкомати, сервери и СЦАДА, медицинска опрема и интернет ствари.

Како функционише Дистрибутед Децептион Платформ? Након постављања ДДП-а, ИТ инфраструктура организације биће изграђена као из два слоја: први слој је права инфраструктура компаније, а други је „емулирано“ окружење које се састоји од мамаца и мамаца), који се налазе на стварним физичким мрежним уређајима (видети слику 4).

На пример, нападач може да открије лажне базе података са „поверљивим документима”, лажним акредитивима наводно „привилегованих корисника” – све су то мамци који могу да заинтересују прекршиоце, чиме им скрећу пажњу са правих информационих средстава компаније (види слику 5).

ДДП је нов производ на тржишту производа за информатичку безбедност, ова решења су стара тек неколико година и за сада их само корпоративни сектор може приуштити. Али мала и средња предузећа ће ускоро такође моћи да искористе превару тако што ће изнајмити ДДП од специјализованих провајдера „као услугу“. Ова опција је још погоднија, јер нема потребе за сопственим висококвалификованим особљем.

Главне предности Децептион технологије су приказане у наставку:

• Аутентичност (аутентичност). Децептион технологија је способна да репродукује потпуно аутентично ИТ окружење компаније, квалитативно емулирајући оперативне системе, ИоТ, ПОС, специјализоване системе (медицинске, индустријске, итд.), услуге, апликације, акредитиве итд. Мамци се пажљиво мешају са радним окружењем, а нападач их неће моћи идентификовати као лонце.

• Увод. ДДП-ови користе машинско учење (МЛ) у свом раду. Уз помоћ МЛ-а, обезбеђена је једноставност, флексибилност подешавања и ефикасност имплементације Децептион-а. „Замке“ и „мамци“ се ажурирају веома брзо, привлачећи нападача у „лажну“ ИТ инфраструктуру компаније, а у међувремену, напредни системи анализе засновани на вештачкој интелигенцији могу открити активне акције хакера и спречити их (нпр. покушај приступа лажним налозима заснованим на Ацтиве Дирецтори).

• Једноставност рада. Савремене дистрибуиране платформе за превару су једноставне за одржавање и управљање. Њима се обично управља преко локалне конзоле или конзоле у ​​облаку, са могућностима интеграције са корпоративним СОЦ-ом (Сецурити Оператионс Центер) преко АПИ-ја и са многим постојећим безбедносним контролама. Одржавање и рад ДДП-а не захтева услуге висококвалификованих стручњака за безбедност информација.

• Прилагодљивост. Безбедносна обмана се може применити у физичким, виртуелним и цлоуд окружењима. ДДП-ови такође успешно раде са специјализованим окружењима као што су ИоТ, ИЦС, ПОС, СВИФТ, итд. Напредне Децептион платформе могу да пројектују „технологије обмане“ у удаљеним канцеларијама и изолованим окружењима, без потребе за додатном потпуном имплементацијом платформе.

• Интеракција. Користећи моћне и атрактивне мамце који су засновани на стварним оперативним системима и паметно постављени међу стварну ИТ инфраструктуру, Децептион платформа прикупља опсежне информације о нападачу. ДДП тада осигурава да се упозорења о претњи преносе, да се генеришу извештаји и да се аутоматски реагује на инциденте безбедности информација.

• Почетна тачка напада. У савременој обмани, замке и мамци се постављају унутар домета мреже, а не изван ње (као што је случај са медом). Овај модел примене мамца спречава нападача да их користи као тачку полуге за напад на стварну ИТ инфраструктуру компаније. Напреднија решења класе Децептион имају могућности рутирања саобраћаја, тако да можете да усмерите сав саобраћај нападача преко посебно наменске везе. Ово ће вам омогућити да анализирате активност нападача без ризика од вредне имовине компаније.

• Убедљивост „технологија обмане“. У почетној фази напада, нападачи прикупљају и анализирају податке о ИТ инфраструктури, а затим их користе за хоризонтално кретање кроз корпоративну мрежу. Уз помоћ „технологија обмане“, нападач ће дефинитивно пасти у „замке“ које ће га одвести од стварне имовине организације. ДДП ће анализирати потенцијалне путеве за приступ акредитивима на корпоративној мрежи и обезбедити нападачу „мете мамаца“ уместо стварних акредитива. Ове могућности су ужасно недостајале у технологији хонеипот. (Погледајте слику 6).

Децептион ВС Хонеипот

И коначно, долазимо до најзанимљивијег тренутка нашег истраживања. Покушаћемо да истакнемо главне разлике између Децептион и Хонеипот технологија. Упркос неким сличностима, ове две технологије су и даље веома различите, од основне идеје до оперативне ефикасности.

1. Различите основне идеје. Као што смо горе написали, хонеипотс се инсталирају као „мамци“ око вредне имовине компаније (ван корпоративне мреже), покушавајући тако да одврате пажњу нападача. Хонеипот технологија је заснована на разумевању инфраструктуре организације, али хонеипот може постати полазна тачка за покретање напада на мрежу компаније. Технологија обмане је развијена узимајући у обзир тачку гледишта нападача и омогућава вам да идентификујете напад у раној фази, тако да стручњаци за безбедност информација добијају значајну предност у односу на нападаче и добијају на времену.

2. "Атракција" ВС "Конфузија". Приликом коришћења меда, успех зависи од привлачења пажње нападача и даљег мотивисања да се преселе до мете у меду. То значи да нападач још увек мора да стигне до меда пре него што га можете зауставити. Дакле, присуство нападача на мрежи може трајати неколико месеци или више, а то ће довести до цурења података и оштећења. ДДП-ови квалитативно имитирају стварну ИТ инфраструктуру компаније; сврха њихове имплементације није само да привуче пажњу нападача, већ да га збуни тако да губи време и ресурсе, али не добије приступ стварним средствима компаније. компанија.

3. „Ограничена скалабилност“ ВС „аутоматска скалабилност“. Као што је раније поменуто, хонеипотс и хонеинетс имају проблема са скалирањем. Ово је тешко и скупо, а да бисте повећали број хонеипота у корпоративном систему, мораћете да додате нове рачунаре, ОС, купите лиценце и доделите ИП. Штавише, такође је неопходно имати квалификовано особље за управљање таквим системима. Платформе за превару се аутоматски постављају како се ваша инфраструктура повећава, без значајних трошкова.

4. „Велики број лажних позитивних резултата“ ВС „без лажних позитивних резултата“. Суштина проблема је у томе што чак и једноставан корисник може наићи на медени лонац, па је „мана“ ове технологије велики број лажних позитивних резултата, што одвлачи пажњу стручњака за безбедност информација од њиховог посла. „Мамци” и „замке” у ДДП-у су пажљиво скривени од просечног корисника и дизајнирани су само за нападача, тако да је сваки сигнал из таквог система упозорење о стварној претњи, а не лажно позитиван.

Закључак

По нашем мишљењу, Децептион технологија је огроман напредак у односу на старију Хонеипотс технологију. У суштини, ДДП је постао свеобухватна безбедносна платформа коју је лако применити и којом се управља.

Савремене платформе ове класе играју важну улогу у прецизном откривању и ефикасном реаговању на мрежне претње, а њихова интеграција са осталим компонентама безбедносног стека повећава ниво аутоматизације, повећава ефикасност и ефективност реаговања на инциденте. Децептион платформе су засноване на аутентичности, скалабилности, лакоћи управљања и интеграцији са другим системима. Све ово даје значајну предност у брзини реаговања на инциденте безбедности информација.

Такође, на основу запажања пентестова компанија у којима је имплементирана или пилотирана платформа Кселло Децептион, можемо извући закључке да чак ни искусни пентестери често не могу да препознају мамац у корпоративној мрежи и пропадну када упадну у постављене замке. Ова чињеница још једном потврђује ефикасност Децептион-а и велике изгледе који се отварају овој технологији у будућности.

Тестирање производа

Ако сте заинтересовани за платформу Децептион, онда смо спремни спровести заједничко тестирање.

Пратите новости на нашим каналима (Telegram, фацебоок, VK, ТС Солутион Блог)!

Извор: ввв.хабр.цом