Honeypot vs Deception med Xello som exempel

Det finns redan flera artiklar på Habr om Honeypot och Deception-teknologier (1 artikel, 2 artikel). Vi har dock fortfarande en bristande förståelse för skillnaden mellan dessa klasser av skyddsutrustning. För detta ändamål har våra kollegor från Xello-bedrägeri (den första ryska utvecklaren Bedrägeriplattformar) beslutade att i detalj beskriva skillnaderna, fördelarna och de arkitektoniska egenskaperna hos dessa lösningar.

Låt oss ta reda på vad "honungspottar" och "bedrägerier" är:

”Bedrägeriteknologier” har dykt upp på marknaden för informationssäkerhetssystem relativt nyligen. Vissa experter anser dock fortfarande att Security Deception bara är en mer avancerad källa till bedrägeri.

I den här artikeln ska vi försöka belysa både likheterna och de grundläggande skillnaderna mellan dessa två lösningar. I den första delen kommer vi att prata om honeypot, hur denna teknik utvecklades och vilka dess fördelar och nackdelar är. Och i den andra delen kommer vi att fördjupa oss i detalj i plattformarnas funktionsprinciper för att skapa en distribuerad infrastruktur för falska mål (Distributed Deception Platform - DDP).

Grundprincipen bakom honeypots är att skapa fällor för hackare. De allra första Deception-lösningarna utvecklades enligt samma princip. Men moderna DDP:er är betydligt överlägsna honeypots, både vad gäller funktionalitet och effektivitet. Bedrägeriplattformar inkluderar lockbeten, lockbeten, applikationer, data, databaser och Active Directory. Moderna DDP:er kan erbjuda omfattande funktioner för hotdetektering, attackanalys och automatiserade svar.

Således är bedrägeri en teknik för att simulera ett företags IT-infrastruktur och vilseleda hackare. I slutändan gör sådana plattformar det möjligt att stoppa attacker innan betydande skador uppstår på ett företags tillgångar. Honeypots har naturligtvis inte en så bred funktionalitet och en sådan automatiseringsnivå, så deras användning kräver större kvalifikationer från anställda på informationssäkerhetsavdelningen.

1. Honeypots, honungsnät och sandlådor: Vad är de och hur används de?

Termen "honeypots" användes första gången 1989 i Clifford Stolls bok "The Cuckoo's Egg", som beskriver händelserna kring spårningen av en hackare vid Lawrence Berkeley National Laboratory (USA). I praktiken omsattes denna idé 1999 av Lance Spitzner, en informationssäkerhetsspecialist på Sun Microsystems, som grundade forskningsprojektet Honeynet Project. De första honeypot-anläggningarna var mycket resurskrävande och svåra att installera och underhålla.

Låt oss titta närmare på vad det är honeypots и honungsnät. Honeypots är separata värdar vars syfte är att locka angripare att penetrera ett företags nätverk och försöka stjäla värdefull data, samt utöka nätverkets täckningsområde. En honeypot (bokstavligen översatt till "honungsfat") är en speciell server med en uppsättning olika nätverkstjänster och protokoll, såsom HTTP, FTP, etc. (se figur 1).

Om du kombinerar flera honeypots in i nätverket, så får vi ett mer effektivt system honungsnät, vilket är en emulering av ett företags nätverk (webbserver, filserver och andra nätverkskomponenter). Denna lösning gör det möjligt för oss att förstå angriparnas strategi och vilseleda dem. Ett typiskt honungsnätverk fungerar vanligtvis parallellt med produktionsnätverket och är helt oberoende av det. Ett sådant ”nätverk” kan publiceras på internet via en separat kanal, och ett separat intervall av IP-adresser kan också allokeras för det (se figur 2).

Syftet med att använda ett honeynet är att visa hackaren att han påstås ha penetrerat organisationens företagsnätverk; i själva verket befinner sig angriparen i en ”isolerad miljö” och under noggrann övervakning av informationssäkerhetsspecialister (se figur 3).

Här är det också nödvändigt att nämna ett sådant verktyg som "sandlåda» (Engelska, sandlåda), vilket gör det möjligt för angripare att installera och köra skadlig kod i en isolerad miljö där IT-proffs kan övervaka sina aktiviteter för att identifiera potentiella risker och vidta nödvändiga motåtgärder. Numera implementeras sandboxing vanligtvis på dedikerade virtuella maskiner på en virtuell värd. Det bör dock noteras att sandboxing bara visar hur farliga och skadliga program beter sig, medan honeynet hjälper en specialist att analysera beteendet hos "farliga spelare".

Den uppenbara fördelen med honungsnät är att de vilseleder angripare och slösar bort deras energi, resurser och tid. Som ett resultat attackerar de falska mål istället för riktiga och kan sluta attackera nätverket utan att uppnå någonting. Honeynet-tekniker används oftast i myndigheter och stora företag, finansiella organisationer, eftersom dessa strukturer är måltavlor för stora cyberattacker. Små och medelstora företag (SMF) behöver dock också effektiva verktyg för att förhindra informationssäkerhetsincidenter, men honeynets är inte så enkla att använda inom SMF-sektorn på grund av bristen på kvalificerad personal för sådant komplext arbete.

Begränsningar för Honeypots och Honeynets

Varför är honeypots och honeynets inte de bästa lösningarna för att motverka attacker idag? Det bör noteras att attacker blir alltmer storskaliga, tekniskt komplexa och kapabla att orsaka allvarliga skador på en organisations IT-infrastruktur, medan cyberbrottslighet har nått en helt annan nivå och representeras av välorganiserade skuggföretagsstrukturer utrustade med alla nödvändiga resurser. Till detta måste vi lägga till den "mänskliga faktorn" (fel i program- och hårdvaruinställningar, insiders handlingar etc.), så att enbart använda teknik för att förhindra attacker räcker inte längre för närvarande.

Nedan listar vi de viktigaste begränsningarna och nackdelarna med honungsnät:

1. Honeypots var ursprungligen utformade för att upptäcka hot som finns utanför företagsnätverket, är mer avsedda för att analysera angripares beteende och är inte utformade för att snabbt reagera på hot.

2. Angripare har i allmänhet redan lärt sig att känna igen emulerade system och undvika honeypots.

3. Honeynets (honeypots) har en extremt låg nivå av interaktivitet och interaktion med andra säkerhetssystem, vilket gör det svårt att med hjälp av honeypots få detaljerad information om attacker och angripare, och därför att effektivt och snabbt reagera på informationssäkerhetsincidenter. Dessutom får informationssäkerhetsspecialister ett stort antal falska hotmeddelanden.

4. I vissa fall kan hackare använda en komprometterad honeypot som utgångspunkt för att fortsätta sin attack mot en organisations nätverk.

5. Det finns ofta problem med skalbarheten hos honeypots, hög driftsbelastning och konfigurationen av sådana system (de kräver högkvalificerade specialister, har inget bekvämt hanteringsgränssnitt etc.). Det finns stora svårigheter med att driftsätta honeypots i specialiserade miljöer som IoT, POS, molnsystem etc.

2. Bedrägeriteknik: fördelar och grundläggande funktionsprinciper

Efter att ha studerat alla fördelar och nackdelar med honeypots kommer vi till slutsatsen att en helt ny metod för att hantera informationssäkerhetsincidenter behövs för att kunna utveckla en snabb och adekvat respons på angripares handlingar. Och den här lösningen är teknologi. Cyberbedrägeri (Säkerhetsbedrägeri).

Terminologin "Cyberbedrägeri", "Säkerhetsbedrägeri", "Bedrägeriteknologi", "Distribuerad bedrägeriplattform" (DDP) är relativt ny och dök upp för inte så länge sedan. Faktum är att alla dessa termer hänvisar till användningen av ”bedrägeritekniker” eller ”tekniker för att imitera IT-infrastrukturen och desinformation från angripare”. De enklaste bedrägerilösningarna är en utveckling av honeypot-idéer, fast på en mer tekniskt avancerad nivå, vilket innebär större automatisering av hotdetektering och -respons. Det finns dock redan seriösa DDP-lösningar på marknaden som är enkla att driftsätta och skala upp, och som också har en rejäl arsenal av "fällor" och "beten" för angripare. Till exempel låter Deception dig emulera IT-infrastrukturobjekt som databaser, arbetsstationer, routrar, switchar, bankomater, servrar och SCADA, medicinsk utrustning och IoT.

Hur fungerar en distribuerad bedrägeriplattform? Efter att DDP har driftsatts kommer organisationens IT-infrastruktur att byggas som om den vore bestående av två lager: det första lagret är företagets verkliga infrastruktur, och det andra är en "emulerad" miljö bestående av lockbeten och lockbeten, som finns på verkliga fysiska nätverksenheter (se figur 4).

Till exempel kan en angripare upptäcka falska databaser med ”konfidentiella dokument”, falska inloggningsuppgifter från förmodat ”privilegierade användare” – allt detta är lockbete som kan intressera inkräktare och därigenom avleda deras uppmärksamhet från företagets verkliga informationstillgångar (se figur 5).

DDP är en ny produkt på informationssäkerhetsmarknaden; Dessa lösningar är bara några år gamla och hittills har bara företagssektorn råd med dem. Men små och medelstora företag kommer snart också att kunna dra nytta av Deception genom att hyra DDP från specialiserade leverantörer ”som en tjänst”. Det här alternativet är ännu bekvämare eftersom det inte finns något behov av egen högkvalificerad personal.

Nedan följer de viktigaste fördelarna med Deception-teknik:

• Äkthet. Bedrägeriteknik kan reproducera en helt autentisk IT-miljö för ett företag, och kvalitativt emulera operativsystem, IoT, POS, specialiserade system (medicinska, industriella etc.), tjänster, applikationer, inloggningsuppgifter etc. Lockbeten blandas grundligt in i arbetsmiljön, och en angripare kommer inte att kunna identifiera dem som honungspottar.

• införande av. DDP:er använder maskininlärning (ML) i sitt arbete. ML möjliggör enkelhet, flexibilitet i anpassning och effektivitet vid implementering av Deception. ”Fällor” och ”beten” uppdateras mycket snabbt, vilket drar in angriparen i företagets ”falska” IT-infrastruktur, och under tiden kan avancerade analyssystem baserade på artificiell intelligens upptäcka hackares aktiva handlingar och förhindra dem (till exempel ett försök att komma åt Active Directory baserat på falska konton).

• Enkel drift. Modern "Distribuerad bedrägeriplattform" är enkel att underhålla och hantera. Vanligtvis hanteras de via en lokal konsol eller molnkonsol, med integrationsmöjligheter med ett företags SOC (Security Operations Center) via API och med många befintliga säkerhetskontroller. Underhåll och drift av DDP kräver inte tjänster från högkvalificerade informationssäkerhetsexperter.

• Skalbarhet. Säkerhetsbedrägeri kan användas i fysiska, virtuella och molnmiljöer. DDP:er fungerar också framgångsrikt med specialiserade miljöer som IoT, ICS, POS, SWIFT, etc. Avancerade Deception-plattformar kan projicera "bedrägeritekniker" till fjärrkontor och isolerade miljöer utan behov av ytterligare fullständig plattformsdistribution.

• Interaktion. Med hjälp av effektiva och attraktiva lockbeten baserade på verkliga operativsystem och smart placerade bland verklig IT-infrastruktur samlar Deception-plattformen in omfattande information om angriparen. DDP säkerställer sedan att hotvarningar skickas, rapporter genereras och automatiserade svar på informationssäkerhetsincidenter sker.

• Startpunkt för attacken. I modern bedrägeri placeras fällor och beten inom nätverkets räckvidd, snarare än utanför den (som är fallet med honeypots). Denna modell för att distribuera honeypots förhindrar att en angripare använder dem som fotfäste för att attackera ett företags verkliga IT-infrastruktur. Mer avancerade lösningar för Deception-klassen har funktioner för trafikdirigering, så att all angripartrafik kan dirigeras via en dedikerad anslutning. Detta gör att du kan analysera angriparnas aktivitet utan att riskera företagets värdefulla tillgångar.

• Övertygelsekraften hos "bedrägeriteknologier". I det inledande skedet av en attack samlar angriparna in och analyserar data om IT-infrastrukturen och använder den sedan för att förflytta sig horisontellt över företagets nätverk. Med hjälp av "bedrägeritekniker" kommer angriparen oundvikligen att falla i "fällor" som leder honom bort från organisationens verkliga tillgångar. DDP analyserar potentiella åtkomstvägar till inloggningsuppgifter i ett företagsnätverk och förser angriparen med "lockbeten" istället för riktiga inloggningsuppgifter. Dessa funktioner saknades verkligen i honeypot-teknologier. (Se bild 6).

Bedrägeri vs. Honeypot

Och slutligen kommer vi till det mest intressanta ögonblicket i vår forskning. Vi ska försöka belysa de viktigaste skillnaderna mellan Deception- och Honeypot-teknologierna. Trots vissa likheter är dessa två tekniker fortfarande mycket olika, från den grundläggande idén till effektiviteten i deras drift.

1. Olika grundläggande idéer. Som vi skrev ovan installeras honeypots som "lockbete" runt värdefulla företagstillgångar (utanför företagsnätverket) och försöker därmed distrahera angripare. Honeypot-tekniken bygger på idén om en organisations infrastruktur, men honeypots kan bli ett fotfäste för att starta en attack mot ett företags nätverk. Bedrägeriteknik är utformad ur angriparens perspektiv och möjliggör tidig identifiering av attacker, vilket ger informationssäkerhetsproffs en betydande fördel gentemot angripare och sparar tid.

2. "Attraktion" kontra "Förvirring". När man använder honeypots beror framgången på att fånga angriparnas uppmärksamhet och sedan motivera dem att röra sig mot målet i honeypoten. Det betyder att angriparen fortfarande måste ta sig till honungsgrytan innan du kan stoppa honom. Således kan angriparnas närvaro i nätverket vara i flera månader eller mer, vilket kommer att leda till dataläckage och skador. DDP:er imiterar kvalitativt ett företags verkliga IT-infrastruktur, syftet med deras implementering är inte bara att locka en angripares uppmärksamhet, utan att förvirra honom så att han slösar tid och resurser förgäves, men inte får tillgång till företagets verkliga tillgångar.

3. "Begränsad skalbarhet" jämfört med "Automatisk skalbarhet". Som tidigare nämnts har honeypots och honeynets skalningsproblem. Detta är komplicerat och dyrt, och för att öka antalet honeypots i ett företagssystem måste man lägga till nya datorer och operativsystem, köpa licenser och allokera IP-adresser. Dessutom är det nödvändigt att ha kvalificerad personal för att hantera sådana system. Bedrägeriplattformar driftsätts automatiskt allt eftersom din infrastruktur skalas upp, utan betydande omkostnader.

4. "Ett stort antal falska positiva resultat" KONSERT med "inga falska positiva resultat". Kärnan i problemet är att även en vanlig användare kan stöta på en honungspott, så "nackdelen" med denna teknik är ett stort antal falska positiva resultat, vilket distraherar informationssäkerhetsspecialister från deras arbete. "Betena" och "fällorna" i DDP är noggrant dolda för den genomsnittliga användaren och är endast utformade för angriparen, så varje signal från ett sådant system är en anmälan om ett verkligt hot och inte ett falsklarm.

Slutsats

Enligt vår mening är Deception-tekniken ett stort steg upp från den äldre Honeypots-tekniken. I huvudsak har DDP blivit en omfattande säkerhetsplattform som är enkel att driftsätta och hantera.

Moderna plattformar av denna klass spelar en viktig roll i korrekt upptäckt och effektiv respons på nätverkshot, och deras integration med andra komponenter i säkerhetsstacken ökar automatiseringsnivån, ökar effektiviteten och ändamålsenligheten i incidentresponsen. Bedrägeriplattformar är baserade på autenticitet, skalbarhet, enkel hantering och integration med andra system. Allt detta ger en betydande fördel i snabbheten vid respons på informationssäkerhetsincidenter.

Baserat på observationer av penetrationstester hos företag där Xello Deception-plattformen implementerades eller testades, kan vi också dra slutsatsen att även erfarna penetrationstestare ofta inte kan känna igen beten i ett företagsnätverk och misslyckas och faller för de fällor som gillrats. Detta faktum bekräftar återigen Deceptions effektivitet och de stora möjligheter som denna teknik har för framtiden.

Produkttester

Om du är intresserad av Deception-plattformar är vi redo genomföra gemensam testning.

Håll utkik efter uppdateringar i våra kanaler (Telegram, Facebook, VK, TS Lösningsblogg)!

Källa: will.com