{"id":30311,"date":"2019-10-31T21:34:49","date_gmt":"2019-10-31T18:34:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/analiz-atak-na-hanipot-cowrie\/"},"modified":"2019-10-31T21:34:49","modified_gmt":"2019-10-31T18:34:49","slug":"analiz-atak-na-hanipot-cowrie","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/analiz-atak-na-hanipot-cowrie","title":{"rendered":"Analys av attacker p\u00e5 honeypoten Cowrie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Statistik \u00f6ver de senaste 24 timmarna efter installationen av honeypoten p\u00e5 Digital Ocean-noden i Singapore<\/b> <\/p>\n

Piu-piu! L\u00e5t oss b\u00f6rja direkt med attackkartan<\/h1>\n

\nV\u00e5r supercoola karta visar unika ASN som har anslutit till v\u00e5r Cowrie-honeypot under de senaste 24 timmarna. Gult representerar SSH-anslutningar, medan r\u00f6tt st\u00e5r f\u00f6r Telnet. S\u00e5dana animationer imponerar ofta p\u00e5 f\u00f6retagets styrelse, vilket g\u00f6r det m\u00f6jligt att f\u00e5 mer finansiering f\u00f6r s\u00e4kerhet och resurser. \u00c4nd\u00e5 har kartan vissa v\u00e4rden, tydligt som visar den geografiska och organisatoriska spridningen av attackk\u00e4llor mot v\u00e5r v\u00e4rd under en 24-timmarsperiod. Animationen \u00e5terspeglar inte trafikm\u00e4ngden fr\u00e5n varje k\u00e4lla.
\n<\/a><\/noindex><\/p>\n

Vad \u00e4r Pew Pew-kartan?<\/h3>\n

\nPew Pew-kartan<\/i> \u2014 detta \u00e4r visualisering av cyberattacker<\/a><\/noindex>, som vanligtvis \u00e4r animerad och mycket vacker. Det \u00e4r ett trendigt s\u00e4tt att s\u00e4lja din produkt, trist nog k\u00e4nd f\u00f6r att ha anv\u00e4nts av Norse Corp. F\u00f6retaget fick ett d\u00e5ligt slut: det visade sig att de vackra animationerna var deras enda f\u00f6rdel, och f\u00f6r analysen anv\u00e4nde de fragmenterade data.<\/p>\n

Skapad med hj\u00e4lp av Leafletjs<\/h3>\n

\nF\u00f6r dem som vill utveckla en attackkarta f\u00f6r storbildssk\u00e4rmen i operationscentret (din chef kommer att gilla det) finns det ett bibliotek leafletjs<\/a><\/noindex>. Vi kombinerar det med plugin leaflet migration layer<\/a><\/noindex>, Maxmind GeoIP-tj\u00e4nsten \u2014 och klart<\/a><\/noindex>.<\/p>\n

\"Analys<\/a><\/noindex><\/p>\n

WTF: Vad \u00e4r Cowrie-honeypoten?<\/h1>\n

\nEn honeypot \u00e4r ett system som placeras i n\u00e4tverket speciellt f\u00f6r att locka till sig angripare. Anslutningar till systemet \u00e4r normalt olagliga och g\u00f6r det m\u00f6jligt att uppt\u00e4cka angriparen genom detaljerade loggar. Loggarna sparar inte bara vanlig information om anslutningen utan ocks\u00e5 sessionsinformation som avsl\u00f6jar teknik, taktik och procedurer (TTP)<\/b> f\u00f6r angriparen.<\/p>\n

Cowrie-honeypoten<\/a><\/noindex> \u00e4r avsedd f\u00f6r att spela in SSH- och Telnet-anslutningar<\/b>. S\u00e5dana honeypots exponeras ofta p\u00e5 internet f\u00f6r att \u00f6vervaka verktyg, skript och v\u00e4rdar f\u00f6r angripare.<\/p>\n

Mitt budskap till f\u00f6retag som tror att de inte attackeras: \"Ni s\u00f6ker d\u00e5ligt.\"
\n\u2014 James Snook<\/i><\/p><\/blockquote>\n

\n\"Analys
\n<\/p>\n

Vad finns i loggarna?<\/h1>\n

<\/p>\n

Det totala antalet anslutningar<\/h3>\n

\nFr\u00e5n m\u00e5nga v\u00e4rdar kom flera anslutningsf\u00f6rs\u00f6k. Det \u00e4r normalt eftersom angriparskript har en lista med anv\u00e4ndaruppgifter och provar flera kombinationer. Cowrie-honeypoten \u00e4r inst\u00e4lld f\u00f6r att ta emot vissa kombinationer av anv\u00e4ndarnamn och l\u00f6senord. Detta st\u00e4lls in i user.db-filen<\/b>.<\/p>\n

\"Analys
\n<\/p>\n

Geografi av attacker<\/h3>\n

\nEnligt Maxminds geolokalisering har jag r\u00e4knat antalet anslutningar fr\u00e5n varje land. Brasilien och Kina ligger i topp med stort avst\u00e5nd, det kommer ofta mycket trafik fr\u00e5n skannrar fr\u00e5n dessa l\u00e4nder.<\/p>\n

\"Analys
\n<\/p>\n

\u00c4gare till n\u00e4tblocks<\/h3>\n

\nStudie av \u00e4gare till n\u00e4tblocks (ASN) kan avsl\u00f6ja organisationer med ett stort antal attackerande v\u00e4rdar. Naturligtvis b\u00f6r man alltid komma ih\u00e5g att m\u00e5nga attacker kommer fr\u00e5n infekterade v\u00e4rdar. Det \u00e4r rimligt att anta att de flesta angripare inte \u00e4r s\u00e5 dumma att skanna N\u00e4tet fr\u00e5n en hemmadator.<\/p>\n

\"Analys
\n<\/p>\n

\u00d6ppna portar p\u00e5 attackerande system (data fr\u00e5n Shodan.io)<\/h3>\n

\nK\u00f6r en lista med IP-adresser genom den \u00f6verl\u00e4gsna Shodan API<\/a><\/noindex> best\u00e4mmer snabbt system med \u00f6ppna portar<\/b> och vad dessa portar \u00e4r. I bilden nedan visas koncentrationen av \u00f6ppna portar efter l\u00e4nder och organisationer. Man skulle kunna uppt\u00e4cka block av komprometterade system, men inom ett litet urval<\/b> syns inget anm\u00e4rkningsv\u00e4rt, f\u00f6rutom ett stort antal \u00f6ppna portar 500 i Kina<\/b>.<\/p>\n

En intressant uppt\u00e4ckte \u2014 ett stort antal system i Brasilien som inte har \u00f6ppnat 22, 23<\/b> eller andra portar<\/b>, enligt Censys och Shodan. Det verkar som om detta \u00e4r anslutningar fr\u00e5n slutanv\u00e4ndardatorer.<\/p>\n

\"Analys
\n <\/p>\n

Bots? Inte n\u00f6dv\u00e4ndigtvis<\/h3>\n

\nData Censys<\/a><\/noindex> f\u00f6r portar 22 och 23 den dagen visade n\u00e5got m\u00e4rkligt. Jag antog att de flesta skanningar och l\u00f6senordsattacker kom fr\u00e5n bots. Skriptet sprider sig genom \u00f6ppna portar, gissar l\u00f6senord, och kopierar sig sj\u00e4lv fr\u00e5n ett nytt system och forts\u00e4tter sprida sig med samma metod.<\/p>\n

Men h\u00e4r syns det att endast ett litet antal v\u00e4rdar som skannar telnet har port 23 \u00f6ppnad mot utsidan. Det betyder att systemen antingen har komprometterats p\u00e5 annat s\u00e4tt, eller att angripare k\u00f6r skripten manuellt.<\/p>\n

\"Analys
\n<\/p>\n

Hemanslutningar<\/h3>\n

\nEn annan intressant uppt\u00e4ckte var det stora antalet hemmaanv\u00e4ndare i urvalet. Med hj\u00e4lp av omv\u00e4nd s\u00f6kning <\/b> identifierade jag 105 anslutningar fr\u00e5n specifika hemmadatorer. F\u00f6r m\u00e5nga hemmanslutningar visar omv\u00e4nd DNS-s\u00f6kning v\u00e4rdnamn med orden dsl, hem, kabel, fiber och s\u00e5 vidare.<\/p>\n

\"Analys
\n<\/p>\n

L\u00e4r dig och utforska: s\u00e4tt upp din egen honeypot<\/h1>\n

\nNyligen skrev jag en kort manual om hur man installerar honeypot Cowrie p\u00e5 sitt system<\/a><\/noindex>. Som n\u00e4mnts tidigare anv\u00e4nde vi Digital Ocean VPS i Singapore. Kostnaden f\u00f6r 24 timmars analys var bokstavligt talat n\u00e5gra \u00f6ren, och tiden f\u00f6r att s\u00e4tta upp systemet var 30 minuter.<\/p>\n

Ist\u00e4llet f\u00f6r att k\u00f6ra Cowrie p\u00e5 internet och f\u00e5nga upp allt brus kan man dra nytta av honeypoten i det lokala n\u00e4tverket. Du f\u00e5r ett meddelande om specifika portar f\u00e5r f\u00f6rfr\u00e5gningar. Det kan vara en angripare inuti n\u00e4tverket, en nyfiken anst\u00e4lld, eller en s\u00e5rbarhetsskanning.<\/p>\n

Slutsatser<\/h1>\n

\nEfter att ha observerat angriparnas aktiviteter under en dag \u00e4r det tydligt att man inte kan peka ut en uppenbar k\u00e4lla till attackerna i en viss organisation, land eller ens operativsystem.<\/p>\n

Den stora spridningen av k\u00e4llor visar att skanningsbruset \u00e4r konstant och inte \u00e4r associerat med en specifik k\u00e4lla. Alla som arbetar p\u00e5 internet b\u00f6r se till att deras system har flera s\u00e4kerhetsniv\u00e5er<\/b>. En vanlig och effektiv l\u00f6sning f\u00f6r SSH<\/b> \u00e4r att flytta tj\u00e4nsten till en slumpm\u00e4ssig h\u00f6g port. Detta befriar inte fr\u00e5n behovet av str\u00e4ng l\u00f6senordsskydd och \u00f6vervakning, men det garanterar i alla fall att loggarna inte fylls med konstant skanning. Anslutningar till en h\u00f6g port \u00e4r med st\u00f6rre sannolikhet riktade attacker som kan vara av intresse f\u00f6r dig.<\/p>\n

Ofta finns \u00f6ppna telnet-portar p\u00e5 routrar eller andra enheter, s\u00e5 de kan inte enkelt flyttas till en h\u00f6g port. Information om alla \u00f6ppna portar<\/a><\/noindex> och angreppsyta<\/a><\/noindex> \u00e4r det enda s\u00e4ttet att se till att dessa tj\u00e4nster \u00e4r skyddade av en brandv\u00e4gg eller avst\u00e4ngda. Om m\u00f6jligt b\u00f6r Telnet helt undvikas, detta protokoll krypteras inte. Om det beh\u00f6vs, \u00f6vervaka det noggrant och anv\u00e4nd s\u00e4kra l\u00f6senord.
\n
K\u00e4lla: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443! \u041d\u0430\u0447\u043d\u0451\u043c \u0441\u0440\u0430\u0437\u0443 \u0441 \u043a\u0430\u0440\u0442\u044b \u0430\u0442\u0430\u043a \u041d\u0430\u0448\u0430 \u0441\u0443\u043f\u0435\u0440\u043a\u043b\u0430\u0441\u0441\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0435 ASN, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0438\u0441\u044c \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0443 Cowrie \u0437\u0430 24 \u0447\u0430\u0441\u0430. \u0416\u0451\u043b\u0442\u044b\u0439 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 SSH-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c, \u0430 \u043a\u0440\u0430\u0441\u043d\u044b\u0439\u00a0\u2014 Telnet. \u0422\u0430\u043a\u0438\u0435 \u0430\u043d\u0438\u043c\u0430\u0446\u0438\u0438 \u0447\u0430\u0441\u0442\u043e \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u044f\u044e\u0442 \u0441\u043e\u0432\u0435\u0442 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u0431\u0438\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0444\u0438\u043d\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-30311","post","type-post","status-publish","format-standard","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Analys av attacker mot honeypoten Cowrie | ProHoster","description":"Statistik efter 24 timmar efter installationen av honeypoten p\u00e5 Digital Ocean-noden i Singapore Piu-piu!","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/analiz-atak-na-hanipot-cowrie","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0430\u0442\u0430\u043a \u043d\u0430 \u0445\u0430\u043d\u0438\u043f\u043e\u0442 Cowrie | ProHoster","og:description":"\u0421\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430 \u0437\u0430 24 \u0447\u0430\u0441\u0430 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0430\u043d\u0438\u043f\u043e\u0442\u0430 \u043d\u0430 \u0443\u0437\u043b\u0435 Digital Ocean \u0432 \u0421\u0438\u043d\u0433\u0430\u043f\u0443\u0440\u0435 \u041f\u0438\u0443-\u043f\u0438\u0443!","og:url":"https:\/\/prohoster.info\/sv\/blog\/analiz-atak-na-hanipot-cowrie","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:34:49+00:00","article:modified_time":"2019-10-31T18:34:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"30311","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 00:36:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:37:27","updated":"2026-01-21 00:36:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/30311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=30311"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/30311\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=30311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=30311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=30311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}