{"id":96228,"date":"2020-10-09T19:42:19","date_gmt":"2020-10-09T17:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit"},"modified":"2020-10-09T19:42:19","modified_gmt":"2020-10-09T17:42:19","slug":"nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/nevyrazimo-privlekatelen-kak-my-sozdali-hanipot-kotoryj-nelzya-razoblachit","title":{"rendered":"O\u00e4ndligt attraktiv: hur vi skapade ett honeypot som inte kan avsl\u00f6jas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"O\u00e4ndligt
\nAntivirusf\u00f6retag, cybers\u00e4kerhetsexperter och bara entusiaster l\u00e4gger ut f\u00e4llor p\u00e5 internet \u2014 honeypots \u2014 f\u00f6r att \"f\u00e5nga\" nya virusvarianter eller avsl\u00f6ja ovanliga hackertaktiker. Honeypots f\u00f6rekommer s\u00e5 ofta att cyberkriminella har utvecklat en slags immunitet: de uppt\u00e4cker snabbt att det \u00e4r en f\u00e4lla och ignorerar den helt. F\u00f6r att unders\u00f6ka moderna hackers taktik skapade vi en realistisk honeypot som under sju m\u00e5nader levde online och attraherade olika attacker. Om hur det gick till ber\u00e4ttar vi i v\u00e5r studie \"Caught in the Act: Running a Realistic Factory Honeypot to Capture Real Threats<\/a><\/noindex>\u00bb. N\u00e5gra fakta fr\u00e5n studien presenteras i det h\u00e4r inl\u00e4gget. <\/i>
\n<\/a><\/noindex><\/p>\n

Utveckling av honeypot: checklista<\/h3>\n

\nDet huvudsakliga m\u00e5let med att skapa v\u00e5r superf\u00e4lla var att f\u00f6rhindra att hackers, som visade intresse f\u00f6r den, skulle avsl\u00f6ja oss. F\u00f6r detta kr\u00e4vdes mycket arbete: <\/p>\n

    \n
  1. Skapa en realistisk f\u00f6retagslegend som inkluderar namn och foton p\u00e5 anst\u00e4llda, telefonnummer och e-postadresser.<\/li>\n
  2. Konstruktion och genomf\u00f6rande av en modell f\u00f6r industriell infrastruktur som motsvarar legendens verksamhet. <\/li>\n
  3. Best\u00e4mma vilka n\u00e4tverksservrar som ska vara tillg\u00e4ngliga utifr\u00e5n, utan att \u00f6verdriva \u00f6ppnandet av s\u00e5rbara portar s\u00e5 att det inte ser ut som en f\u00e4lla f\u00f6r naiva. <\/li>\n
  4. Skapa en falsk k\u00e4nsla av information som l\u00e4cker om en s\u00e5rbarhet och sprida dessa uppgifter bland potentiella angripare.<\/li>\n
  5. Genomf\u00f6ra diskret \u00f6vervakning av hackeraktivitet inom f\u00e4llans infrastruktur. <\/li>\n<\/ol>\n

    \nOch nu, l\u00e5t oss g\u00e5 igenom allt i tur och ordning.<\/p>\n

    Skapa en legend<\/b><\/h3>\n

    \nCyberkriminella \u00e4r redan vana vid att st\u00f6ta p\u00e5 m\u00e5nga honeypots, s\u00e5 den mest avancerade delen av dem genomf\u00f6r djupg\u00e5ende analyser av varje s\u00e5rbarhet f\u00f6r att se till att det inte \u00e4r en f\u00e4lla. Av samma anledning str\u00e4vade vi efter att inte bara g\u00f6ra honeypoten realistisk ur design- och teknisk aspekt, utan ocks\u00e5 att skapa en k\u00e4nsla av en verklig f\u00f6retag.<\/p>\n

    Genom att s\u00e4tta oss in i en hypotetisk kulhackares situation har vi utvecklat en verifieringsalgoritm som skulle kunna skilja en verklig plattform fr\u00e5n en f\u00e4lla. Den inkluderade att s\u00f6ka efter f\u00f6retagets IP-adresser i rykten, en bak\u00e5tforskning av IP-adresshistorik, samt s\u00f6ka efter namn och nyckelord relaterade till f\u00f6retaget och dess aff\u00e4rspartner, bland mycket annat. Resultatet blev en ganska \u00f6vertygande och attraktiv legend.<\/p>\n

    Vi beslutade att positionera f\u00e4llfabriken som en liten butik f\u00f6r industriell prototypframst\u00e4llning som arbetar f\u00f6r mycket stora anonyma kunder inom den milit\u00e4ra och flygindustriella sektorn. Detta befriade oss fr\u00e5n juridiska komplikationer kopplade till anv\u00e4ndningen av ett befintligt varum\u00e4rke.<\/p>\n

    N\u00e4sta steg var att ta fram en vision, en mission och ett namn f\u00f6r organisationen. Vi beslutade att v\u00e5rt f\u00f6retag skulle vara en startup med ett f\u00e5tal anst\u00e4llda, var och en av dem skulle vara grundare. Detta tillf\u00f6rde trov\u00e4rdighet till legenden om v\u00e5r specialiserade verksamhet, som g\u00f6r att vi kan arbeta med k\u00e4nsliga projekt f\u00f6r stora och viktiga kunder. Vi ville att v\u00e5rt f\u00f6retag skulle framst\u00e5 som svagt utifr\u00e5n ett cybers\u00e4kerhetsperspektiv, men samtidigt vara uppenbart att vi arbetade med viktiga tillg\u00e5ngar i m\u00e5lplattformarna.<\/p>\n

    \"O\u00e4ndligt
    \nSk\u00e4rmdump av hemsidan f\u00f6r honeypot MeTech. K\u00e4lla: Trend Micro<\/i><\/p>\n

    Vi valde namnet MeTech f\u00f6r f\u00f6retaget. Hemsidan byggdes med hj\u00e4lp av en gratis mall. Bilderna h\u00e4mtades fr\u00e5n bildbanker, d\u00e4r vi valde de mest ok\u00e4nda och modifierade dem f\u00f6r att g\u00f6ra dem mindre igenk\u00e4nnliga. <\/p>\n

    Vi ville att f\u00f6retaget skulle se verkligt ut, s\u00e5 vi beh\u00f6vde l\u00e4gga till anst\u00e4llda med professionella f\u00e4rdigheter som passade verksamhetsprofilen. Vi hittade p\u00e5 namn och personligheter f\u00f6r dem, och f\u00f6rs\u00f6kte sedan v\u00e4lja bilder fr\u00e5n bildbanker som \u00f6verensst\u00e4mde med etniciteten. <\/p>\n

    \"O\u00e4ndligt
    \nSk\u00e4rmdump av hemsidan f\u00f6r honeypot MeTech. K\u00e4lla: Trend Micro<\/i><\/i><\/p>\n

    F\u00f6r att inte bli avsl\u00f6jade s\u00f6kte vi efter gruppbilder av god kvalitet, d\u00e4r vi kunde v\u00e4lja de ansikten vi beh\u00f6vde. Men vi \u00f6vergav den id\u00e9n, eftersom en potentiell hackare skulle kunna anv\u00e4nda omv\u00e4nd bilds\u00f6kning och uppt\u00e4cka att v\u00e5ra 'anst\u00e4llda' bara fanns i bildbanker. Till slut anv\u00e4nde vi bilder p\u00e5 icke-existerande m\u00e4nniskor skapade med hj\u00e4lp av neurala n\u00e4tverk.<\/p>\n

    De anst\u00e4lldas profiler som publicerades p\u00e5 webbplatsen inneh\u00f6ll viktig information om deras tekniska f\u00e4rdigheter, men vi undvek att ange specifika utbildningsinstitutioner och st\u00e4der.
    \nF\u00f6r att skapa e-postl\u00e5dor anv\u00e4nde vi hostingleverant\u00f6rens server och hyrde sedan flera telefonnummer i USA, som vi kopplade samman i en virtuell v\u00e4xel med r\u00f6stmeny och telefonsvarare.<\/p>\n

    Infrastrukturen f\u00f6r honeypoten<\/b><\/h3>\n

    \nF\u00f6r att undvika avsl\u00f6jande beslutade vi att anv\u00e4nda en kombination av verklig industriell utrustning, fysiska datorer och s\u00e4krade virtuella maskiner. F\u00f6r att sammanfatta, kontrollerade vi resultatet av v\u00e5ra insatser med hj\u00e4lp av s\u00f6kmotorn Shodan, och den visade att honeypoten s\u00e5g ut som ett verkligt industriellt system.<\/p>\n

    \"O\u00e4ndligt
    \nResultatet av honeypot-s\u00f6kningen med hj\u00e4lp av Shodan. K\u00e4lla: Trend Micro<\/i><\/p>\n

    Som \"h\u00e5rdvara\" f\u00f6r v\u00e5r f\u00e4lla anv\u00e4nde vi fyra PLC:er:<\/p>\n