{"id":96260,"date":"2020-10-09T19:42:45","date_gmt":"2020-10-09T17:42:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello"},"modified":"2020-10-09T19:42:45","modified_gmt":"2020-10-09T17:42:45","slug":"honeypot-vs-deception-na-primere-xello","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/honeypot-vs-deception-na-primere-xello","title":{"rendered":"Kit Packard (Keith Packard), aktiv utvecklare av Debian, ledare f\u00f6r X.Org-projektet och skapare av m\u00e5nga X-till\u00e4gg, inklusive.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Kit<\/p>\n

Det finns redan flera artiklar p\u00e5 Habr om teknologierna Honeypot och Deception (1 artikel<\/a><\/noindex>, del 2<\/a><\/noindex>). Men vi st\u00f6ter fortfarande p\u00e5 bristande f\u00f6rst\u00e5else f\u00f6r skillnaden mellan dessa typer av skyddsmedel. F\u00f6r att belysa detta har v\u00e5ra kollegor fr\u00e5n Xello Deception<\/a><\/noindex> (den f\u00f6rsta ryska utvecklaren av Deception-plattformen<\/a><\/noindex>) beslutat att noggrant beskriva skillnaderna, f\u00f6rdelarna och arkitektoniska egenskaper hos dessa l\u00f6sningar.<\/p>\n

L\u00e5t oss f\u00f6rst\u00e5 vad «honeypots» och «deception» \u00e4r:<\/h2>\n

«Bedr\u00e4geriteknologier» (eng., Deception technology) kom nyligen in p\u00e5 marknaden f\u00f6r informationss\u00e4kerhetssystem. Vissa specialister anser dock fortfarande att Security Deception bara \u00e4r mer avancerade «honeypots» (eng., honeypot). <\/p>\n

I denna artikel kommer vi att belysa b\u00e5de likheterna och de grundl\u00e4ggande skillnaderna mellan dessa tv\u00e5 l\u00f6sningar. I den f\u00f6rsta delen kommer vi att diskutera \"honeypot\", hur denna teknologi har utvecklats och vad dess f\u00f6rdelar och nackdelar \u00e4r. I den andra delen kommer vi att fokusera p\u00e5 principerna f\u00f6r plattformar f\u00f6r skapande av distribuerad infrastruktur f\u00f6r falska m\u00e5l (eng., Distributed Deception Platform \u2014 DDP). <\/p>\n

Det grundl\u00e4ggande principen bakom honeypots \u00e4r att skapa f\u00e4llor f\u00f6r hackare. En liknande princip anv\u00e4ndes f\u00f6r att utveckla de f\u00f6rsta Deception-l\u00f6sningarna. Men moderna DDP \u00f6vertr\u00e4ffar betydligt honeypots, b\u00e5de vad g\u00e4ller funktionalitet och effektivitet. Deception-plattformar inkluderar: f\u00e4llor (eng., decoys, traps), lokkemat (eng., lures), applikationer, data, databaser, Active Directory. Moderna DDP kan erbjuda omfattande m\u00f6jligheter f\u00f6r att uppt\u00e4cka hot, analysera attacker och automatisera \u00e5tg\u00e4rder. <\/p>\n

S\u00e5ledes representerar Deception tekniker f\u00f6r att imitera f\u00f6retagets IT-infrastruktur och att vilseleda hackare. Som ett resultat till\u00e5ter s\u00e5dana plattformar att stoppa attacker innan betydande skador orsakas p\u00e5 f\u00f6retagets tillg\u00e5ngar. Honeypots har visserligen inte en s\u00e5dan bred funktionalitet och en s\u00e5dan niv\u00e5 av automatisering, vilket g\u00f6r att deras anv\u00e4ndning kr\u00e4ver h\u00f6gre kvalifikationer fr\u00e5n medarbetarna inom s\u00e4kerhetsavdelningar.<\/p>\n

1. Honeypots, Honeynets och Sandboxing: vad \u00e4r det och hur till\u00e4mpas det<\/h2>\n

Termen «honeypots» anv\u00e4ndes f\u00f6rst 1989 i Clifford Stolls bok «The Cuckoo\u2019s Egg», d\u00e4r h\u00e4ndelserna kring sp\u00e5rningen av en hacker p\u00e5 Lawrence Berkeley National Laboratory (USA) beskrevs. Id\u00e9n genomf\u00f6rdes praktiskt 1999 av Lance Spitzner, en informationss\u00e4kerhetsspecialist p\u00e5 Sun Microsystems, som grundade forskningsprojektet «Honeynet Project». De f\u00f6rsta honeypots var mycket resurskr\u00e4vande, sv\u00e5ra att konfigurera och underh\u00e5lla. <\/p>\n

L\u00e5t oss titta n\u00e4rmare p\u00e5 vad honeypots <\/strong>och honeynets<\/strong>. Honeypots \u00e4r separata v\u00e4rdar vars syfte \u00e4r att attrahera angripare att tr\u00e4nga in i f\u00f6retagets n\u00e4tverk och f\u00f6rs\u00f6ka stj\u00e4la v\u00e4rdefulla data samt att ut\u00f6ka n\u00e4tverksomr\u00e5det. En honeypot (\u00f6vers\u00e4tts bokstavligen som \u00abhonungsfat\u00bb) \u00e4r en speciell server med en upps\u00e4ttning olika n\u00e4tverkstj\u00e4nster och protokoll, s\u00e5som HTTP, FTP etc. (se fig. 1).<\/p>\n

\"Kit<\/p>\n

Om man f\u00f6renar flera honeypots <\/strong>i ett n\u00e4tverk f\u00e5r vi ett mer effektivt system honeynet<\/strong>, som utg\u00f6r en emulering av f\u00f6retagets interna n\u00e4tverk (webbserver, filserver och andra n\u00e4tverkskomponenter). Denna l\u00f6sning g\u00f6r det m\u00f6jligt att f\u00f6rst\u00e5 angriparnas handlingsstrategi och f\u00f6ra dem bakom ljuset. En typisk honeynet arbetar vanligtvis parallellt med det faktiska n\u00e4tverket och helt oberoende av det. Ett s\u00e5dant \u00abn\u00e4t\u00bb kan publiceras p\u00e5 Internet via en separat kanal och det kan ocks\u00e5 tilldelas ett eget intervall av IP-adresser (se fig. 2).<\/p>\n

\"Kit<\/p>\n

Syftet med att anv\u00e4nda honeynet \u00e4r att visa hackern att hen p\u00e5 n\u00e5got s\u00e4tt har tr\u00e4ngt in i f\u00f6retagets interna n\u00e4tverk, men i sj\u00e4lva verket befinner sig angriparen i en \u00abisolerad milj\u00f6\u00bb och under noggrann \u00f6vervakning av s\u00e4kerhetsspecialister (se fig. 3).<\/p>\n

\"Kit<\/p>\n

H\u00e4r beh\u00f6vs \u00e4ven en omtanke om ett verktyg som \u00absandbox<\/strong>\u00bb (eng., sandbox<\/strong>), vilket till\u00e5ter angripare att installera och k\u00f6ra skadliga program i en isolerad milj\u00f6, d\u00e4r IT-specialister kan \u00f6vervaka deras handlingar f\u00f6r att identifiera potentiella risker och vidta n\u00f6dv\u00e4ndiga mot\u00e5tg\u00e4rder. F\u00f6r n\u00e4rvarande implementeras sandboxing vanligtvis p\u00e5 dedikerade virtuella maskiner p\u00e5 en virtuell v\u00e4rd. Men det \u00e4r v\u00e4rt att notera att sandboxing bara visar hur farliga och skadliga program beter sig, medan honeynet hj\u00e4lper specialisten att analysera beteendet hos \u00abfarliga akt\u00f6rer\u00bb. <\/p>\n

Den uppenbara f\u00f6rdelen med honeynets \u00e4r att de ska vilseleda angripare, sl\u00f6sa bort deras krafter, resurser och tid. Som ett resultat attackerar de falska m\u00e5l ist\u00e4llet f\u00f6r verkliga och kan avbryta attacken mot n\u00e4tverket utan att uppn\u00e5 n\u00e5got. Oftast anv\u00e4nds honeynet-teknologier inom statliga myndigheter och stora f\u00f6retag, finansorganisationer, eftersom det \u00e4r dessa strukturer som blir m\u00e5ltavlor f\u00f6r omfattande cyberattacker. Men sm\u00e5 och medelstora f\u00f6retag (SMB) beh\u00f6ver ocks\u00e5 effektiva verktyg f\u00f6r att f\u00f6rhindra informationss\u00e4kerhetsincidenter, men det \u00e4r inte s\u00e5 enkelt att anv\u00e4nda honeynets i SMB-sektorn p\u00e5 grund av bristen p\u00e5 kvalificerad personal f\u00f6r s\u00e5 komplicerat arbete.<\/p>\n

Begr\u00e4nsningar av Honeypots och Honeynets<\/u><\/strong><\/p>\n

Varf\u00f6r \u00e4r d\u00e5 honeypots och honeynets inte de b\u00e4sta l\u00f6sningarna f\u00f6r att motverka attacker idag? Man b\u00f6r notera att attacker blir allt mer omfattande, tekniskt komplexa och kan orsaka allvarlig skada p\u00e5 organisationens IT-infrastruktur, och cyberbrott har n\u00e5tt en helt ny niv\u00e5 och best\u00e5r av h\u00f6gt organiserade skuggbusinessstrukturer som \u00e4r utrustade med alla n\u00f6dv\u00e4ndiga resurser. Dessutom m\u00e5ste man ta h\u00e4nsyn till 'den m\u00e4nskliga faktorn' (felaktigheter i konfigurationerna av programvara och h\u00e5rdvara, insider\u00e5tg\u00e4rder etc.), s\u00e5 att anv\u00e4nda endast teknik f\u00f6r att f\u00f6rhindra attacker \u00e4r nu otillr\u00e4ckligt. <\/p>\n

Nedan listas de fr\u00e4msta begr\u00e4nsningarna och nackdelarna med honeypots (honeynets):<\/p>\n

    \n
  1. \n

    Honeypots utvecklades ursprungligen f\u00f6r att identifiera hot som \u00e4r utanf\u00f6r det f\u00f6retagsn\u00e4tverket, de \u00e4r mer avsedda f\u00f6r att analysera angripares beteende och \u00e4r inte avsedda f\u00f6r snabb respons p\u00e5 hot. <\/p>\n<\/li>\n

  2. \n

    Angripare har ofta l\u00e4rt sig att k\u00e4nna igen emulerade system och undvika honeypots. <\/p>\n<\/li>\n

  3. \n

    Honeynets (honeypots) har en extremt l\u00e5g niv\u00e5 av interaktivitet och samverkan med andra s\u00e4kerhetssystem, vilket g\u00f6r det sv\u00e5rt att f\u00e5 utf\u00f6rlig information om attacker och angripare, och d\u00e4rmed att effektivt och snabbt reagera p\u00e5 informationss\u00e4kerhetsincidenter. Dessutom erh\u00e5ller s\u00e4kerhetsspecialister ett stort antal falska hotvarningar. <\/p>\n<\/li>\n

  4. \n

    I vissa fall kan hackare anv\u00e4nda en komprometterad honeypot som en startpunkt f\u00f6r att forts\u00e4tta attacken mot en organisations n\u00e4tverk. <\/p>\n<\/li>\n

  5. \n

    Det uppst\u00e5r ofta problem med skalbarheten hos honeypots, h\u00f6g operativ belastning och konfiguration av s\u00e5dana system (de kr\u00e4ver h\u00f6gt kvalificerade specialister, har ingen anv\u00e4ndarv\u00e4nlig hanteringsgr\u00e4nssnitt osv.). Det finns stora sv\u00e5righeter med att implementera honeypots i specialiserade milj\u00f6er, s\u00e5som IoT, POS, molnsystem osv.<\/p>\n<\/li>\n<\/ol>\n

    2. Bedr\u00e4geriteknologi: f\u00f6rdelar och grundprinciper<\/h2>\n

    Genom att studera alla f\u00f6rdelar och nackdelar med honeypots kommer vi fram till att det kr\u00e4vs ett helt nytt tillv\u00e4gag\u00e5ngss\u00e4tt f\u00f6r incidentrespons inom informationss\u00e4kerhet f\u00f6r att kunna ge ett snabbt och adekvat svar p\u00e5 angriparnas \u00e5tg\u00e4rder. Och en s\u00e5dan l\u00f6sning \u00e4r teknologier. Cyber deception (S\u00e4kerhetsbedr\u00e4geri)<\/strong>. <\/p>\n

    Terminologin «Cyber deception», «Security deception», «Deception technology», «Distributed Deception Platform» (DDP) \u00e4r relativt ny och d\u00f6k upp f\u00f6r inte s\u00e5 l\u00e4nge sedan. Faktum \u00e4r att alla dessa termer h\u00e4nvisar till anv\u00e4ndningen av «bedr\u00e4geriteknologier» eller «simuleringstekniker f\u00f6r IT-infrastruktur och desinformation f\u00f6r angripare». De enklaste Deception-l\u00f6sningarna bygger p\u00e5 id\u00e9erna bakom honeypots, men p\u00e5 en mer teknologiskt avancerad niv\u00e5 som innefattar st\u00f6rre automatisering av hotuppt\u00e4ckning och respons. Det finns redan allvarliga DDP-l\u00f6sningar p\u00e5 marknaden som m\u00f6jligg\u00f6r enkel distribution och skalning, samt har ett betydande arsenal av «f\u00e4llor» och «beten» f\u00f6r angripare. Till exempel g\u00f6r Deception det m\u00f6jligt att simulera s\u00e5dana IT-infrastrukturobjekt som databaser, arbetsstationer, routrar, switchar, bankomater, servrar och SCADA, medicinsk utrustning och IoT. <\/p>\n

    Hur fungerar «Distributed Deception Platform»? Efter distribution av DDP kommer organisationens IT-infrastruktur att byggas upp som om den bestod av tv\u00e5 lager: det f\u00f6rsta lagret \u00e4r f\u00f6retagets verkliga infrastruktur, och det andra \u00e4r en «emulerad» milj\u00f6 som best\u00e5r av f\u00e4llor (eng., decoys, traps) och beten (eng., lures) som finns p\u00e5 verkliga fysiska enheter i n\u00e4tverket (se fig. 4).<\/p>\n

    \"Kit<\/p>\n

    Till exempel kan en angripare uppt\u00e4cka falska databaser med \"konfidentiella dokument\" och fejkade inloggningsuppgifter p\u00e5st\u00e5dda av \"privilegierade anv\u00e4ndare\" - alla dessa \u00e4r falska m\u00e5l som kan intressera brottslingar, vilket avleder deras uppm\u00e4rksamhet fr\u00e5n de verkliga informationsaktiver som f\u00f6retaget har (se fig. 5).<\/p>\n

    \"Kit<\/p>\n

    DDP \u00e4r en nyhet p\u00e5 marknaden f\u00f6r cybers\u00e4kerhetsprodukter, dessa l\u00f6sningar \u00e4r bara n\u00e5gra \u00e5r gamla och hittills har endast f\u00f6retagssektorn r\u00e5d med dem. Men sm\u00e5 och medelstora f\u00f6retag kommer snart ocks\u00e5 att kunna dra nytta av Deception genom att hyra DDP fr\u00e5n specialiserade leverant\u00f6rer \"som en tj\u00e4nst\". Det alternativet \u00e4r till och med mer bekv\u00e4mt, eftersom det inte finns n\u00e5got behov av egna h\u00f6gkvalificerade anst\u00e4llda.<\/p>\n

    Nedan visas de viktigaste f\u00f6rdelarna med Deception-teknologin:<\/p>\n