Honeypot дозволяє перевірити працездатність систем захисту та вивчити метод атаки кіберзлочинця.
Honeypot – це сервер або система, що є приманкою для хакерів і призначена для того, щоб стати привабливою мішенню кіберзлочинців.
Приманки розгортаються поруч із фактично використовуваними системами, щоб дозволити ІБ-фахівцям відстежити реакцію систем безпеки та відвести атаку зловмисника від найважливіших систем. Поки кіберзлочинець атакує систему-приманку, ІБ-фахівець може зібрати важливу інформацію про тип атаки та методи, які використовує зловмисник. Потім можна використовувати для посилення загального захисту мережі.
Як працює Honeypot
Багато в чому приманка виглядає так само, як справжня комп’ютерна система. У ній є програми та дані, які кіберзлочинці використовують для визначення мети. Наприклад, приманка може містити конфіденційні підроблені дані про споживача, такі як платіжна або особиста інформація.
Приманки містять вразливість, щоб заманити хакерів. Наприклад, вони можуть мати відкриті порти. Залишений відкритим порт може залучити зловмисника, дозволяючи команді безпеки спостерігати за процесом атаки.
Honeypotting відрізняється від інших типів заходів безпеки тим, що він не призначений для прямого запобігання атакам. Метою приманки є удосконалення системи виявлення вторгнень (Intrusion Detection System, IDS) та реагування на загрози, щоб вона могла краще керувати атаками та запобігати їм.
Є два основні види приманок: виробничі та дослідні.
Виробничі приманки зосереджені на виявленні компрометації внутрішньої мережі, і навіть на обмані зловмисника. Вони розташовуються поруч із реальними виробничими серверами і виконують ті самі функції;
Дослідницькі приманки збирають інформацію про атаки, зосереджуючись не тільки на тому, як загрози діють у внутрішньому середовищі, але і на тому, як вони діють загалом. Це допомагає адміністраторам розробити більш надійні системи захисту та з’ясувати, які виправлення їм необхідні насамперед.
Типи приманок Honeypot
Існують різні типи приманок, кожна з яких призначена для різних виробничих чи дослідницьких цілей.
Чиста приманка (Pure Honeypot)
Це повномасштабна система, що працює на різних серверах. Вона повністю імітує виробничу систему. Чиста приманка видає себе за систему з конфіденційними даними про користувачів, які мають низку сенсорів, які використовуються для відстеження та спостереження за діями зловмисника.
Honeypot з високим рівнем взаємодії (High-interaction Honeypot)
Вона призначена для того, щоб зловмисники проводили якнайбільше часу всередині системи-приманки. Це дає команді безпеки більше можливостей спостерігати за цілями та намірами хакера та більше шансів виявити вразливість у системі.
Приманка з високим рівнем взаємодії може мати додаткові системи, бази даних та процеси, до яких зловмисник захоче проникнути. Дослідники можуть спостерігати, як і яку саме інформацію шукає кіберзлочинець, і як намагається підвищити привілеї.
Honeypot із середнім рівнем взаємодії (Mid-interaction Honeypot)
Вони імітують елементи прикладного рівня, але з операційної системи. Їхнє завдання – заплутати зловмисника або затримати його, щоб у ІБ-фахівців було більше часу для реагування на атаку.
Honeypot з низьким рівнем взаємодії (Low-interaction Honeypot)
Такі приманки менш ресурсомісткі та збирають елементарну інформацію про тип загрози та її походження. Їх відносно просто налаштувати, і вони використовують TCP-протокол, IP-протокол та мережеві служби. Однак усередині цієї приманки немає нічого, що могло б утримувати увагу зловмисника протягом значного часу.
Види приманок
Приманка шкідливих програм (Malware Honeypot)
Приманки шкідливих програм використовують вже відомі вектори атак, які залучають зловмисне програмне забезпечення. Наприклад, вони можуть імітувати USB-пристрій. Якщо комп’ютер піддається атаці, приманка обманом змушує шкідливе програмне забезпечення атакувати підроблений USB-накопичувач.
Спам-приманка (Spam Honeypot)
Спам-приманки призначені для залучення спамерів за допомогою відкритих проксі та поштових ретрансляторів. Спамери тестують поштові ретранслятори, використовуючи для створення масових розсилок. Спам-приманка може ідентифікувати тест спамера та блокувати його спам.
Приманка бази даних (Database Honeypot)
Фальшива база даних використовується для залучення атак на бази даних, таких як SQL ін’єкції, які відкривають доступ до даних. Такі приманки можуть бути реалізовані за допомогою брандмауера бази даних.
Клієнтська приманка (Client Honeypot)
Клієнтські приманки намагаються заманити шкідливі сервери, які зловмисники використовують під час злому клієнтів. Вони імітують клієнта та показують, як хакер вносить зміни до сервера під час атаки. Клієнтські приманки зазвичай запускаються у віртуалізованому середовищі та мають захист від виявлення.
Мережа приманок (Honeynet)
Мережа з різних типів приманок дозволяє вивчати кілька типів атак – DDoS-атаки чи атаки програм-вимагачів. Хоча Honeynet використовується для вивчення різних видів атак, вона містить весь трафік, як вхідний, так і вихідний, для захисту іншої системи організації.
Honeypot у мережевій безпеці
Приманка в мережевій безпеці призначена для заманювання хакера в підроблені мережеві середовища, щоб:
- визначити мету кіберзлочинця;
- методи атаки цілі;
- визначити спосіб запобігання атаці.
Приманка в контексті кібербезпеки організації включає створення середовища, наповненого потенційно привабливими цифровими активами, для спостереження за спробами хакера отримати до них доступ і його діями, коли він опинився всередині системи.
Налаштування Honeypot
Honeypotting є підключення підробленого активу до Інтернету або до внутрішньої мережі організації і надання хакерам доступу до нього. Фактична установка може бути відносно простою або складною залежно від виду діяльності, яку ви намагаєтеся вивчити. Ось кілька сценаріїв атак, на які можуть бути налаштовані приманки.
Атака на базу даних
Енергетична компанія може налаштувати підроблений сервер Microsoft SQL, який містить інформацію про місцезнаходження всіх електростанцій. Назви електростанцій та їх геолокації при цьому вигадані.
Мережеві адміністратори можуть зробити базу даних легкою для злому, а потім використовувати цю приманку, щоб побачити, як хакери намагаються вкрасти інформацію. У багатьох випадках IT-команда створить систему, яка буде повністю аналогічна їх реальному настроюванню мережі. Таким чином, якщо зловмисники зможуть проникнути всередину, компанія зможе виявити вразливість у своїх реальних мережах.
Важливо мати на увазі, що приманки в безпеці мережі розробляються на основі цілей IT-команди організації. Отже, налаштування безпеки приманки можуть відрізнятися в різних фірмах.
Внутрішня атака
Припустимо, що інсайдер у компанії намагається провести кібератаку. ІБ-фахівці можуть встановити підроблений сервер з таким же строгим контролем доступу, як і той, який, ймовірно, є метою зловмисника. Таким чином, вони обмежують поверхню атаки тим, хто може обійти строгу систему перевірки облікових даних, наприклад інсайдеру.
Випадкові атаки
Організація може побачити, які випадкові атаки у дикій природі можуть бути націлені на певний тип системи та що хакери роблять усередині. У цьому випадку кіберзлочинець може легко зламати актив, щоб отримати більше інформації для використання у своїх розвідданих.
Переваги приманки
Приманки мають кілька переваг, які ІБ-фахівці можуть використовувати для підвищення безпеки мережі.
Зупинення ланцюжка зараження
Зловмисник переміщається цільовим середовищем у пошуках вразливостей, скануючи всю мережу. Однак він може натрапити на приманку. На цьому етапі ви можете заманити хакера всередину, так і дослідити його поведінку. Приманки також порушують ланцюжок атак, спонукаючи зловмисника витрачати свій час на пошук марної інформації в приманці, відволікаючи його від реальної мети.
Тестування систем реагування на інциденти
Honeypotting – це ефективний спосіб перевірити, як ваша команда безпеки та система будуть реагувати на загрозу. Ви можете використовувати приманку для оцінки ефективності реагування вашої команди та усунення будь-яких недоліків у кіберзахисті.
Простота та низькі експлуатаційні витрати
Приманки – це прості в реалізації та ефективні інструменти для надання попереджень та інформації про поведінку зловмисника. Ваша команда безпеки може розгорнути приманку і просто чекати, поки зловмисник потрапить на неї. При цьому обов’язково постійно контролювати підроблене середовище.
Небезпеки мережі приманок
Незважаючи на те, що приманка в кібербезпеці є ефективним інструментом, зазвичай її недостатньо. Наприклад, honeypot не може виявити порушення безпеки у легітимних системах. Іншими словами, доки хакер атакує ваш підроблений актив, інший може атакувати реальний ресурс, і приманка про це вам ніяк не повідомить.
Крім того, приманка не завжди може ідентифікувати зловмисника. Хоча ви можете отримати деяку інформацію про хакерські методи, ви не можете зібрати інформацію, необхідну для виявлення або запобігання атаці.