stringtranslate.com

Honeypot (вычисления)

В компьютерной терминологии honeypot — это механизм компьютерной безопасности , установленный для обнаружения, отклонения или, каким-либо образом, противодействия попыткам несанкционированного использования информационных систем . Как правило, honeypot состоит из данных (например, на сетевом сайте), которые кажутся законной частью сайта, содержащей информацию или ресурсы, представляющие ценность для злоумышленников. На самом деле он изолирован, отслеживается и способен блокировать или анализировать злоумышленников. Это похоже на полицейские спецоперации , в просторечии известные как «приманка» подозреваемого. [1]

Основное применение этой сетевой приманки — отвлечь потенциальных злоумышленников от более важной информации и машин в реальной сети, узнать о формах атак, которым они могут подвергнуться, и изучить такие атаки во время и после эксплуатации honeypot. Это дает возможность предотвратить и увидеть уязвимости в определенной сетевой системе. Honeypot — это приманка, используемая для защиты сети от настоящих или будущих атак. [2] [3] Honeypots получают свою ценность от использования злоумышленниками. Если с ними не взаимодействовать, honeypot не имеет практически никакой ценности. Honeypots можно использовать для всего: от замедления или остановки автоматизированных атак, захвата новых эксплойтов до сбора разведданных о возникающих угрозах или раннего предупреждения и прогнозирования. [4]

Схема информационной системы honeypot

Типы

Honeypots можно дифференцировать в зависимости от того, являются ли они физическими или виртуальными: [2] [3]

Honeypots можно классифицировать на основе их развертывания (использование/действие) и на основе их уровня вовлеченности. На основе развертывания honeypots можно классифицировать как: [5]

Производственные приманки просты в использовании, захватывают только ограниченную информацию и используются в основном корпорациями. Производственные приманки размещаются внутри производственной сети с другими производственными серверами организацией для улучшения их общего состояния безопасности. Обычно производственные приманки представляют собой приманки с низким уровнем взаимодействия, которые проще в развертывании. Они предоставляют меньше информации об атаках или злоумышленниках, чем исследовательские приманки. [5]

Исследовательские приманки запускаются для сбора информации о мотивах и тактике сообщества черных хакеров , нацеленных на различные сети. Эти приманки не добавляют прямой ценности конкретной организации; вместо этого они используются для исследования угроз, с которыми сталкиваются организации, и для изучения того, как лучше защищаться от этих угроз. [6] Исследовательские приманки сложны в развертывании и обслуживании, собирают обширную информацию и используются в основном исследовательскими, военными или правительственными организациями. [7]

На основании конструктивных критериев приманки можно классифицировать следующим образом: [5]

Чистые honeypots — это полноценные производственные системы. Действия злоумышленника отслеживаются с помощью bug tap, установленного на линии honeypot к сети. Никакого другого программного обеспечения устанавливать не нужно. Несмотря на то, что чистый honeypot полезен, скрытность защитных механизмов может быть обеспечена более контролируемым механизмом.

Honeypot с высоким уровнем взаимодействия имитируют деятельность производственных систем, которые размещают различные службы, и, следовательно, злоумышленнику может быть разрешено тратить много времени на службы. Используя виртуальные машины , можно разместить несколько honeypot на одной физической машине. Поэтому, даже если honeypot скомпрометирован, его можно восстановить быстрее. В целом, honeypot с высоким уровнем взаимодействия обеспечивают большую безопасность, поскольку их трудно обнаружить, но они дороги в обслуживании. Если виртуальные машины недоступны, для каждого honeypot необходимо поддерживать один физический компьютер, что может быть непомерно дорогим. Пример: Honeynet .

Honeypot с низким уровнем взаимодействия имитируют только те сервисы, которые часто запрашивают злоумышленники. [8] Поскольку они потребляют относительно мало ресурсов, несколько виртуальных машин можно легко разместить на одной физической системе, виртуальные системы имеют короткое время отклика и требуют меньше кода, что снижает сложность безопасности виртуальной системы. Пример: Honeyd . Этот тип honeypot был одним из первых, созданных в конце девяностых, и в основном использовался для обнаружения атак, а не для их изучения. [9]

Sugarcane — это тип honeypot, который маскируется под открытый прокси-сервер. [10] Он часто может принимать форму сервера, разработанного так, чтобы выглядеть как неправильно настроенный HTTP-прокси. [11] Вероятно, самым известным открытым прокси-сервером была конфигурация по умолчанию sendmail (до версии 8.9.0 в 1998 году), которая пересылала электронную почту в любой пункт назначения и из него. [12]

Технология обмана

Недавно появился новый сегмент рынка, называемый технологией обмана , использующий базовую технологию honeypot с добавлением расширенной автоматизации для масштабирования. Технология обмана решает проблему автоматизированного развертывания ресурсов honeypot на крупном коммерческом предприятии или государственном учреждении. [13]

Вредоносные приманки

Honeypot вредоносного ПО — это приманка, предназначенная для преднамеренного привлечения вредоносного ПО. Она делает это, имитируя уязвимую систему или сеть, например веб-сервер. Honeypot намеренно настраивается с уязвимостями безопасности, которые стремятся провоцировать атаки вредоносного ПО. После атаки ИТ-отделы могут проанализировать вредоносное ПО, чтобы лучше понять, откуда оно взялось и как действует. [14]

Спам-версии

Спамеры злоупотребляют уязвимыми ресурсами, такими как открытые почтовые ретрансляторы и открытые прокси-серверы . Это серверы, которые принимают электронную почту от любого человека в Интернете, включая спамеров, и отправляют ее по назначению. Некоторые системные администраторы создали программы-приманки, которые маскируются под эти уязвимые ресурсы, чтобы обнаружить активность спамеров.

Такие honeypots предоставляют администраторам несколько возможностей, и существование таких поддельных систем, которые могут быть использованы для злоупотреблений, делает злоупотребления более сложными или рискованными. Honeypots могут быть мощным средством противодействия злоупотреблениям со стороны тех, кто полагается на очень большие объемы злоупотреблений (например, спамеров).

Эти ловушки могут раскрыть IP-адрес злоумышленника и обеспечить массовый захват спама (что позволяет операторам определять URL-адреса спамеров и механизмы реагирования). Как описывает М. Эдвардс в ITPRo Today:

Обычно спамеры проверяют почтовый сервер на открытую ретрансляцию, просто отправляя себе сообщение электронной почты. Если спамер получает сообщение электронной почты, почтовый сервер, очевидно, разрешает открытую ретрансляцию. Однако операторы Honeypot могут использовать тест ретрансляции, чтобы помешать спамерам. Honeypot перехватывает тестовое сообщение электронной почты ретрансляции, возвращает тестовое сообщение электронной почты и впоследствии блокирует все остальные сообщения электронной почты от этого спамера. Спаммеры продолжают использовать антиспамовый Honeypot для рассылки спама, но спам никогда не доставляется. Между тем оператор Honeypot может уведомить интернет-провайдеров спамеров и аннулировать их учетные записи в Интернете. Если операторы Honeypot обнаруживают спамеров, которые используют открытые прокси-серверы, они также могут уведомить оператора прокси-сервера, чтобы тот заблокировал сервер для предотвращения дальнейшего нецелевого использования. [15]

Очевидным источником может быть другая система, подвергшаяся злоупотреблению. Спамеры и другие злоумышленники могут использовать цепочку таких систем, подвергшихся злоупотреблению, чтобы затруднить обнаружение первоначальной отправной точки трафика злоупотребления.

Это само по себе свидетельствует о силе honeypots как антиспамовых инструментов. В первые дни существования honeypots спамеры, не особо заботясь о сокрытии своего местоположения, чувствовали себя в безопасности, тестируя уязвимости и рассылая спам напрямую из своих собственных систем. Honeypots сделали злоупотребление более рискованным и сложным.

Спам все еще проходит через открытые ретрансляторы, но его объем намного меньше, чем в 2001-02 годах. Хотя большая часть спама исходит из США, [16] спамеры прыгают через открытые ретрансляторы через политические границы, чтобы скрыть свое происхождение. Операторы Honeypot могут использовать перехваченные ретрансляторные тесты для распознавания и пресечения попыток ретрансляции спама через свои Honeypot. «Пресечь» может означать «принять ретранслируемый спам, но отказаться доставлять его». Операторы Honeypot могут обнаружить другие подробности, касающиеся спама и спамера, изучив перехваченные спам-сообщения.

Открытые ретрансляционные приманки включают Jackpot, написанный на Java Джеком Кливером; smtpot.py , написанный на Python Карлом А. Крюгером; [17] и spamhole, написанный на C. [18] Bubblegum Proxypot — это приманка с открытым исходным кодом (или «проксипот»). [ 19]

Электронная почта-ловушка

Адрес электронной почты, который не используется ни для каких других целей, кроме получения спама, также может считаться спам-ловушкой. По сравнению с термином « спам-ловушка », термин «приманка» может быть более подходящим для систем и методов, которые используются для обнаружения или противодействия зондам. С помощью спам-ловушки спам прибывает в пункт назначения «законно» — точно так же, как прибывало бы не спам-сообщение.

Слиянием этих методов является Project Honey Pot , распределенный проект с открытым исходным кодом, который использует страницы honeypot, установленные на веб-сайтах по всему миру. Эти страницы honeypot распространяют уникальные помеченные адреса электронной почты spamtrap, и спамеров затем можно отслеживать — соответствующее спам-сообщение впоследствии отправляется на эти адреса электронной почты spamtrap. [20]

База данных honeypot

Базы данных часто подвергаются атакам злоумышленников, использующих SQL-инъекции . Поскольку такие действия не распознаются базовыми брандмауэрами, компании часто используют брандмауэры баз данных для защиты. Некоторые из доступных брандмауэров баз данных SQL предоставляют/поддерживают архитектуры honeypot, так что злоумышленник работает против базы данных-ловушки, в то время как веб-приложение остается функциональным. [21]

Honeypot промышленных систем управления

Промышленные системы управления (ICS) часто становятся целью кибератак. [22] Одной из основных целей в ICS являются программируемые логические контроллеры . [23] Для того чтобы понять методы злоумышленников в этом контексте, было предложено несколько honeypot. Conpot [24] [25] — это honeypot с низким уровнем взаимодействия, способный имитировать ПЛК Siemens. HoneyPLC — это honeypot со средним уровнем взаимодействия, способный имитировать ПЛК Siemens, Rockwell и других марок. [26] [27]

Обнаружение Honeypot

Так же, как приманки являются оружием против спамеров, системы обнаружения приманок являются контроружием, используемым спамерами. Поскольку системы обнаружения, вероятно, будут использовать уникальные характеристики конкретных приманок для их идентификации, такие как пары свойство-значение конфигурации приманки по умолчанию, [28] многие используемые приманки используют набор уникальных характеристик, более крупных и более пугающих для тех, кто пытается их обнаружить и, таким образом, идентифицировать. Это необычное обстоятельство в программном обеспечении; ситуация, в которой «версионизм» (большое количество версий одного и того же программного обеспечения, все немного отличающиеся друг от друга) может быть полезным. Также есть преимущество в том, чтобы иметь несколько легко обнаруживаемых приманок. Фред Коэн , изобретатель Deception Toolkit, утверждает, что каждая система, работающая с его приманкой, должна иметь порт обмана, который злоумышленники могут использовать для обнаружения приманки. [29] Коэн считает, что это может отпугнуть злоумышленников. Приманки также позволяют на ранней стадии обнаруживать законные угрозы. Независимо от того, как Honeypot обнаруживает эксплойт, он может немедленно предупредить вас о попытке атаки. [30]

Риски

Целью honeypot является привлечение и вовлечение злоумышленников в течение достаточно длительного периода для получения индикаторов компрометации высокого уровня (IoC), таких как инструменты атаки и тактики, методы и процедуры (TTP). Таким образом, honeypot должен эмулировать основные службы в производственной сети и предоставлять злоумышленнику свободу для выполнения враждебных действий, чтобы повысить свою привлекательность для злоумышленника. Хотя honeypot является контролируемой средой и может контролироваться с помощью таких инструментов, как honeywall, [31] злоумышленники все еще могут использовать некоторые honeypot в качестве опорных узлов для проникновения в производственные системы. [32]

Второй риск honeypots заключается в том, что они могут привлекать законных пользователей из-за отсутствия коммуникации в крупных корпоративных сетях. Например, группа безопасности, которая применяет и контролирует honeypot, может не раскрыть местоположение honeypot всем пользователям вовремя из-за отсутствия коммуникации или предотвращения внутренних угроз. [33] [34]

Медовые сети

««Медовая сеть» — это сеть высоковзаимодействующих приманок, которая имитирует производственную сеть и настроена таким образом, что вся активность отслеживается, регистрируется и в определенной степени скрытно регулируется».

-Лэнс Спитцнер,
проект Honeynet

Два или более honeypot в сети образуют honey net . Обычно honey net используется для мониторинга более крупной и/или более разнообразной сети, в которой одного honeypot может быть недостаточно. Honey net и honeypot обычно реализуются как части более крупных систем обнаружения вторжений в сеть . Honey farm — это централизованная коллекция honeypot и инструментов анализа. [35]

Концепция медовой сети впервые появилась в 1999 году, когда Лэнс Шпицнер, основатель проекта Honeynet , опубликовал статью «Как построить медовую сеть» [36] .

История

Ранняя формулировка концепции, называемая «ловушкой», определена в FIPS 39 (1976) как «преднамеренное внедрение очевидных недостатков в систему с целью обнаружения попыток проникновения или введения злоумышленника в заблуждение относительно того, какие недостатки следует использовать». [37]

Самые ранние методы использования приманок описаны в книге Клиффорда Столла «Яйцо кукушки», изданной в 1989 году .

Один из самых ранних задокументированных случаев использования honeypot в целях кибербезопасности начался в январе 1991 года. 7 января 1991 года, работая в AT&T Bell Laboratories, Чесвик наблюдал за хакером-преступником, известным как взломщик , пытающимся получить копию файла паролей. Чесвик написал, что он и его коллеги создали «chroot «Jail» (или «тараканий мотель»)», что позволило им наблюдать за своим злоумышленником в течение нескольких месяцев. [38]

В 2017 году голландская полиция использовала методы ханипота для отслеживания пользователей даркнет-рынка Hansa .

Метафора медведя, которого привлекает мед и который крадет его, распространена во многих традициях, включая германские, кельтские и славянские. Распространенное славянское слово для медведя — « медоед». Традиция о медведях, ворующих мед, передавалась через истории и фольклор, особенно через известного Винни-Пуха . [39] [40]

Смотрите также

Ссылки и примечания

  1. ^ Коул, Эрик; Норткатт, Стивен. «Honeypots: A Security Manager's Guide to Honeypots». Архивировано из оригинала 16 марта 2017 г.
  2. ^ abcd Provos, N. "A Virtual Honeypot Framework". USENIX . Получено 29 апреля 2023 г. .
  3. ^ abcd Mairh, A; Barik, D; Verma, K; Jena, D (2011). "Honeypot in network security: A survey". Труды Международной конференции по коммуникациям, вычислениям и безопасности 2011 года - ICCCS '11. Том 1. С. 600–605. doi :10.1145/1947940.1948065. ISBN 978-1-4503-0464-1. S2CID  12724269 . Получено 29 апреля 2023 г. .
  4. ^ Spitzner, L. (2003). «Honeypots: Catching the insider threat». 19-я ежегодная конференция по приложениям компьютерной безопасности, 2003. Труды . IEEE. стр. 170–179. doi :10.1109/csac.2003.1254322. ISBN 0-7695-2041-3. S2CID  15759542.
  5. ^ abc Mokube, Iyatiti; Adams, Michele (март 2007 г.). «Honeypots: Concepts, approaches, and challenges». Труды 45-й ежегодной юго-восточной региональной конференции . стр. 321–326. doi :10.1145/1233341.1233399. ISBN 9781595936295. S2CID  15382890.
  6. ^ Лэнс Шпицнер (2002). Honeypots отслеживают хакеров . Addison-Wesley . С. 68–70. ISBN 0-321-10895-7.
  7. ^ Катакоглу, Онур (2017-04-03). "Атаки ландшафта на темной стороне Интернета" (PDF) . acm.org . Получено 2017-08-09 .
  8. ^ Литчфилд, Сэмюэл; Формби, Дэвид; Роджерс, Джонатан; Мелиопулос, Сакис; Бейя, Рахим (2016). «Переосмысление Honeypot для киберфизических систем». IEEE Internet Computing . 20 (5): 9–17. doi :10.1109/MIC.2016.103. ISSN  1089-7801. S2CID  1271662.
  9. ^ Гебель, Ян Геррит; Девальд, Андреас; Фрейлинг, Феликс (2011). Клиенты-приманки. дои : 10.1524/9783486711516. ISBN 978-3-486-71151-6.
  10. ^ Талукдер, Асоке К.; Чайтанья, Маниш (17 декабря 2008 г.). Архитектура безопасных программных систем Страница 25 – CRC Press, Taylor & Francis Group. CRC Press. ISBN 9781420087857.
  11. ^ «Разоблачение подполья: приключения открытого прокси-сервера». 21 марта 2011 г.
  12. ^ «Перехват веб-атак с помощью открытых прокси-ханипотов». 3 июля 2007 г.
  13. ^ «Технологии, связанные с обманом, — это не просто «приятная вещь», это новая стратегия защиты — Лоуренс Пингри». 28 сентября 2016 г.
  14. ^ Praveen (2023-07-31). "Что такое Honeypot в кибербезопасности? Типы, реализация и реальные приложения". Cybersecurity Exchange . Получено 2023-12-05 .
  15. ^ Эдвардс, М. «Antispam Honeypots Give Spammers Headaches». Windows IT Pro. Архивировано из оригинала 1 июля 2017 г. Получено 11 марта 2015 г.
  16. ^ "Sophos раскрывает последние страны, пересылающие спам". Help Net Security . 24 июля 2006 г. Получено 14 июня 2013 г.
  17. ^ "Honeypot Software, Honeypot Products, Deception Software". Ресурсы по обнаружению вторжений, Honeypots и обработке инцидентов . Honeypots.net. 2013. Архивировано из оригинала 8 октября 2003 г. Получено 14 июня 2013 г.
  18. ^ dustintrammell (27 февраля 2013 г.). "spamhole – The Fake Open SMTP Relay Beta". SourceForge . Dice Holdings, Inc . Получено 14 июня 2013 г. .
  19. ^ Ec-Council (5 июля 2009 г.). Сертифицированный этичный хакер: защита сетевой инфраструктуры в сертифицированном этическом хакерстве. Cengage Learning. стр. 3–. ISBN 978-1-4354-8365-1. Получено 14 июня 2013 г.
  20. ^ "Что такое honeypot?". IONOS Digital Guide . 8 августа 2017 г. Получено 14 октября 2022 г.
  21. ^ «Защитите свою базу данных с помощью архитектуры Honeypot». dbcoretech.com. 13 августа 2010 г. Архивировано из оригинала 8 марта 2012 г.
  22. ^ Лэнгнер, Ральф (май 2011 г.). «Stuxnet: анализ оружия кибервойны». IEEE Security & Privacy . 9 (3): 49–51. doi :10.1109/MSP.2011.67. ISSN  1558-4046. S2CID  206485737.
  23. ^ Стоуффер, Кит; Фалько, Джо; Скарфоне, Карен (июнь 2011 г.). "Руководство по безопасности промышленных систем управления (ICS) - системы диспетчерского управления и сбора данных (SCADA), распределенные системы управления (DCS) и другие конфигурации систем управления, такие как программируемые логические контроллеры (ПЛК)". Публикации NIST (Специальная публикация NIST (SP) 800-82). Гейтерсберг, Мэриленд: 155 страниц. doi : 10.6028/nist.sp.800-82 .
  24. ^ Jicha, Arthur; Patton, Mark; Chen, Hsinchun (сентябрь 2016 г.). «SCADA honeypots: углубленный анализ Conpot». IEEE Conference on Intelligence and Security Informatics (ISI) 2016 г. стр. 196–198. doi :10.1109/ISI.2016.7745468. ISBN 978-1-5090-3865-7. S2CID  14996905.
  25. ^ Conpot, MushMush, 2023-06-23 , получено 2023-06-24
  26. ^ Лопес-Моралес, Эфрен; Рубио-Медрано, Карлос; Дупе, Адам; Шошитаишвили, Ян; Ван, Руоюй; Бао, Тиффани; Ан, Гейл-Джун (2020-11-02). «HoneyPLC: следующее поколение Honeypot для промышленных систем управления». Труды конференции ACM SIGSAC 2020 года по компьютерной и коммуникационной безопасности . CCS '20. Нью-Йорк, штат Нью-Йорк, США: Ассоциация вычислительной техники. стр. 279–291. doi : 10.1145/3372297.3423356. hdl : 2286/RI57069. ISBN 978-1-4503-7089-9. S2CID  226228191.
  27. ^ HoneyPLC, SEFCOM, 2023-05-24 , получено 2023-06-24
  28. ^ Кабрал, Уоррен; Валли, Крейг; Сикос, Лесли; Уэйкелинг, Сэмюэл (2019). «Обзор и анализ артефактов каури и их потенциал для обманного использования». Труды Международной конференции по вычислительной науке и вычислительному интеллекту 2019 года . IEEE. стр. 166–171. doi :10.1109/CSCI49370.2019.00035. ISBN 978-1-7281-5584-5.
  29. ^ "Deception Toolkit". All.net . 2013. Получено 14 июня 2013 .
  30. ^ Honeypots для Windows. 2005. doi :10.1007/978-1-4302-0007-9. ISBN 978-1-59059-335-6.
  31. ^ "Honeywall CDROM – The Honeynet Project". Архивировано из оригинала 2022-10-11 . Получено 2020-08-07 .
  32. ^ Шпицнер, Лэнс (2002). Honeypots отслеживают хакеров . Addison-Wesley Professional. OCLC  1153022947.
  33. ^ Qassrawi, Mahmoud T.; Hongli Zhang (май 2010). «Клиентские приманки: подходы и проблемы». 4-я Международная конференция по новым тенденциям в информационной науке и науке об услугах : 19–25.
  34. ^ "иллюзорные сети: почему Honeypots застряли в прошлом | NEA | New Enterprise Associates". www.nea.com . Получено 07.08.2020 .
  35. ^ "Поддержка клиентов маршрутизатора cisco". Clarkconnect.com. Архивировано из оригинала 2017-01-16 . Получено 2015-07-31 .
  36. ^ "Знай своего врага: сети Honey второго поколения. Проще в развертывании, сложнее в обнаружении, безопаснее в обслуживании". Honeynet Project . 12 мая 2005 г. Архивировано из оригинала 25 января 2009 г. Получено 14 июня 2013 г.
  37. ^ "Национальное бюро стандартов (15 февраля 1976 г.). Глоссарий по безопасности компьютерных систем" (PDF) . www.govinfo.gov . Получено 19 марта 2023 г. .
  38. ^ «Вечер с Берфердом, в котором крекер соблазняется, терпится и изучается» (PDF) . cheswick.com . Получено 3 февраля 2021 г. .
  39. ^ "Слово для "медведя"". Pitt.edu . Архивировано из оригинала 29 сентября 2013 года . Получено 12 сентября 2014 года .
  40. ^ Шепард, Э. Х., Милн, А. А. (1994). Полное собрание сказок о Винни-Пухе. Соединенное Королевство: Dutton Children's Books.

Дальнейшее чтение

Внешние ссылки