В компьютерной терминологии honeypot — это механизм компьютерной безопасности , установленный для обнаружения, отклонения или, каким-либо образом, противодействия попыткам несанкционированного использования информационных систем . Как правило, honeypot состоит из данных (например, на сетевом сайте), которые кажутся законной частью сайта, содержащей информацию или ресурсы, представляющие ценность для злоумышленников. На самом деле он изолирован, отслеживается и способен блокировать или анализировать злоумышленников. Это похоже на полицейские спецоперации , в просторечии известные как «приманка» подозреваемого. [1]
Основное применение этой сетевой приманки — отвлечь потенциальных злоумышленников от более важной информации и машин в реальной сети, узнать о формах атак, которым они могут подвергнуться, и изучить такие атаки во время и после эксплуатации honeypot. Это дает возможность предотвратить и увидеть уязвимости в определенной сетевой системе. Honeypot — это приманка, используемая для защиты сети от настоящих или будущих атак. [2] [3] Honeypots получают свою ценность от использования злоумышленниками. Если с ними не взаимодействовать, honeypot не имеет практически никакой ценности. Honeypots можно использовать для всего: от замедления или остановки автоматизированных атак, захвата новых эксплойтов до сбора разведданных о возникающих угрозах или раннего предупреждения и прогнозирования. [4]
Honeypots можно дифференцировать в зависимости от того, являются ли они физическими или виртуальными: [2] [3]
Honeypots можно классифицировать на основе их развертывания (использование/действие) и на основе их уровня вовлеченности. На основе развертывания honeypots можно классифицировать как: [5]
Производственные приманки просты в использовании, захватывают только ограниченную информацию и используются в основном корпорациями. Производственные приманки размещаются внутри производственной сети с другими производственными серверами организацией для улучшения их общего состояния безопасности. Обычно производственные приманки представляют собой приманки с низким уровнем взаимодействия, которые проще в развертывании. Они предоставляют меньше информации об атаках или злоумышленниках, чем исследовательские приманки. [5]
Исследовательские приманки запускаются для сбора информации о мотивах и тактике сообщества черных хакеров , нацеленных на различные сети. Эти приманки не добавляют прямой ценности конкретной организации; вместо этого они используются для исследования угроз, с которыми сталкиваются организации, и для изучения того, как лучше защищаться от этих угроз. [6] Исследовательские приманки сложны в развертывании и обслуживании, собирают обширную информацию и используются в основном исследовательскими, военными или правительственными организациями. [7]
На основании конструктивных критериев приманки можно классифицировать следующим образом: [5]
Чистые honeypots — это полноценные производственные системы. Действия злоумышленника отслеживаются с помощью bug tap, установленного на линии honeypot к сети. Никакого другого программного обеспечения устанавливать не нужно. Несмотря на то, что чистый honeypot полезен, скрытность защитных механизмов может быть обеспечена более контролируемым механизмом.
Honeypot с высоким уровнем взаимодействия имитируют деятельность производственных систем, которые размещают различные службы, и, следовательно, злоумышленнику может быть разрешено тратить много времени на службы. Используя виртуальные машины , можно разместить несколько honeypot на одной физической машине. Поэтому, даже если honeypot скомпрометирован, его можно восстановить быстрее. В целом, honeypot с высоким уровнем взаимодействия обеспечивают большую безопасность, поскольку их трудно обнаружить, но они дороги в обслуживании. Если виртуальные машины недоступны, для каждого honeypot необходимо поддерживать один физический компьютер, что может быть непомерно дорогим. Пример: Honeynet .
Honeypot с низким уровнем взаимодействия имитируют только те сервисы, которые часто запрашивают злоумышленники. [8] Поскольку они потребляют относительно мало ресурсов, несколько виртуальных машин можно легко разместить на одной физической системе, виртуальные системы имеют короткое время отклика и требуют меньше кода, что снижает сложность безопасности виртуальной системы. Пример: Honeyd . Этот тип honeypot был одним из первых, созданных в конце девяностых, и в основном использовался для обнаружения атак, а не для их изучения. [9]
Sugarcane — это тип honeypot, который маскируется под открытый прокси-сервер. [10] Он часто может принимать форму сервера, разработанного так, чтобы выглядеть как неправильно настроенный HTTP-прокси. [11] Вероятно, самым известным открытым прокси-сервером была конфигурация по умолчанию sendmail (до версии 8.9.0 в 1998 году), которая пересылала электронную почту в любой пункт назначения и из него. [12]
Недавно появился новый сегмент рынка, называемый технологией обмана , использующий базовую технологию honeypot с добавлением расширенной автоматизации для масштабирования. Технология обмана решает проблему автоматизированного развертывания ресурсов honeypot на крупном коммерческом предприятии или государственном учреждении. [13]
Honeypot вредоносного ПО — это приманка, предназначенная для преднамеренного привлечения вредоносного ПО. Она делает это, имитируя уязвимую систему или сеть, например веб-сервер. Honeypot намеренно настраивается с уязвимостями безопасности, которые стремятся провоцировать атаки вредоносного ПО. После атаки ИТ-отделы могут проанализировать вредоносное ПО, чтобы лучше понять, откуда оно взялось и как действует. [14]
Спамеры злоупотребляют уязвимыми ресурсами, такими как открытые почтовые ретрансляторы и открытые прокси-серверы . Это серверы, которые принимают электронную почту от любого человека в Интернете, включая спамеров, и отправляют ее по назначению. Некоторые системные администраторы создали программы-приманки, которые маскируются под эти уязвимые ресурсы, чтобы обнаружить активность спамеров.
Такие honeypots предоставляют администраторам несколько возможностей, и существование таких поддельных систем, которые могут быть использованы для злоупотреблений, делает злоупотребления более сложными или рискованными. Honeypots могут быть мощным средством противодействия злоупотреблениям со стороны тех, кто полагается на очень большие объемы злоупотреблений (например, спамеров).
Эти ловушки могут раскрыть IP-адрес злоумышленника и обеспечить массовый захват спама (что позволяет операторам определять URL-адреса спамеров и механизмы реагирования). Как описывает М. Эдвардс в ITPRo Today:
Обычно спамеры проверяют почтовый сервер на открытую ретрансляцию, просто отправляя себе сообщение электронной почты. Если спамер получает сообщение электронной почты, почтовый сервер, очевидно, разрешает открытую ретрансляцию. Однако операторы Honeypot могут использовать тест ретрансляции, чтобы помешать спамерам. Honeypot перехватывает тестовое сообщение электронной почты ретрансляции, возвращает тестовое сообщение электронной почты и впоследствии блокирует все остальные сообщения электронной почты от этого спамера. Спаммеры продолжают использовать антиспамовый Honeypot для рассылки спама, но спам никогда не доставляется. Между тем оператор Honeypot может уведомить интернет-провайдеров спамеров и аннулировать их учетные записи в Интернете. Если операторы Honeypot обнаруживают спамеров, которые используют открытые прокси-серверы, они также могут уведомить оператора прокси-сервера, чтобы тот заблокировал сервер для предотвращения дальнейшего нецелевого использования. [15]
Очевидным источником может быть другая система, подвергшаяся злоупотреблению. Спамеры и другие злоумышленники могут использовать цепочку таких систем, подвергшихся злоупотреблению, чтобы затруднить обнаружение первоначальной отправной точки трафика злоупотребления.
Это само по себе свидетельствует о силе honeypots как антиспамовых инструментов. В первые дни существования honeypots спамеры, не особо заботясь о сокрытии своего местоположения, чувствовали себя в безопасности, тестируя уязвимости и рассылая спам напрямую из своих собственных систем. Honeypots сделали злоупотребление более рискованным и сложным.
Спам все еще проходит через открытые ретрансляторы, но его объем намного меньше, чем в 2001-02 годах. Хотя большая часть спама исходит из США, [16] спамеры прыгают через открытые ретрансляторы через политические границы, чтобы скрыть свое происхождение. Операторы Honeypot могут использовать перехваченные ретрансляторные тесты для распознавания и пресечения попыток ретрансляции спама через свои Honeypot. «Пресечь» может означать «принять ретранслируемый спам, но отказаться доставлять его». Операторы Honeypot могут обнаружить другие подробности, касающиеся спама и спамера, изучив перехваченные спам-сообщения.
Открытые ретрансляционные приманки включают Jackpot, написанный на Java Джеком Кливером; smtpot.py , написанный на Python Карлом А. Крюгером; [17] и spamhole, написанный на C. [18] Bubblegum Proxypot — это приманка с открытым исходным кодом (или «проксипот»). [ 19]
Адрес электронной почты, который не используется ни для каких других целей, кроме получения спама, также может считаться спам-ловушкой. По сравнению с термином « спам-ловушка », термин «приманка» может быть более подходящим для систем и методов, которые используются для обнаружения или противодействия зондам. С помощью спам-ловушки спам прибывает в пункт назначения «законно» — точно так же, как прибывало бы не спам-сообщение.
Слиянием этих методов является Project Honey Pot , распределенный проект с открытым исходным кодом, который использует страницы honeypot, установленные на веб-сайтах по всему миру. Эти страницы honeypot распространяют уникальные помеченные адреса электронной почты spamtrap, и спамеров затем можно отслеживать — соответствующее спам-сообщение впоследствии отправляется на эти адреса электронной почты spamtrap. [20]
Базы данных часто подвергаются атакам злоумышленников, использующих SQL-инъекции . Поскольку такие действия не распознаются базовыми брандмауэрами, компании часто используют брандмауэры баз данных для защиты. Некоторые из доступных брандмауэров баз данных SQL предоставляют/поддерживают архитектуры honeypot, так что злоумышленник работает против базы данных-ловушки, в то время как веб-приложение остается функциональным. [21]
Промышленные системы управления (ICS) часто становятся целью кибератак. [22] Одной из основных целей в ICS являются программируемые логические контроллеры . [23] Для того чтобы понять методы злоумышленников в этом контексте, было предложено несколько honeypot. Conpot [24] [25] — это honeypot с низким уровнем взаимодействия, способный имитировать ПЛК Siemens. HoneyPLC — это honeypot со средним уровнем взаимодействия, способный имитировать ПЛК Siemens, Rockwell и других марок. [26] [27]
Так же, как приманки являются оружием против спамеров, системы обнаружения приманок являются контроружием, используемым спамерами. Поскольку системы обнаружения, вероятно, будут использовать уникальные характеристики конкретных приманок для их идентификации, такие как пары свойство-значение конфигурации приманки по умолчанию, [28] многие используемые приманки используют набор уникальных характеристик, более крупных и более пугающих для тех, кто пытается их обнаружить и, таким образом, идентифицировать. Это необычное обстоятельство в программном обеспечении; ситуация, в которой «версионизм» (большое количество версий одного и того же программного обеспечения, все немного отличающиеся друг от друга) может быть полезным. Также есть преимущество в том, чтобы иметь несколько легко обнаруживаемых приманок. Фред Коэн , изобретатель Deception Toolkit, утверждает, что каждая система, работающая с его приманкой, должна иметь порт обмана, который злоумышленники могут использовать для обнаружения приманки. [29] Коэн считает, что это может отпугнуть злоумышленников. Приманки также позволяют на ранней стадии обнаруживать законные угрозы. Независимо от того, как Honeypot обнаруживает эксплойт, он может немедленно предупредить вас о попытке атаки. [30]
Целью honeypot является привлечение и вовлечение злоумышленников в течение достаточно длительного периода для получения индикаторов компрометации высокого уровня (IoC), таких как инструменты атаки и тактики, методы и процедуры (TTP). Таким образом, honeypot должен эмулировать основные службы в производственной сети и предоставлять злоумышленнику свободу для выполнения враждебных действий, чтобы повысить свою привлекательность для злоумышленника. Хотя honeypot является контролируемой средой и может контролироваться с помощью таких инструментов, как honeywall, [31] злоумышленники все еще могут использовать некоторые honeypot в качестве опорных узлов для проникновения в производственные системы. [32]
Второй риск honeypots заключается в том, что они могут привлекать законных пользователей из-за отсутствия коммуникации в крупных корпоративных сетях. Например, группа безопасности, которая применяет и контролирует honeypot, может не раскрыть местоположение honeypot всем пользователям вовремя из-за отсутствия коммуникации или предотвращения внутренних угроз. [33] [34]
««Медовая сеть» — это сеть высоковзаимодействующих приманок, которая имитирует производственную сеть и настроена таким образом, что вся активность отслеживается, регистрируется и в определенной степени скрытно регулируется».
-Лэнс Спитцнер,
проект Honeynet
Два или более honeypot в сети образуют honey net . Обычно honey net используется для мониторинга более крупной и/или более разнообразной сети, в которой одного honeypot может быть недостаточно. Honey net и honeypot обычно реализуются как части более крупных систем обнаружения вторжений в сеть . Honey farm — это централизованная коллекция honeypot и инструментов анализа. [35]
Концепция медовой сети впервые появилась в 1999 году, когда Лэнс Шпицнер, основатель проекта Honeynet , опубликовал статью «Как построить медовую сеть» [36] .
Ранняя формулировка концепции, называемая «ловушкой», определена в FIPS 39 (1976) как «преднамеренное внедрение очевидных недостатков в систему с целью обнаружения попыток проникновения или введения злоумышленника в заблуждение относительно того, какие недостатки следует использовать». [37]
Самые ранние методы использования приманок описаны в книге Клиффорда Столла «Яйцо кукушки», изданной в 1989 году .
Один из самых ранних задокументированных случаев использования honeypot в целях кибербезопасности начался в январе 1991 года. 7 января 1991 года, работая в AT&T Bell Laboratories, Чесвик наблюдал за хакером-преступником, известным как взломщик , пытающимся получить копию файла паролей. Чесвик написал, что он и его коллеги создали «chroot «Jail» (или «тараканий мотель»)», что позволило им наблюдать за своим злоумышленником в течение нескольких месяцев. [38]
В 2017 году голландская полиция использовала методы ханипота для отслеживания пользователей даркнет-рынка Hansa .
Метафора медведя, которого привлекает мед и который крадет его, распространена во многих традициях, включая германские, кельтские и славянские. Распространенное славянское слово для медведя — « медоед». Традиция о медведях, ворующих мед, передавалась через истории и фольклор, особенно через известного Винни-Пуха . [39] [40]