Kaj je Honeypot? Ali lahko pomaga ublažiti kibernetske napade?

Kibernetska varnost ni vedno primer, ko napadalci poskušajo napadti nedolžne žrtve in omrežja. Zahvaljujoč računalniškemu sistemu za vabo, znanemu kot "medeni lonec", je ta vloga včasih obrnjena.

Medtem ko lonec z medom lahko spomni na podobo Winnieja Pooha, ki se prepusti velikanski kadi medu, ima v svetu kibernetske varnosti drugačen prizvok.

Toda kaj pravzaprav je honeypot in kako pomaga ublažiti kibernetske napade? Ali obstajajo različne vrste medenih lončkov in ali imajo tudi nekatere dejavnike tveganja? Pa ugotovimo.

Kaj je Honeypot?

Honeypot je tehnologija prevare, ki jo uporabljajo varnostne ekipe, da namerno ujamejo akterje grožnje. Kot sestavni del sistema za obveščanje in odkrivanje groženj, medeni lonec deluje s simulacijo kritične infrastrukture, storitve in konfiguracije, tako da lahko napadalci komunicirajo s temi lažnimi IT sredstva.

Honeypots so običajno nameščeni poleg proizvodnih sistemov, ki jih organizacija že uporablja in so lahko a dragoceno sredstvo pri spoznavanju več o obnašanju napadalcev ter orodjih in taktikah, ki jih uporabljajo za zagotavljanje varnosti napadi.

Ali lahko Honeypot pomaga ublažiti kibernetske napade?

Honeypot privabi zlonamerne tarče v sistem tako, da namerno pusti del omrežja odprt za akterje grožnje. To omogoča organizacijam, da izvedejo kibernetski napad v nadzorovanem okolju, da ocenijo morebitne ranljivosti v svojem sistemu.

Končni cilj honeypot je izboljšati varnostno držo organizacije z uporabo prilagodljive varnosti. Če je pravilno konfiguriran, lahko honeypot pomaga zbrati naslednje informacije:

• Izvor napada
• Obnašanje napadalca in njegova raven spretnosti
• Informacije o najbolj ranljivih ciljih v omrežju
• Tehnike in taktike, ki jih uporabljajo napadalci
• Učinkovitost obstoječih politik kibernetske varnosti pri blažitvi podobnih napadov

Velika prednost honeypota je, da lahko kateri koli datotečni strežnik, usmerjevalnik ali računalniški vir v omrežju pretvorite v enega. Poleg zbiranja obveščevalnih podatkov o kršitvah varnosti lahko medeni lonec zmanjša tudi tveganje lažnih pozitivnih rezultatov, saj pritegne le prave kibernetske kriminalce.

Različne vrste medenih lončkov

Honeypots so na voljo v različnih oblikah, odvisno od vrste uvajanja. Nekaj ​​od teh smo našteli spodaj.

Honeypots po namenu

Mede so večinoma razvrščene po namenu, kot je proizvodni medovnik ali raziskovalni medovnik.

Produkcija Honeypot: Produkcijski honeypot je najpogostejša vrsta in se uporablja za zbiranje obveščevalnih informacij o kibernetskih napadih v proizvodnem omrežju. Produkcijski honeypot lahko zbira atribute, kot so naslovi IP, poskusi zlorabe podatkov, datumi, promet in obseg.

Medtem ko je produkcijske mede enostavne za načrtovanje in uporabo, ne morejo zagotoviti sofisticirane inteligence, za razliko od svojih raziskovalnih kolegov. Zato jih večinoma zaposlujejo v zasebnih podjetjih in celo v uglednih osebnostih, kot so zvezdnice in politične osebnosti.

Raziskovalni Honeypot: Bolj zapletena vrsta medenice, raziskovalni honeypot, je narejen za zbiranje informacij o posebnih metodah in taktikah, ki jih uporabljajo napadalci. Uporablja se tudi za odkrivanje potencialnih ranljivosti, ki obstajajo v sistemu v zvezi s taktiko, ki jo uporabljajo napadalci.

Raziskovalne mede večinoma uporabljajo vladni subjekti, obveščevalna skupnost in raziskovalne organizacije za oceno varnostnega tveganja organizacije.

Honeypots po ravneh interakcije

Honeypots lahko razvrstimo tudi po atributih. To preprosto pomeni dodelitev vabe na podlagi njene stopnje interakcije.

Honeypots z visoko interakcijo: Ti medeni lonci ne vsebujejo preveč podatkov. Niso zasnovani tako, da posnemajo celovit produkcijski sistem, vendar izvajajo vse storitve, ki bi jih produkcijski sistem izvajal – na primer popolnoma delujoč OS. Te vrste medovnikov omogočajo varnostnim ekipam, da v realnem času vidijo dejanja in strategije vsiljivih napadalcev.

Honeypots z visoko interakcijo običajno zahtevajo veliko virov. To lahko predstavlja izzive pri vzdrževanju, vendar je vpogled, ki ga ponujajo, vreden truda.

Honeypots z nizko interakcijo: Ti medeni lonci so večinoma nameščeni v proizvodnih okoljih. Ker delujejo na omejenem številu storitev, služijo kot točke zgodnjega odkrivanja za varnostne ekipe. Honeypots z nizko interakcijo večinoma mirujejo in čakajo, da se zgodi nekaj dejavnosti, da vas lahko opozorijo.

Ker ti medeni lonci nimajo popolnoma funkcionalnih storitev, kibernetskim napadalcem ne preostane veliko. Vendar pa so dokaj enostavni za uporabo. Tipičen primer medenice z nizko interakcijo bi bil avtomatizirani boti ki iščejo ranljivosti v internetnem prometu, kot so boti SSH, avtomatizirane brutalne sile in boti za preverjanje vnosa.

Honeypots po vrsti dejavnosti

Honeypots lahko razvrstimo tudi glede na vrsto dejavnosti, o katerih sklepajo.

Honeypots zlonamerne programske opreme: Včasih napadalci poskušajo okužiti odprte in ranljive sisteme tako, da na njih gostijo vzorec zlonamerne programske opreme. Ker IP-naslovi ranljivih sistemov niso na seznamu groženj, je napadalcem lažje gostiti zlonamerno programsko opremo.

Na primer, honeypot se lahko uporablja za posnemanje pomnilniške naprave z univerzalnim serijskim vodilom (USB). Če je računalnik napaden, honeypot preslepi zlonamerno programsko opremo, da napade simulirani USB. To varnostnim skupinam omogoča, da od napadalcev pridobijo ogromne količine novih vzorcev zlonamerne programske opreme.

Spam Honeypots: Ti medeni lonci z uporabo privabljajo pošiljatelje neželene pošte odprti proxyji in poštni releji. Uporabljajo se za zbiranje informacij o novi neželeni pošti in vsiljeni e-pošti, saj pošiljatelji neželene pošte izvajajo teste poštnih relejev tako, da jih uporabljajo za pošiljanje e-pošte sebi.

Če pošiljatelji neželene pošte uspešno pošljejo velike količine neželene pošte, lahko honeypot identificira test pošiljatelja neželene pošte in ga blokira. Vse lažne odprte releje SMTP je mogoče uporabiti kot zbirko neželene pošte, saj lahko zagotovijo znanje o trenutnih trendih neželene pošte in ugotovijo, kdo uporablja rele SMTP organizacije za pošiljanje neželene e-pošte.

Honeypots strank: Kot pove že ime, odjemalski honeypots posnemajo kritične dele strankinega okolja za pomoč pri bolj ciljno usmerjenih napadih. Čeprav se za te vrste medovnikov ne uporabljajo brani podatki, lahko vsak lažni gostitelj naredi podoben zakonitemu.

Dober primer odjemalskega honeypota bi bila uporaba podatkov, ki jih je mogoče natisniti s prsti, kot so informacije o operacijskem sistemu, odprta vrata in izvajane storitve.

Pri uporabi Honeypot bodite previdni

Z vsemi svojimi čudovitimi prednostmi ima medeni lonec potencial, ki ga je mogoče izkoristiti. Medtem ko nizka interakcija honeypot morda ne predstavlja nikakršnega varnostnega tveganja, lahko honeypot z visoko interakcijo včasih postane tvegan poskus.

Honeypot, ki deluje v resničnem operacijskem sistemu s storitvami in programi, je lahko zapleten za uvajanje in lahko nenamerno poveča tveganje zunanjega vdora. To je zato, ker če je honeypot napačno konfiguriran, lahko na koncu nevede omogočite dostop hekerjem do vaših občutljivih podatkov.

Poleg tega so kibernetski napadalci iz dneva v dan bolj pametni in lahko iščejo slabo konfigurirane medovnice, da bi ugrabili povezane sisteme. Preden se lotite uporabe medenega lonca, ne pozabite, da bolj ko je medeni lonec, manjše je tveganje.

Kaj je napad brez klikov in zakaj je tako nevaren?

Ker zahteva »nič« uporabniško interakcijo, nobeni varnostni ukrepi ali pazljivost ne morejo odvrniti napada brez klikov. Raziščimo naprej.

Preberite Naprej

O avtorju