Giriş: Neden Honeypots Modern Siber Güvenlikte Önemli

Her organizasyon, günlük siber tehditlerin bir barpanağı ile karşı karşıyadır, otomatik tarayıcılardan sofistike hedefli saldırılara kadar.Demokrat algılama sistemleri gibi geleneksel savunmalar doğa tarafından reaktifdir - bilinen imzalara veya davranışsal temellere güveniyorlar. Honeypots senaryoyu geri çevirirler.Sadece saldırıları engellemeleri yerine, her hareketi etkili bir şekilde incelenebilirken, balpots siber güvenlikleri proaktif bir istihbarat toplama operasyonuna dönüştürür.

Bu kılavuz, balpots'ı stratejik olarak nasıl dağıtabilecekleri, topladıkları verileri nasıl analiz edileceği ve değerli bir kesintiye neden olabilecek ortak tuzaklardan nasıl kaçınılacağını araştırıyor. Hedef sadece saldırganın araçlarını, tekniklerini ve nedenlerini anlamak için değil - doğrudan genel güvenlik duruşunuzu güçlendiren bilgileri analiz ediyor.

Bir Honeypot Nedir? Derin bir Bak

Onun özünde, bir balpot kasıtlı olarak savunmasız bir sistem veya hizmet saldırganları çekmek için bir ağa yerleştirilen bir hizmettir. Bu basit bir varlık olarak görünür - sunucu, veritabanı veya uygulama - ancak izole edilir ve yakından takip edilir.Bir balpot ile herhangi bir etkileşim tanım tarafından şüphelidir, çünkü meşru kullanıcı ona erişilmemelidir.

Konsept 1990'ların başlarında, Clifford Stoll gibi öncülerle, savunma hackerları için dekoy dosyalarının kullanımını belgeledi.Bugün, balpots, tüm ağları, hizmetleri ve hatta işletim sistemlerini taklit edebilecek sofistike platformlara dönüştü.(0) Araştırma).

Eleştirel olarak, iyi tasarlanmış bir balpot, geleneksel güvenlik araçlarına zarar veren gürültüyü azaltır. Bir balpot'tan gelen her uyarı gerçek bir tehdittir, dramatik olarak yanlış pozitifleri kesti ve güvenlik ekiplerinin hangi konulara odaklanmasına izin verir.

Honeypots türleri: Sophisticated

Doğru balpot türünü seçmek, hedeflerinize bağlıdır - derinlikte saldırganları çalışmak veya sadece reconnaissa aktiviteye uyarı vermek istersiniz. Honeypots, bir etkileşim seviyesi yelpazesi boyunca düşer, her biri kendi ticaret-offs ile.

Low-Interaction Honeypots

Düşük tepki balpots sadece bir avuç hizmeti taklit eder - SSH, HTTP veya FTP gibi - hafif senaryolar veya emülatörler kullanarak, düşük riskli ve analiz için daha az veri üretirler. Ancak, yetenekli saldırgan saldırganlar, hızlı bir şekilde kanalize edilebilirler. Tools like="FLT:0).Honeyd”) veya Dionae)

Orta-Stactal Honeypots

Orta-interaction balpots, gerçek bir işletim sistemi ile ilgili zengin bir dizi sunar ve saldırganlarla daha büyük bir dereceye kadar etkileşime girebilirler.(web uygulama veya balpot) veFLT:2) Proje Honeynet tarafından düşük-interaction sistemlerden daha fazla istihbarat sunar.

Yüksek Etkileşimli Honeypots

Yüksek aksiyon balpotları gerçek işletim sistemleri, hizmetleri ve uygulamaları yönetiyor. Saldırıcının her adımını öldürmesine izin veriyor - daha sonra hareket ve veri exfiltrasyonunu yakalamak için ilk erişimden.

Özelleştirilmiş Honeypot Variants

Etkileşim ölçeğinin ötesinde, balpotlar belirli tehdit vektörlerine göre tanımlanabilir:

  • [FONT=0)Database balpots[[Dönetici: 1 ) (e.g., Natasha veya MongoDB emülatörleri) SQL enjeksiyonu girişimleri ve kriminal şeyler yakalamaya çalışır.
  • [FONT:0]Client balpots[[Dönetici: 1 ) Webi aktif olarak kötü niyetli web siteleri tespit etmek veya indirmeleri izlemek için web'i göz ardı etmek.
  • [FONT/SCADA balpots[[Dönetici:0], Conpot) endüstriyel kontrol sistemleri taklit eden saldırganları eleştirel altyapı hedef alan.
  • [FONT:0]Honeynets[DÜDÜT:1] – tam bir işletme ortamı simüle eden birden fazla balpot ağı.

Her bir değişken farklı saldırı yüzeyleri ile ilgili eşsiz bir istihbarat sağlar.

Honeypot Deployments'in Faydaları ve Riskleri

Balpots dağıtmadan önce, hem avantajları hem de potansiyel alt yönleri anlamak önemlidir.

Anahtar Faydaları

  • [FONT:0]Early uyarı:[Dönemli:[Dönemli:[Dönemli) Honeypots, imza tabanlı savunmalar tetikten önce yeni saldırıları ve sıfır günlük istismarları tespit edebilir.
  • [FONT:0] Sahte pozitifleri ortaya koydu:[Dönetici:[Dönetici: 1 ) Bir balpot için herhangi bir trafik doğal olarak kötü niyetlidir, bu yüzden uyarılar temizdir.
  • [FONT:0]Threat istihbaratı:[Dönetici:[Dönetici: 1 ) Yakalanan ücret yükleri, komutlar ve yazılım örnekleri daha geniş güvenlik topluluğu ile paylaşılabilir.
  • [FONT:0)Attacker dikkat:[Dönetici:[Dönetici: 0,4] Honeypots atık saldırganların zaman ve kaynakları, onları gerçek varlıklardan uzak tutarken.
  • [FONT:0] Saldırıcı TTPs'lere göre: Tüm mülkler boyunca savunmaları iyileştirmeye yardımcı olan araçları ve taktikleri göze alır.

Riskler ve Davalar

  • [FONT:0]Lateral hareket:[Dönemli değilse, uzlaşmacı bir balpot gerçek sistemlere önemli bir nokta olabilir. Mitigation: sıkı ağ segmentasyon, VLANs ve ingress/egress filtreleme.
  • [FONT:0) Hukuki maruz kalma:[Döneticiler üçüncü taraf kimliklerini içeren saldırganlardan verileri toplayabilir veya yasadışı faaliyetlere katılmak için yasal danışmanla birlikte çalış.
  • [FONT:0)Kaynak:[Dönetici:0) Yüksek hareketli balpotlar, küçük bir takım varsa düşük-interaction ile başlayın.
  • [FONT:0)Attacker farkındalığı:[[Döneticileri): Sophisticated adversaries bir balpot ve sahte verileri tanımlayabilir veya yanlış savunucuları yanlış şekilde güncelleştirmek için balpotlar güncel inşa eder.

Etkili Honeypot Deployment için en iyi uygulamalar

Bir strateji olmadan bir balpot çalışmak, onu izlemeden bir tuzak kurmak gibidir. Bu yönergeleri en üst değere ve en aza indirmek için takip edin.

Stratejik Yerment

Saldırıcıların muhtemelen proba sahip olduğu balpotlar: RDP veya VPN gibi maruz kalan hizmetlere veya yüksek değerli verileri içeren iç segmentlere yakın olarak, internet çapında taramaları ve iç balpotları yakalamak için dış görünüşün (daha sonra ihlal edilen “canary jetonlar” olarak adlandırılır).

Stratejik konum örnekleri:

  • Aynı altnet'te, hedeflenen web saldırılarını yakalamak için üretim web sunucuları olarak.
  • Kullanılmamış IP aralıkları ağ yenidenkonnaissance tespit etmek için.
  • Yakın finansal veritabanı veya HR sistemleri, kriedential-based saldırıları tuzağa düşürecektir.

izolasyon ve Segmentasyon

Asla bir balpot üretim sistemleri ile iletişim kurmanıza izin vermeyin.Devrim dışı trafik için tüm kurallar ve sadece sınırlı olan ağ geçidi, balpotları ayrı fiziksel veya sanal bir geçişte tutmayı düşünün.

Deception Teknikleri

Balpot gerçek görünüyor.Kullanımsız hostnameler, açık limanlar ve hatta sahte kullanıcı hesaplarını zayıf şifrelerle eşleştirin. Tohum gerçek görünümlü ama bogus belgeleri gömülü takip (örneğin, 03.05.2012) ile gömülü bir Apache 1.3.

İzleme ve Uyarı

Sürekli izleme, herhangi bir etkileşim için balpot verilerini diğer loglarla ilişkilendirecek bir güvenlik Bilgileri ve Event Yönetimi (SIEM) sistemi kurmak için uyarılar oluşturun - tek bir SYN paketi veya tam bir seans gibi. Tools likeUVT:0)ELK Stack).Splunk) Düzenli olarak balpot olayları için uyarılar oluşturabilir ve görselize edebilir.

Bakım ve Güncellemeler

Honeypots, herhangi bir üretim sistemi gibi bakımlara ihtiyaç duyar. Sahte kimlikler, yenilenen hizmetler ve saldırganların balpot'u devralmak için kullanabileceğiniz yama açıklarına ihtiyaç duyar. Düşük-interaction balpotlar için, bu minimum; yüksek-interaction için, bir olaydan sonra hızlı geri dönmelerine izin vermek için düzenli anlık görüntüler.

Honeypots'tan veri analiz etmek: Gürültüyü Zekaya Dönüştürmek

Bir balpot'un gerçek değeri tek başına tespit edilmez, ancak yakalanan verilerin analizinde her etkileşim saldırgan metodolojileri, araçları ve hedefleri ortaya çıkarabilir bir veri noktasıdır. İşte en fazla bilgi nasıl elde edeceğinizdir.

Kayıt ve Açıklama Data

Her şeyi yakalayın: zamantamps, kaynak IPs, protokolleri, komutlar, yükleme dosyaları, anahtarstrokes ve hatta seans süresi. Bu verileri bir formatta queried –CSV, JSON veya doğrudan bir veritabanına alın. Standart alanlardan oluşmaktadır:

  • [0]Zaman ve süresi).
  • [FONT=0) Kaynak IP ve port).
  • [FONT:0)Destination port and service).
  • [0]Tam paket yakalama (PCAP)).
  • [FONT:0]Commands veya istekler).

Otomatik senaryolar, akrandan gelen araçlardan parse logları kullanın:0)Dionaea) veya ).Kippo) ve onları merkezi bir analiz platformuna besleme.

Saldırı Vectors Tanımlama

Ortak desenlere bakın: SSH veya RDP üzerinde yapılan baskı girişimleri, web sunucuları üzerinde dizinleme veya savunmasız eklentilerin sömürülmesi. Birden fazla balpot olayıyla, saldırganın tarama davranışını haritalayabilirsiniz ve tercih edilen hedefler. Örneğin, port 445 (SMB) hakkında birkaç balpot rapor soruşturması yayınlar yayınlarsanız, bu, gizemli tarzı saldırı dalgası gösterebilir.

Takip Saldırısı Davranış

Yüksek tepki balpots burada parlıyor. Bir saldırganın erişimden sonra nasıl hareket ettiğini izleyin: hangi komutlar çalışır? Bilinen kötü niyetli domainlerden araçları indirmek için mi?Demokratlama veya yükseltme ayrıcalıklarını devre dışı bırakmak için mi kullanılır? Bu davranışsal veriler üretim sistemleri için algılama kuralları oluşturmak için kullanılabilir (örneğin, olağandışı PowerShell execution veya wget calls).

Malware Örnekleri Getirmek

Honeypots genellikle yazılımları binerler, senaryolar veya PowerShell ödeme yüklerini kritik bir istihbarat olarak ele alır (örneğin, kumbox'ta yer alır).

Güvenlik Protokollerini Genişletmek

Analizler doğrudan savunma stratejinize kullanılmalıdır. Bir balpot, saldırganların bir hizmetin belirli bir versiyonunu kullanmasına izin verirse, çevrenizdeki bu hizmetle ilgili olarak verilen cevaplara ek olarak, bu şifreyi blok listelerinize ekleyin.

Daha derin bir balpot veri analizine atfedin, [[0)SANS'ın beyaz kağıdını analiz etmek için ).

Yasal ve Etik Bakışlar

Honeypots, siber güvenlik yasası alanında faaliyet göstermektedir. Çünkü saldırganları çekmek için tasarlanmıştır, masum üçüncü taraflardan veya yasadışı faaliyetlerden verileri zorlayabilirsiniz. Key düşünceler şunları içerir:

  • [FONT:0]Konsent ve bildirim:[Döneticiler içinde, onay olmadan izleme yasadışıdır.Görüntüdeki balpot uyarısını göster - bu aynı zamanda yasal defenabilitesi oluşturmaya yardımcı olur.
  • [FONT:0]Privacy yasaları:[Dönetici:[Dönetici:0)Dönetici olmayan bilgi (PII) saldırganlar tarafından bu tür verileri kayıt yaptırırsanız, GDPR, CCPA veya benzer düzenlemelere göre idare etmeniz gerekir.
  • [FONT:0)Entrapment:[Dönetici:[Dönetici: 0)) Honeypots, sadece bir fırsat sunmuyorlar; onlar coerce teşvik etmek konusunda dikkatli değiller.
  • [FONT:0)Liability:[Dönetici:[Dönetici:0) Bir saldırgan üçüncü bir tarafa saldırmak için balpotlarınızı kullanırsa, yasal soruları karşılayabilirsiniz.

Balpots dağıtmadan önce yasal danışmana danışın, özellikle yüksek-interaction olanlar, uyum sağlamak için.TheurFLT:0)NIST Guide to Honeypot Deployment) faydalı bir çerçeve sağlar.

Gerçek Dünya Örnekleri ve Dersler Öğrenildi

Honeypots, büyük siber kampanyaları ortaya çıkarmak için araç kullanıyor. 2018'de güvenlik araştırmacıları, balpots'in yükselişini takip etmek için balpots kullandı:0)Mirai botnet).

Önemli bir ders: saldırganlar nadiren beklenen gibi davranırlar. Birçok durumda, balpot'a vuran otomatik senaryolar kullanırlar ve saniyeler içinde bir ücret yükü dağıtır. Bu, otomatik analiz hatlarının ihtiyacı güçlendirir -birbirbirbirbir başka ders, her seansın paylaşımının değeri değildir: platformlar gibi platformlar.

Balpotları bir tabakalı savunmanın bir parçası olarak dağıtan örgütler genellikle sadece SIEM veya EDR'ye güvenen ihlallerin tespit edilmesini rapor ederler. Örneğin, finansal bir kurum, bir temel bankacılık sistemi üzerinde bir balpot tutabilir; herhangi bir erişim anında bayraklanır, sık sık sık gün veya haftalar.

Sonuç: Bir İstihbarat Motoru Olarak Honeypots

Honeypots siber güvenlik için gümüş bir mermi değil, ancak yüksek değerli tehdit istihbaratı düşük yanlış pozitif oranlarla sağlamakta oldukça etkilidirler. Doğru etkileşim seviyesinde, stratejik yerlerde, titiz izleme ve analiz ile - doğrudan savunma operasyonlarınıza yönelik erken uyarı sistemi olarak hareket ederler.

Anahtar küçük başlamaktır. • Düşük seviyeli bir IP üzerinde düşük tepki balpot, bir ay boyunca izlemek ve verileri incelemek. oradan, yavaş yavaş orta veya yüksek-interaction sistemlere takımınızın güven kazandığı gibi genişletin. Pair honeypot verilerinizi diğer tehdit istihbarat kaynaklarıyla birlikte kullanın ve sürekli olarak gözlemlediğiniz şeylere dayanarak analiz edin.

Cyber saldırıları giderek sofistike bir çağda, balpots size saldırganın oyun kitabına bir pencere veriyor. savunmalarınızı güçlendirmek ve tehdit manzarasının önünde kalmak için akıllıca kullanın.

Daha fazla okuma için bakınız:[DÜT:0) - [[Üyetim: Cybereason: Honeypots 101
) - [[Üye Olmayanlar İçin[DÜye Olmayanlar İçindekiler İçin[DÜye Olmayanlar İçin)