Jenis Honeypot

Sistem umpan diklasifikasikan dengan dua cara utama: berdasarkan tingkat interaksi (seberapa banyak yang dapat dilakukan penyerang) dan berdasarkan tujuan (riset atau produksi). Pemilihan jenis yang tepat menyeimbangkan wawasan dengan risiko dan upaya.

Sistem umpan dengan interaksi rendah hanya meniru beberapa layanan dan memberikan respons terbatas. Sistem ini murah, aman, dan mudah diterapkan, tetapi penyerang berpengalaman mungkin dapat mendeteksi peniruan tersebut dengan cepat.

• Baik untuk menangkap pemindaian otomatis dan cacing komputer.
• Risiko pengambilalihan minimal.

Sistem umpan dengan interaksi tinggi adalah sistem nyata atau sistem yang disimulasikan sepenuhnya dan dapat digunakan penyerang untuk berinteraksi secara mendalam. Sistem ini menghasilkan informasi intelijen mendalam tentang alat dan teknik, tetapi memiliki risiko serta biaya pemeliharaan yang lebih tinggi.

• Merekam rangkaian serangan lengkap.
• Harus diisolasi dengan ketat agar tidak menjadi landasan peluncuran serangan.

Beberapa perangkap madu berada di antara keduanya: perangkap ini meniru perilaku yang lebih kaya daripada sistem interaksi rendah tanpa mengekspos OS secara penuh. Tujuannya adalah mencapai realisme yang lebih baik sekaligus membatasi cakupan dampak jika penyerang melakukan serangan secara agresif.

Berdasarkan tujuan:

• Perangkap madu produksi ditempatkan di dalam lingkungan aktif untuk mendeteksi dan memperlambat serangan nyata.
• Perangkap madu penelitian dijalankan untuk mempelajari ancaman dan mengumpulkan intelijen, sering kali oleh peneliti keamanan.

Perangkap madu interaksi rendah yang umum meniru layanan tertentu.

• Emulator SSH dan akses terminal jarak jauh mencatat upaya masuk dan perintah.
• Server web palsu mencatat upaya eksploitasi.

Perangkap madu interaksi tinggi dapat berupa VM lengkap dengan OS dan aplikasi nyata, dilengkapi instrumentasi secara menyeluruh serta diisolasi dari jaringan, sehingga pembela dapat mengamati penyerang beroperasi seolah-olah pada target asli.

Tingkat interaksi berbanding langsung dengan risiko:

• Rendah: sedikit yang dapat dipelajari, sedikit pula yang dapat hilang.
• Tinggi: data yang kaya, tetapi berupa sistem nyata yang dapat disalahgunakan jika pembatasan gagal.

Sesuaikan jenisnya dengan keterampilan dan toleransi risiko Anda.

Penyerang menyelidiki perangkap madu dengan memeriksa waktu respons, berkas yang hilang, dan respons yang tidak realistis. Umpan interaksi rendah lebih mudah dikenali cirinya; umpan interaksi tinggi lebih sulit ditemukan, tetapi lebih sulit dipelihara agar tetap meyakinkan.

Semakin tinggi interaksi, semakin kuat pembatasan yang diperlukan:

• Segmentasi jaringan yang memisahkannya dari lingkungan produksi.
• Kontrol lalu lintas keluar agar umpan tidak dapat menyerang pihak lain.
• Pemantauan berkelanjutan dan salinan keadaan untuk analisis.

Pilih berdasarkan tujuan:

• Membutuhkan deteksi yang murah dan luas? Gunakan perangkap madu produksi dengan interaksi rendah.
• Membutuhkan intelijen ancaman yang mendalam dan memiliki sumber daya? Gunakan perangkap madu penelitian dengan interaksi tinggi.
• Sering kali, perpaduan keduanya memberikan cakupan luas sekaligus kedalaman.

Sesuaikan tingkat interaksi dengan hasil.

Perangkap madu berbeda-beda berdasarkan interaksi dan tujuannya:

• Interaksi rendah: aman, murah, tetapi wawasannya terbatas.
• Interaksi tinggi: data kaya, tetapi risiko dan pemeliharaannya lebih tinggi.
• Perangkap madu produksi mendeteksi; perangkap madu penelitian mempelajari.
• Sesuaikan jenisnya dengan tujuan, keterampilan, dan kemampuan pembatasan.