Tecnologia di deception

La tecnologia deception distribuisce risorse, credenziali e dati falsi nella rete per attirare gli attaccanti e indurli a rivelarsi. Qualsiasi interazione con un'esca è, per definizione, sospetta, perché gli utenti legittimi non hanno motivo di utilizzarla.

Le difese tradizionali cercano di tenere fuori gli attaccanti. La deception parte dal presupposto che alcuni riusciranno a entrare e trasforma l'ambiente in uno strumento contro di loro:

• Le esche fanno sprecare tempo e risorse all'attaccante.
• Ogni interazione genera un alert ad alta affidabilità.
• I difensori apprendono le tecniche dell'attaccante.

Un honeypot è un singolo sistema esca progettato per essere analizzato o attaccato. Non ha alcuna funzione in produzione, quindi ogni connessione segnala attività di ricognizione o una compromissione.

Una honeynet è una rete composta da più honeypot che imita un ambiente realistico, con server, servizi e traffico. Consente di studiare il movimento dell'attaccante tra i sistemi, non soltanto un singolo punto di contatto.

Un honeytoken è un dato falso, non un sistema: una credenziale fittizia, un record di database esca o una chiave API monitorata. Se viene utilizzato, saprete che qualcuno ha avuto accesso a dati che non avrebbe dovuto consultare.

I canary token sono trigger incorporati: un documento, un URL o un nome DNS speciale che contatta il sistema di monitoraggio quando viene aperto. Inseriteli nelle cartelle sensibili: un attaccante che esplora la condivisione farà scattare l'allarme.

La maggior parte degli strumenti di sicurezza sommerge i team di alert e falsi positivi. La deception rovescia la situazione: non c'è quasi mai un motivo legittimo per interagire con un'esca, quindi i relativi alert hanno un'elevata affidabilità e meritano di essere analizzati.

Dopo aver ottenuto un primo punto d'appoggio, gli attaccanti si spostano lateralmente per trovare obiettivi di valore. Le esche collocate lungo i percorsi probabili (condivisioni amministrative false, nomi host allettanti) intercettano questi movimenti in anticipo, spesso prima che vengano raggiunte le risorse reali.

Le esche devono essere chiaramente separate dai sistemi reali, così da non interrompere mai l'attività aziendale, ma anche abbastanza realistiche da ingannare gli attaccanti. Una buona deception si integra nell'ambiente tramite nomi e collocazione, pur rimanendo completamente isolata e monitorata.

La deception solleva alcune questioni:

• In genere l'adescamento non è una preoccupazione, poiché si difende la propria rete, ma in alcune giurisdizioni attirare deliberatamente un attaccante rientra in una zona grigia.
• Non utilizzate mai le esche per contrattaccare.
• Documentate il programma e coinvolgete l'ufficio legale.

La deception è un livello di rilevamento e intelligence, non un sostituto della prevenzione. Combinate la deception con firewall, EDR e monitoraggio. Il suo punto di forza è intercettare gli attaccanti che hanno già eluso altri controlli.

Individuate il concetto di deception corretto.

La tecnologia deception trasforma la rete in uno strumento contro gli attaccanti:

• Gli honeypot sono sistemi esca; le honeynet sono reti esca.
• Honeytoken e canary sono dati esca che generano alert quando vengono utilizzati.
• L'interazione con le esche produce alert ad alta affidabilità.
• Utilizzate la deception come livello di rilevamento insieme alla prevenzione.