Tipi di honeypot

Gli honeypot vengono classificati principalmente in due modi: in base al livello di interazione (quanto può fare un attaccante) e in base allo scopo (ricerca o produzione). La scelta del tipo corretto bilancia la quantità di informazioni ottenute con il rischio e l'impegno richiesto.

Un honeypot a bassa interazione emula solo alcuni servizi e fornisce risposte limitate. È economico, sicuro e facile da implementare, ma un attaccante esperto può rilevare rapidamente l'emulazione.

• È adatto a intercettare scansioni automatizzate e worm.
• Il rischio di compromissione è minimo.

Un honeypot ad alta interazione è un sistema reale o completamente simulato con cui l'attaccante può interagire in profondità. Fornisce informazioni dettagliate su strumenti e tecniche, ma comporta un rischio e costi di manutenzione maggiori.

• Acquisisce le catene d'attacco complete.
• Deve essere isolato rigorosamente per evitare che diventi una piattaforma di lancio.

Alcuni honeypot si collocano nel mezzo: emulano un comportamento più ricco rispetto ai sistemi a bassa interazione senza esporre un sistema operativo completo. Mirano a un maggiore realismo, limitando al contempo l'impatto potenziale nel caso in cui un attaccante forzi l'interazione.

In base allo scopo:

• Gli honeypot di produzione si trovano nell'ambiente operativo per rilevare e rallentare gli attacchi reali.
• Gli honeypot di ricerca vengono utilizzati per studiare le minacce e raccogliere informazioni, spesso da parte di ricercatori di sicurezza.

Gli honeypot comuni a bassa interazione emulano servizi specifici.

• Un emulatore SSH/telnet registra i tentativi di accesso e i comandi.
• Un server Web fittizio registra i tentativi di sfruttamento.

Un honeypot ad alta interazione potrebbe essere una VM completa con un sistema operativo e applicazioni reali, dotata di un monitoraggio approfondito e isolata dalla rete, così che i difensori possano osservare l'attaccante all'opera come se si trovasse su un vero obiettivo.

Il livello di interazione corrisponde direttamente al rischio:

• Basso: poco da imparare, poco da perdere.
• Alto: dati ricchi, ma anche un sistema reale che potrebbe essere utilizzato impropriamente se il contenimento fallisse.

Abbini il tipo alle proprie competenze e alla propria tolleranza al rischio.

Gli attaccanti cercano di individuare gli honeypot (controllando la tempistica, i file mancanti e le risposte poco realistiche). Le esche a bassa interazione sono più facili da identificare; quelle ad alta interazione sono più difficili da individuare, ma anche più difficili da mantenere credibili.

Maggiore è l'interazione, più solido deve essere il contenimento:

• Segmentazione della rete per tenere l'esca lontana dall'ambiente di produzione.
• Controllo del traffico in uscita affinché l'esca non possa attaccare altri sistemi.
• Monitoraggio continuo e snapshot per l'analisi.

Scelga in base agli obiettivi:

• Le serve un rilevamento economico e ad ampio spettro? Honeypot di produzione a bassa interazione.
• Ha bisogno di threat intelligence approfondita e dispone delle risorse necessarie? Honeypot di ricerca ad alta interazione.
• Spesso, una combinazione offre sia ampiezza sia profondità.

Abbini il livello di interazione al risultato.

Gli honeypot variano per livello di interazione e scopo:

• A bassa interazione: sicuri, economici, con informazioni limitate.
• Ad alta interazione: dati ricchi, ma rischi e manutenzione maggiori.
• Gli honeypot di produzione rilevano; quelli di ricerca studiano.
• Abbini il tipo agli obiettivi, alle competenze e alla capacità di contenimento.