Technologia deception

Technologia wabików umieszcza w sieci fałszywe zasoby, dane uwierzytelniające i dane, aby zwabić atakujących i skłonić ich do ujawnienia swojej obecności. Każda interakcja z wabikiem jest z definicji podejrzana, ponieważ uprawnieni użytkownicy nie mają powodu, aby z niego korzystać.

Tradycyjne mechanizmy ochrony próbują nie dopuścić atakujących do środowiska. Technologia wabików zakłada, że niektórzy z nich zdołają się dostać do środka, i obraca środowisko przeciwko nim:

• Wabiki marnują czas i wysiłek atakującego.
• Każda interakcja generuje alert o wysokiej wiarygodności.
• Obrońcy poznają techniki stosowane przez atakującego.

Honeypot to pojedynczy system-wabik zaprojektowany tak, aby był sondowany lub atakowany. Nie pełni żadnej funkcji produkcyjnej, dlatego każde połączenie sygnalizuje rozpoznanie lub przejęcie systemu.

Honeynet to sieć wielu honeypotów, która imituje realistyczne środowisko, wraz z serwerami, usługami i ruchem sieciowym. Służy do badania przemieszczania się atakującego między systemami, a nie tylko jego pojedynczej interakcji.

Honeytoken to fałszywe dane, a nie system: fikcyjne dane uwierzytelniające, wabik w postaci rekordu bazy danych lub śledzony klucz API. Jeśli kiedykolwiek zostanie użyty, wiadomo, że ktoś uzyskał dostęp do danych, do których nie powinien mieć dostępu.

Tokeny kanarkowe to wbudowane wyzwalacze: specjalny dokument, adres URL lub nazwa DNS, które po otwarciu wysyłają sygnał do systemu monitorującego. Umieść je w folderach zawierających wrażliwe dane, a atakujący przeglądający udział uruchomi alarm.

Większość narzędzi bezpieczeństwa zalewa zespoły alertami i fałszywymi alarmami. Technologia wabików odwraca tę sytuację: prawie nie ma uzasadnionego powodu, aby wchodzić w interakcję z wabikiem, dlatego generowane przez niego alerty są wysoce wiarygodne i warto je analizować.

Po uzyskaniu początkowego przyczółka atakujący przemieszczają się w poprzek sieci, aby znaleźć wartościowe cele. Wabiki umieszczone na prawdopodobnych ścieżkach (fałszywe udziały administratorów, atrakcyjne nazwy hostów) wcześnie wykrywają ten ruch, często zanim atakujący dotrze do rzeczywistych zasobów.

Wabiki muszą być wyraźnie oddzielone od rzeczywistych systemów, aby nigdy nie zakłócały działalności firmy, a jednocześnie wystarczająco realistyczne, by zmylić atakujących. Dobre wabiki wtapiają się w środowisko dzięki nazwom i rozmieszczeniu, a jednocześnie są całkowicie odizolowane i monitorowane.

Technologia wabików rodzi następujące pytania:

• Prowokacja zasadniczo nie stanowi problemu, ponieważ chronisz własną sieć, ale wabienie może być w niektórych jurysdykcjach kwestią sporną.
• Nigdy nie używaj wabików do kontrataku.
• Udokumentuj program i zaangażuj dział prawny.

Technologia wabików stanowi warstwę wykrywania i rozpoznania, a nie zastępstwo dla prewencji. Łącz ją z zaporami sieciowymi, EDR i monitorowaniem. Jej siła polega na wykrywaniu atakujących, którzy zdołali już ominąć inne mechanizmy kontroli.

Rozpoznaj właściwe pojęcie związane z technologią wabików.

Technologia wabików obraca sieć przeciwko atakującym:

• Honeypoty to systemy-wabiki, a honeynety to sieci-wabiki.
• Honeytokeny i tokeny kanarkowe to dane-wabiki, które generują alert po użyciu.
• Interakcja z wabikami generuje alerty o wysokiej wiarygodności.
• Stosuj technologię wabików jako warstwę wykrywania obok mechanizmów prewencji.