Wdrażanie honeypotów

Rozpoczęcie wdrażania honeypotów wymaga jasno określonego celu: wykrywania włamań, gromadzenia informacji wywiadowczych lub spowalniania atakujących. Cel determinuje wybrany typ, lokalizację i monitorowanie. Przynęty bez planu zwiększają ilość szumu i ryzyko.

Lokalizacja określa, co zostanie wykryte:

• Zewnętrzna / DMZ: wykrywa skanowanie internetu i nieukierunkowane ataki.
• Wewnętrzna: wykrywa ruch boczny i działania osób mających dostęp do środowiska, co stanowi najbardziej wartościowy sygnał.

Wewnętrzne przynęty umieszczone w pobliżu wrażliwych zasobów często generują najwartościowsze alerty.

Przekonująca przynęta wtapia się w otoczenie:

• Wiarygodne nazwy hostów i zakresy adresów IP.
• Plausybilne otwarte porty i banery usług.
• Atrakcyjna, ale fałszywa zawartość (udział administracyjny, baza danych).

Oczywiste pułapki wykrywają tylko najmniej uważnych atakujących.

Honeypoty muszą być segmentowane, aby ich przejęcie nie pozwoliło na rozprzestrzenienie się ataku. Należy używać sieci VLAN lub oddzielnych podsieci i kontrolować ruch wychodzący, aby przynęta nigdy nie mogła zostać wykorzystana do atakowania rzeczywistych systemów ani stron trzecich.

Oprócz systemów należy rozmieścić honeytokeny:

• Fałszywe dane uwierzytelniające w plikach konfiguracyjnych i menedżerach haseł.
• Dokumenty sygnalizacyjne w udziałach plikowych.
• Wiersze-przynęty w bazach danych.

Nie wymagają one infrastruktury i natychmiast sygnalizują nadużycie.

Honeypot jest użyteczny tylko wtedy, gdy jego aktywność jest rejestrowana i odpowiednio prezentowana. Należy przekazywać wszystkie logi przynęt do systemu SIEM i konfigurować alerty o wysokim priorytecie, ponieważ z założenia każda interakcja jest podejrzana.

Honeypoty wykrywają, ale nie zapobiegają. Cichy honeypot nie oznacza, że środowisko jest bezpieczne — atakujący może go po prostu omijać. Należy traktować przynęty jako jeden z sygnałów, a nie jako dowód bezpieczeństwa.

Przynęty tracą aktualność. Należy dbać o ich realizm i aktualność:

• Regularnie zmieniać zawartość i dane uwierzytelniające.
• Aktualizować narzędzia emulacyjne.
• Sprawdzać, czy są nadal dostępne i rejestrują aktywność.

Nieaktualne lub uszkodzone honeypoty łatwo rozpoznać na podstawie charakterystycznych cech.

Najgorszym skutkiem byłoby wykorzystanie honeypota o wysokim poziomie interakcji jako punktu wyjścia do atakowania innych. Należy przygotować się na awarie:

• Ograniczać szybkość ruchu wychodzącego i go monitorować.
• Wykonać migawkę do analizy, a następnie odtworzyć system w czystej postaci.
• Zapewnić awaryjny wyłącznik izolacji.

Nowoczesne platformy deception automatycznie wdrażają i obsługują wiele przynęt, odświeżając je oraz imitując rzeczywiste środowisko na dużą skalę. Dzięki temu przynęty pozostają wiarygodne bez konieczności ręcznego utrzymywania każdego hosta.

Program należy oceniać na podstawie rezultatów:

• Wygenerowanych alertów o wysokiej jakości.
• Ataków wykrytych wcześniej niż przez inne narzędzia.
• Informacji o technikach zebranych w toku analizy.

Na podstawie tego, co rzeczywiście generuje alerty, należy dostosowywać lokalizację i zawartość.

Należy zastosować najlepsze praktyki wdrażania.

Wdrażanie honeypotów wymaga planowania i zapewnienia izolacji:

• Umieszczać przynęty, często wewnątrz sieci, aby wykrywać ruch boczny.
• Zapewnić im wiarygodny wygląd, ale odizolować je sieciowo.
• Rozmieszczać honeytokeny, aby tanio i natychmiast generować alerty.
• Przekazywać logi do systemu SIEM, utrzymywać przynęty i kontrolować ruch wychodzący.