Rodzaje honeypotów

Honeypoty klasyfikuje się na dwa główne sposoby: według poziomu interakcji (zakresu działań dostępnych atakującemu) oraz według przeznaczenia (badawcze lub produkcyjne). Wybór właściwego typu pozwala zachować równowagę między wartością uzyskanych informacji a ryzykiem i nakładem pracy.

Honeypot o niskim poziomie interakcji emuluje tylko kilka usług i zapewnia ograniczone odpowiedzi. Jest tani, bezpieczny i łatwy do wdrożenia, ale doświadczony atakujący może szybko wykryć emulację.

• Dobrze sprawdza się przy wykrywaniu automatycznych skanów i robaków.
• Minimalne ryzyko przejęcia.

Honeypot o wysokim poziomie interakcji to rzeczywisty lub w pełni symulowany system, z którym atakujący może prowadzić szeroką interakcję. Dostarcza szczegółowych informacji o narzędziach i technikach, ale wiąże się z większym ryzykiem i wyższymi kosztami utrzymania.

• Rejestruje pełne łańcuchy ataku.
• Musi być ściśle odizolowany, aby nie stać się punktem wyjścia do kolejnych ataków.

Niektóre honeypoty plasują się pośrodku: emulują bogatsze zachowanie niż systemy o niskim poziomie interakcji, nie udostępniając jednak pełnego systemu operacyjnego. Ich celem jest większy realizm przy jednoczesnym ograniczeniu zasięgu szkód, gdy atakujący podejmie intensywne działania.

Według przeznaczenia:

• Produkcyjne honeypoty znajdują się w działającym środowisku, aby wykrywać rzeczywiste ataki i je spowalniać.
• Badawcze honeypoty uruchamia się w celu badania zagrożeń i gromadzenia informacji, często przez badaczy bezpieczeństwa.

Typowe honeypoty o niskim poziomie interakcji emulują określone usługi.

• Emulator SSH/telnet rejestruje próby logowania i polecenia.
• Fałszywy serwer WWW rejestruje próby wykorzystania luk.

Honeypot o wysokim poziomie interakcji może być pełną maszyną wirtualną z rzeczywistym systemem operacyjnym i aplikacjami, wyposażoną w rozbudowane mechanizmy monitorowania i odizolowaną sieciowo, aby obrońcy mogli obserwować działania atakującego tak, jakby pracował na prawdziwym celu.

Poziom interakcji bezpośrednio przekłada się na ryzyko:

• Niski: niewiele można się dowiedzieć, niewiele można stracić.
• Wysoki: bogate dane, ale także rzeczywisty system, który może zostać wykorzystany, jeśli izolacja zawiedzie.

Należy dopasować typ do posiadanych umiejętności i akceptowalnego poziomu ryzyka.

Atakujący sprawdzają, czy mają do czynienia z honeypotami (analizując czasy odpowiedzi, brakujące pliki i nierealistyczne odpowiedzi). Przynęty o niskim poziomie interakcji łatwiej rozpoznać na podstawie charakterystycznych cech, natomiast te o wysokim poziomie interakcji trudniej wykryć, ale trudniej też wiarygodnie utrzymywać.

Im wyższy poziom interakcji, tym silniejsza musi być izolacja:

• Segmentacja sieci oddzielająca honeypot od środowiska produkcyjnego.
• Kontrola ruchu wychodzącego, aby przynęta nie mogła atakować innych systemów.
• Ciągłe monitorowanie i migawki na potrzeby analizy.

Wyboru należy dokonać na podstawie celów:

• Potrzebna jest tania detekcja o szerokim zakresie? Produkcyjne honeypoty o niskim poziomie interakcji.
• Potrzebne są szczegółowe informacje o zagrożeniach i dostępne są odpowiednie zasoby? Badawcze honeypoty o wysokim poziomie interakcji.
• Często połączenie obu typów zapewnia zarówno szeroki zakres, jak i głębię analizy.

Należy dopasować poziom interakcji do rezultatu.

Honeypoty różnią się poziomem interakcji i przeznaczeniem:

• Niski poziom interakcji: bezpieczeństwo, niski koszt i ograniczony wgląd.
• Wysoki poziom interakcji: bogate dane, ale większe ryzyko i nakład utrzymania.
• Honeypoty produkcyjne wykrywają ataki, a badawcze służą do ich analizowania.
• Typ należy dopasować do celów, umiejętności i możliwości zapewnienia izolacji.