Технологии обмана

Технология обмана размещает фиктивные ресурсы, учетные данные и данные в сети, чтобы заманить злоумышленников и выявить их присутствие. Любое взаимодействие с приманкой по определению подозрительно, поскольку у законных пользователей нет причин к ней обращаться.

Традиционные средства защиты стараются не допустить злоумышленников внутрь. Технология обмана исходит из того, что некоторым из них удастся проникнуть, и обращает среду против них:

• Приманки отнимают у злоумышленника время и силы.
• Каждое взаимодействие вызывает оповещение с высокой степенью достоверности.
• Защитники изучают методы злоумышленника.

Ловушка-приманка — это отдельная фиктивная система, предназначенная для исследования или атак. У нее нет рабочей функции, поэтому любое подключение свидетельствует о разведке или компрометации.

Сеть ловушек-приманок — это сеть из нескольких ловушек-приманок, имитирующая реалистичную среду с серверами, сервисами и трафиком. Она изучает перемещение злоумышленника между системами, а не только одно взаимодействие.

Токен-приманка — это фиктивные данные, а не система: поддельные учетные данные, запись-приманка в базе данных или отслеживаемый ключ API. Если ими когда-либо воспользуются, вы узнаете, что кто-то получил доступ к данным, к которым не должен был обращаться.

Токены-канарейки — это встроенные триггеры: специальный документ, веб-адрес или имя DNS, которые отправляют сигнал при открытии. Размещайте их в конфиденциальных папках: злоумышленник, просматривающий общий ресурс, активирует сигнал тревоги.

Большинство средств безопасности перегружает команды оповещениями и ложными срабатываниями. Технология обмана меняет ситуацию: почти не существует законных причин взаимодействовать с приманкой, поэтому ее оповещения отличаются высокой точностью и заслуживают проверки.

После первоначального проникновения злоумышленники перемещаются по сети, чтобы найти ценные цели. Приманки, размещенные на вероятных путях (поддельные общие ресурсы администраторов, привлекательные имена узлов), обнаруживают такое перемещение на раннем этапе — часто до достижения настоящих ресурсов.

Приманки должны быть четко отделены от настоящих систем, чтобы никогда не нарушать работу бизнеса, но при этом оставаться достаточно реалистичными для обмана злоумышленников. Хорошая технология обмана не выделяется именованием и размещением, но полностью изолирована и находится под мониторингом.

Технология обмана поднимает следующие вопросы:

• Провокация преступления обычно не вызывает опасений, поскольку вы защищаете собственную сеть, но в некоторых юрисдикциях заманивание остается неоднозначным вопросом.
• Никогда не используйте приманки для ответной атаки.
• Документируйте программу и привлекайте юридическую службу.

Технология обмана — это уровень обнаружения и сбора сведений, а не замена предотвращению атак. Сочетайте ее с межсетевыми экранами, EDR и мониторингом. Ее преимущество — обнаружение злоумышленников, которым уже удалось обойти другие средства контроля.

Определите подходящее понятие технологии обмана.

Технология обмана обращает сеть против злоумышленников:

• Ловушки-приманки — это фиктивные системы, а сети ловушек-приманок — фиктивные сети.
• Токены-приманки и токены-канарейки — это фиктивные данные, которые подают сигнал при обращении к ним.
• Взаимодействие с приманками вызывает оповещения с высокой степенью достоверности.
• Используйте технологию обмана как уровень обнаружения наряду с предотвращением атак.