Развёртывание ловушек

Развёртывание приманок начинается с чёткой цели: обнаруживать вторжения, собирать разведывательную информацию или замедлять атакующих. Цель определяет выбранные тип, размещение и средства наблюдения. Приманки без плана создают лишний шум и повышают риск.

Расположение определяет, что именно вы обнаружите:

• Внешняя сеть / DMZ: обнаруживает сканирование из интернета и неизбирательные атаки.
• Внутренняя сеть: выявляет боковое перемещение и действия внутренних нарушителей — наиболее ценный сигнал.

Внутренние приманки рядом с важными ресурсами часто дают самые ценные оповещения.

Убедительная приманка не выделяется среди других систем:

• Реалистичные имена узлов и диапазоны IP.
• Правдоподобные открытые порты и баннеры.
• Манящее, но поддельное содержимое (административная общая папка, база данных).

Очевидные ловушки обнаруживают только самых неподготовленных атакующих.

Приманки необходимо сегментировать, чтобы взлом не мог распространиться дальше. Используйте отдельные виртуальные локальные сети или подсети и контролируйте исходящий трафик, чтобы приманку нельзя было использовать для атаки на реальные системы или третьих лиц.

Помимо систем, размещайте маркеры-приманки:

• Поддельные учётные данные в конфигурационных файлах и менеджерах паролей.
• Документы-маяки в общих файловых ресурсах.
• Строки-приманки в базах данных.

Для них не нужна инфраструктура, и они мгновенно оповещают о неправомерном использовании.

Приманка полезна только тогда, когда её действия фиксируются и становятся видимыми. Перенаправляйте все журналы приманок в SIEM и настраивайте оповещения с высоким приоритетом, поскольку по замыслу любое взаимодействие с приманкой подозрительно.

Приманки обнаруживают атаки, но не предотвращают их. Если приманка бездействует, это не означает, что вы в безопасности: атакующий мог просто обойти её. Рассматривайте приманки как один из сигналов, а не как доказательство защищённости.

Приманки устаревают. Поддерживайте их реалистичность и актуальность:

• Регулярно меняйте содержимое и учётные данные.
• Устанавливайте исправления для инструментов эмуляции.
• Проверяйте, что приманки по-прежнему доступны и регистрируют события.

Устаревшие или неисправные приманки легко распознать по характерным признакам.

Худший результат — когда приманку с высоким уровнем взаимодействия используют как плацдарм для атак на другие системы. Планируйте действия на случай сбоя:

• Ограничивайте частоту исходящего трафика и контролируйте его.
• Создавайте снимок для анализа, а затем заново разворачивайте чистую систему.
• Предусмотрите аварийный механизм изоляции.

Современные платформы киберобмана автоматически разворачивают и обслуживают множество приманок, обновляя их и имитируя реальную среду в больших масштабах. Благодаря этому приманки остаются правдоподобными без ручного обслуживания каждого узла.

Оценивайте программу по результатам:

• Сгенерированные оповещения с высокой точностью.
• Атаки, обнаруженные раньше, чем другими инструментами.
• Собранная разведывательная информация о методах атак.

Настраивайте размещение и содержимое на основе фактических срабатываний.

Примените рекомендации по развёртыванию.

Развёртывание приманок требует планирования и изоляции:

• Размещайте приманки, часто во внутренней сети, чтобы обнаруживать боковое перемещение.
• Делайте их правдоподобными, но изолируйте от сети.
• Размещайте маркеры-приманки для дешёвых и мгновенных оповещений.
• Перенаправляйте журналы в SIEM, обслуживайте приманки и контролируйте исходящий трафик.