Типы ловушек

Ловушки-приманки классифицируют по двум основным признакам: уровню взаимодействия (что именно может делать злоумышленник) и назначению (исследовательское или рабочее). Выбор подходящего типа позволяет сбалансировать объем получаемой информации, риски и затраты усилий.

Ловушка-приманка с низким уровнем взаимодействия имитирует лишь несколько сервисов и предоставляет ограниченные ответы. Она недорога, безопасна и проста в развертывании, но опытный злоумышленник может быстро обнаружить имитацию.

• Подходит для обнаружения автоматизированного сканирования и сетевых червей.
• Минимальный риск компрометации.

Ловушка-приманка с высоким уровнем взаимодействия — это настоящая или полностью имитированная система, с которой злоумышленник может глубоко взаимодействовать. Она предоставляет ценные сведения о средствах и методах атак, но сопряжена с более высоким риском и затратами на обслуживание.

• Фиксирует полные цепочки атак.
• Должна быть надежно изолирована, чтобы не превратиться в плацдарм для атак.

Некоторые приманки занимают промежуточное положение: они имитируют более сложное поведение, чем системы с низким уровнем взаимодействия, но не предоставляют полноценную OS. Их цель — повысить реалистичность и одновременно ограничить масштаб последствий, если атакующий начнёт активно действовать.

По назначению:

• Производственные приманки размещают в рабочей среде, чтобы обнаруживать реальные атаки и замедлять их.
• Исследовательские приманки запускают для изучения угроз и сбора разведывательной информации, часто силами специалистов по безопасности.

Обычные приманки с низким уровнем взаимодействия имитируют определённые службы.

• Эмулятор SSH/телнета регистрирует попытки входа и команды.
• Поддельный веб-сервер фиксирует попытки эксплуатации уязвимостей.

Приманкой с высоким уровнем взаимодействия может быть полноценная VM с настоящей OS и приложениями, оснащённая средствами подробного наблюдения и изолированная от сети, чтобы специалисты по защите могли наблюдать за действиями атакующего так, будто он работает на настоящей цели.

Уровень взаимодействия напрямую связан с риском:

• Низкий: мало информации для изучения и мало возможностей для ущерба.
• Высокий: много ценных данных, но это настоящая система, которую можно использовать во вред при нарушении изоляции.

Выбирайте тип с учётом своих навыков и допустимого уровня риска.

Атакующие проверяют приманки: анализируют временные характеристики, ищут отсутствующие файлы и нереалистичные ответы. Приманки с низким уровнем взаимодействия проще распознать по характерным признакам; приманки с высоким уровнем взаимодействия сложнее обнаружить, но труднее убедительно поддерживать.

Чем выше уровень взаимодействия, тем надёжнее должна быть изоляция:

• Сегментация сети с отделением от рабочей среды.
• Контроль исходящего трафика, чтобы приманка не могла атаковать другие системы.
• Непрерывное наблюдение и создание снимков состояния для анализа.

Выбирайте тип исходя из целей:

• Нужно недорогое широкое обнаружение? Используйте производственные приманки с низким уровнем взаимодействия.
• Нужна глубокая разведывательная информация об угрозах и есть необходимые ресурсы? Используйте исследовательские приманки с высоким уровнем взаимодействия.
• Часто сочетание обоих типов обеспечивает и широкий охват, и глубокий анализ.

Соотнесите уровень взаимодействия с результатом.

Приманки различаются по уровню взаимодействия и назначению:

• Низкий уровень взаимодействия: безопасно, дёшево, но ограниченная информативность.
• Высокий уровень взаимодействия: много ценных данных, но выше риск и затраты на обслуживание.
• Производственные приманки обнаруживают атаки, а исследовательские изучают их.
• Выбирайте тип с учётом целей, навыков и возможностей изоляции.