เทคโนโลยีลวงผู้โจมตี

เทคโนโลยีลวงจะวางทรัพยากร ข้อมูลรับรอง และข้อมูลปลอมไว้ทั่วเครือข่าย เพื่อล่อให้ผู้โจมตีเปิดเผยตัว การโต้ตอบกับระบบล่อใด ๆ ถือว่าน่าสงสัยตามนิยาม เพราะผู้ใช้ที่ถูกต้องไม่มีเหตุผลจะเข้าไปยุ่งเกี่ยวกับสิ่งนั้น

การป้องกันแบบดั้งเดิมพยายามกันผู้โจมตีไม่ให้เข้ามา เทคโนโลยีลวงตั้งสมมติฐานว่าผู้โจมตีบางส่วนจะเข้ามาได้ แล้วเปลี่ยนสภาพแวดล้อมให้เป็นฝ่ายต่อต้านผู้โจมตี:

• ระบบล่อทำให้ผู้โจมตีเสียเวลาและความพยายาม
• การโต้ตอบทุกครั้งเป็นการแจ้งเตือนที่เชื่อมั่นได้สูง
• ผู้ป้องกันจะได้เรียนรู้เทคนิคของผู้โจมตี

ระบบล่อคือระบบปลอมเพียงระบบเดียวที่ออกแบบมาให้ถูกตรวจสอบหรือโจมตี ระบบนี้ไม่มีวัตถุประสงค์เพื่อใช้งานจริง ดังนั้นการเชื่อมต่อใด ๆ จึงบ่งชี้การลาดตระเวนหรือการถูกเจาะระบบ

เครือข่ายล่อคือเครือข่ายของระบบล่อหลายระบบที่จำลองสภาพแวดล้อมสมจริง พร้อมทั้งเซิร์ฟเวอร์ บริการ และการรับส่งข้อมูล เครือข่ายนี้ใช้ศึกษาการเคลื่อนที่ของผู้โจมตีข้ามระบบ ไม่ใช่เพียงการโต้ตอบกับจุดเดียว

ข้อมูลล่อคือข้อมูลปลอม ไม่ใช่ระบบ เช่น ข้อมูลรับรองปลอม ระเบียนฐานข้อมูลลวง หรือกุญแจส่วนต่อประสานโปรแกรมประยุกต์ที่ติดตามได้ หากมีการใช้งานสิ่งเหล่านี้ คุณจะทราบว่ามีผู้เข้าถึงข้อมูลที่ไม่ควรเข้าถึง

โทเค็นส่งสัญญาณคือตัวกระตุ้นที่ฝังไว้ เช่น เอกสารพิเศษ ที่อยู่เว็บ หรือชื่อ DNS ซึ่งจะติดต่อกลับมายังระบบต้นทางเมื่อถูกเปิด ควรวางสิ่งเหล่านี้ไว้ในโฟลเดอร์สำคัญ ผู้โจมตีที่เรียกดูพื้นที่แชร์จะทำให้สัญญาณเตือนทำงาน

เครื่องมือรักษาความปลอดภัยส่วนใหญ่ทำให้ทีมได้รับการแจ้งเตือนและผลบวกลวงมากเกินไป เทคโนโลยีลวงกลับสถานการณ์นี้ได้ เพราะแทบไม่มีเหตุผลที่ถูกต้องให้ใครโต้ตอบกับระบบล่อ ดังนั้นการแจ้งเตือนจึงมี ความเที่ยงตรงสูงและควรค่าแก่การตรวจสอบ

หลังจากได้จุดยึดเริ่มต้นแล้ว ผู้โจมตีจะเคลื่อนที่ด้านข้างเพื่อค้นหาเป้าหมายที่มีคุณค่า ระบบล่อที่วางไว้ตามเส้นทางที่คาดว่าจะใช้ (เช่น พื้นที่แชร์ของผู้ดูแลระบบปลอมและชื่อโฮสต์ที่น่าดึงดูด) จะตรวจจับการเคลื่อนที่นี้ได้ตั้งแต่เนิ่น ๆ ซึ่งมักเกิดขึ้นก่อนผู้โจมตีจะเข้าถึงทรัพยากรจริง

ระบบล่อต้องแยกออกจากระบบจริงอย่างชัดเจน เพื่อไม่ให้รบกวนการดำเนินธุรกิจ แต่ต้องสมจริงเพียงพอที่จะหลอกผู้โจมตีได้ เทคโนโลยีลวงที่ดีจะกลมกลืนกับสภาพแวดล้อมด้วยการตั้งชื่อและการจัดวาง พร้อมทั้งแยกออกอย่างสมบูรณ์และมีการเฝ้าติดตาม

เทคโนโลยีลวงทำให้เกิดคำถามหลายประการ:

• การล่อให้กระทำความผิดโดยทั่วไปไม่ใช่ประเด็นที่น่ากังวล เพราะคุณกำลังปกป้องเครือข่ายของตนเอง แต่การล่อในลักษณะนี้ยังเป็นพื้นที่สีเทาในเขตอำนาจศาลบางแห่ง
• ห้ามใช้ระบบล่อเพื่อโจมตีกลับ
• จัดทำเอกสารโครงการและให้ฝ่ายกฎหมายมีส่วนร่วม

เทคโนโลยีลวงเป็นชั้นการตรวจจับและรวบรวมข่าวกรอง ไม่ใช่สิ่งทดแทนการป้องกัน ควรใช้ร่วมกับไฟร์วอลล์ EDR และการเฝ้าติดตาม จุดแข็งของเทคโนโลยีนี้คือการจับผู้โจมตีที่หลบเลี่ยงมาตรการควบคุมอื่นมาได้แล้ว

ระบุแนวคิดเทคโนโลยีลวงที่ถูกต้อง

เทคโนโลยีลวงเปลี่ยนเครือข่ายให้เป็นฝ่ายต่อต้านผู้โจมตี:

• ระบบล่อคือระบบปลอม ส่วนเครือข่ายล่อคือเครือข่ายปลอม
• ข้อมูลล่อและโทเค็นส่งสัญญาณคือข้อมูลปลอมที่แจ้งเตือนเมื่อมีผู้เข้าไปยุ่งเกี่ยว
• การโต้ตอบกับระบบล่อทำให้เกิดการแจ้งเตือนที่มีความเที่ยงตรงสูง
• ใช้เทคโนโลยีลวงเป็นชั้นการตรวจจับควบคู่ไปกับการป้องกัน