ประเภทของ Honeypot

ระบบล่อจัดประเภทได้สองแนวทางหลัก ได้แก่ ตาม ระดับการโต้ตอบ (ผู้โจมตีทำอะไรได้มากน้อยเพียงใด) และตาม วัตถุประสงค์ (การวิจัยเทียบกับการใช้งานจริง) การเลือกประเภทที่เหมาะสมเป็นการสร้างสมดุลระหว่างข้อมูลเชิงลึก ความเสี่ยง และความพยายามที่ต้องใช้

ระบบล่อแบบ โต้ตอบต่ำจะจำลองบริการเพียงไม่กี่รายการและการตอบสนองที่จำกัด ระบบประเภทนี้มีค่าใช้จ่ายต่ำ ปลอดภัย และติดตั้งได้ง่าย แต่ผู้โจมตีที่มีความชำนาญอาจตรวจพบการจำลองได้อย่างรวดเร็ว

• เหมาะสำหรับตรวจจับการสแกนอัตโนมัติและโปรแกรมหนอน
• มีความเสี่ยงถูกเจาะระบบต่ำ

ระบบล่อแบบ โต้ตอบสูงคือระบบจริงหรือระบบที่จำลองอย่างสมบูรณ์ ซึ่งผู้โจมตีสามารถโต้ตอบได้อย่างลึกซึ้ง ระบบนี้ให้ข้อมูลข่าวกรองเชิงลึกเกี่ยวกับเครื่องมือและเทคนิคต่าง ๆ แต่มีความเสี่ยงและค่าใช้จ่ายในการบำรุงรักษาสูงกว่า

• เก็บลำดับการโจมตีทั้งหมด
• ต้องจำกัดขอบเขตอย่างเข้มงวด เพื่อไม่ให้กลายเป็นฐานปล่อยการโจมตี

ฮันนีพอตบางส่วนอยู่ตรงกลาง โดยจำลองพฤติกรรมที่ซับซ้อนกว่าระบบการโต้ตอบระดับต่ำ แต่ไม่เปิดเผย OS เต็มรูปแบบ ฮันนีพอตเหล่านี้มุ่งให้ดูสมจริงยิ่งขึ้น พร้อมจำกัดขอบเขตความเสียหายหากผู้โจมตีพยายามโจมตีอย่างหนัก

แบ่งตามวัตถุประสงค์:

• ฮันนีพอตสำหรับระบบใช้งานจริงจะอยู่ภายในสภาพแวดล้อมที่ใช้งานจริง เพื่อตรวจจับและชะลอการโจมตีจริง
• ฮันนีพอตเพื่อการวิจัยถูกใช้งานเพื่อศึกษาภัยคุกคามและรวบรวมข่าวกรอง โดยผู้วิจัยด้านความปลอดภัยมักเป็นผู้ดำเนินการ

ฮันนีพอตสำหรับการโต้ตอบระดับต่ำที่พบได้ทั่วไปจะจำลองบริการเฉพาะอย่าง

• ตัวจำลอง SSH/เทลเน็ตจะบันทึกความพยายามเข้าสู่ระบบและคำสั่ง
• เซิร์ฟเวอร์เว็บปลอมจะบันทึกความพยายามใช้ประโยชน์จากช่องโหว่

ฮันนีพอตสำหรับการโต้ตอบระดับสูงอาจเป็น VM เต็มรูปแบบที่มี OS และแอปพลิเคชันจริง ติดตั้งเครื่องมือเฝ้าระวังอย่างละเอียดและแยกออกจากเครือข่าย เพื่อให้ผู้ป้องกันสามารถเฝ้าดูผู้โจมตีปฏิบัติการได้เสมือนว่ากำลังอยู่บนเป้าหมายจริง

ระดับการโต้ตอบสัมพันธ์โดยตรงกับความเสี่ยง:

• ระดับต่ำ: เรียนรู้ได้น้อย และมีสิ่งให้สูญเสียน้อย
• ระดับสูง: ได้ข้อมูลมาก แต่เป็นระบบจริงที่อาจถูกนำไปใช้ในทางที่ผิดหากการกักกันล้มเหลว

เลือกประเภทให้เหมาะกับทักษะและระดับความเสี่ยงที่ยอมรับได้

ผู้โจมตีจะตรวจหาฮันนีพอต เช่น ตรวจสอบจังหวะเวลา ไฟล์ที่หายไป และการตอบสนองที่ไม่สมจริง ตัวลวงที่มีการโต้ตอบระดับต่ำจะระบุลักษณะเฉพาะได้ง่ายกว่า ส่วนตัวลวงที่มีการโต้ตอบระดับสูงจะตรวจพบได้ยากกว่า แต่ดูแลให้สมจริงได้ยากกว่าเช่นกัน

ยิ่งมีการโต้ตอบสูง ก็ยิ่งต้องมีการกักกันที่เข้มงวดมากขึ้น:

• แบ่งแยกเครือข่ายออกจากระบบใช้งานจริง
• ควบคุมการรับส่งข้อมูลขาออก เพื่อไม่ให้ตัวลวงโจมตีผู้อื่นได้
• เฝ้าติดตามอย่างต่อเนื่องและสร้างภาพสำเนาสถานะเพื่อการวิเคราะห์

เลือกตามเป้าหมาย:

• ต้องการการตรวจจับที่ครอบคลุมและต้นทุนต่ำใช่หรือไม่ ให้ใช้ฮันนีพอตสำหรับระบบใช้งานจริงที่มีการโต้ตอบระดับต่ำ
• ต้องการข่าวกรองภัยคุกคามเชิงลึกและมีทรัพยากรพร้อมใช่หรือไม่ ให้ใช้ฮันนีพอตเพื่อการวิจัยที่มีการโต้ตอบระดับสูง
• บ่อยครั้ง การผสมผสานทั้งสองแบบจะให้ทั้งความครอบคลุมและความลึก

จับคู่ระดับการโต้ตอบกับผลลัพธ์

ฮันนีพอตมีความแตกต่างกันตามระดับการโต้ตอบและวัตถุประสงค์:

• การโต้ตอบระดับต่ำ: ปลอดภัย ต้นทุนต่ำ และให้ข้อมูลเชิงลึกจำกัด
• การโต้ตอบระดับสูง: ได้ข้อมูลมาก แต่มีความเสี่ยงและภาระการดูแลสูงกว่า
• ฮันนีพอตสำหรับระบบใช้งานจริงมีหน้าที่ตรวจจับ ส่วนฮันนีพอตเพื่อการวิจัยมีหน้าที่ศึกษา
• เลือกประเภทให้เหมาะกับเป้าหมาย ทักษะ และความสามารถในการกักกัน