Honeypot Dağıtımı

Bal küplerini dağıtmak, açık bir hedefle başlar: izinsiz girişleri saptamak, istihbarat toplamak veya saldırganları yavaşlatmak. Hedef, seçeceğiniz türü, konumu ve izlemeyi belirler. Plansız yemler gereksiz sinyaller ve risk üretir.

Konum neyi yakalayacağınızı belirler:

• Dış / DMZ: internet taramalarını ve hedef gözetmeyen saldırıları görür.
• Dahili: yatay hareketleri ve içeriden gelen tehditleri yakalar; bu, en değerli sinyaldir.

Hassas varlıkların yakınındaki dahili yemler çoğu zaman en iyi uyarıları üretir.

İnandırıcı bir yem ortama uyum sağlar:

• Gerçekçi ana bilgisayar adları ve IP aralıkları.
• Makul açık bağlantı noktaları ve hizmet tanıtım bilgileri.
• Cazip ama sahte içerik (yönetici paylaşımı, veritabanı).

Apaçık tuzaklar yalnızca en tembel saldırganları yakalar.

Bal küpleri, bir güvenlik ihlalinin yayılmasını önleyecek şekilde bölümlendirilmelidir. Sanal yerel ağları veya ayrı alt ağları kullanın ve yemin gerçek sistemlere ya da üçüncü taraflara saldırmak için hiçbir zaman kullanılamaması amacıyla dışarı giden trafiği denetleyin.

Sistemlerin ötesine geçerek bal belirteçleri serpiştirin:

• Yapılandırma dosyalarında ve parola yöneticilerinde sahte kimlik bilgileri.
• Dosya paylaşımlarında kanarya belgeleri.
• Veritabanlarında yem satırları.

Bunlar altyapı gerektirmez ve kötüye kullanımı anında bildirir.

Bir bal küpü, etkinliği yakalanıp görünür kılınırsa yararlıdır. Yem günlüklerinin tümünü bir SIEM sistemine yönlendirin ve yüksek öncelikli uyarılar yapılandırın; çünkü tasarım gereği her etkileşim şüphelidir.

Bal küpleri saptar; önlemez. Sessiz bir bal küpü güvende olduğunuz anlamına gelmez; saldırgan yalnızca ondan kaçınıyor olabilir. Yemleri tek bir sinyal olarak değerlendirin, güvenliğin kanıtı olarak değil.

Yemler zamanla eskir. Onları gerçekçi ve güncel tutun:

• İçeriği ve kimlik bilgilerini düzenli olarak değiştirin.
• Öykünme araçlarına yama uygulayın.
• Hâlâ erişilebilir olduklarını ve günlük kaydı yaptıklarını doğrulayın.

Güncelliğini yitirmiş veya bozuk bal küplerinin parmak izini çıkarmak kolaylaşır.

En kötü sonuç, yüksek etkileşimli bir bal küpünün başkalarına yönelik saldırılar için sıçrama tahtası olarak kullanılmasıdır. Hatalara hazırlıklı olun:

• Dışarı giden trafiğe hız sınırı uygulayın ve bu trafiği izleyin.
• Analiz için anlık görüntü alın, ardından sistemi temiz biçimde yeniden oluşturun.
• Yalıtım için bir acil durdurma anahtarı bulundurun.

Modern aldatma platformları birçok yemi otomatik olarak dağıtır ve yönetir; bunları yeniler, gerçek ortamı büyük ölçekte taklit eder. Böylece her ana bilgisayar için elle bakım yapmadan yemler inandırıcı kalır.

Programı sonuçlara göre değerlendirin:

• Üretilen yüksek doğruluklu uyarılar.
• Saldırıların diğer araçlardan daha önce saptanması.
• Teknikler hakkında toplanan istihbarat.

Konumu ve içeriği, gerçekte hangi uyarıların tetiklendiğine göre ayarlayın.

Bal küplerini dağıtmak planlama ve yalıtım gerektirir:

• Yatay hareketleri yakalamak için yemleri, çoğu zaman dahili konumlara yerleştirin.
• Onları inandırıcı kılın, ancak ağdan yalıtın.
• Ucuz ve anında uyarılar için bal belirteçleri serpiştirin.
• Günlükleri bir SIEM sistemine yönlendirin, yemlerin bakımını yapın ve dışarı giden trafiği denetleyin.