Технології обману у кібербезпеці
November 14, 2022
Технології обману у кібербезпеці – це набори інструментів, які пропонують функціональні можливості для того, щоб обманом змусити хакерів скомпрометувати себе. За допомогою цих комплектів можна створити штучне середовище, яке привабить хакерів, розкриваючи їхні методи проникнення, кроки після початкового злому та цілі в мережі. Технології обману в кібербезпеці є ідеологічними спадкоємцями приманок (англ. honeypot), які використовують більш автоматизоване та спеціалізоване програмне забезпечення.
Яка різниця між технологіями обману та приманками?
Приманки служать для тих самих цілей - приманювання зловмисників і відстеження їхньої діяльності в атакованому середовищі. Таким чином, безпекові спеціалісти можуть дізнатися більше про інструменти, за допомогою яких їхню компанію збираються атакувати, як хакер проникає у мережу, і які кроки він робить після проникнення тощо. У поодиноких випадках за допомогою приманок вдавалося скомпрометувати самого хакера або принаймні отримати інформацію, яка може бути цінною для кіберполіції.
Однак раніше не було спеціалізованого програмного забезпечення для створення приманок. Більшість таких пасток встановлювалися і досі встановлюються вручну, використовуючи програми, які вже наявні в мережі, або стороннє ПЗ, яке підходить за параметрами. Це робить приманки незручними, особливо коли команда кібербезпеківців прагне зібрати якомога більше інформації з цих пасток. Інша проблема полягає в тому, що використання неспеціалізованого програмного забезпечення пов’язане з ризиком. Ви можете ненавмисно розкрити факти, які не повинні бути доступні хакеру, який потрапив у пастку. Крім того, якщо ви недостатньо досвідчені або уважні, ви можете залишити хакерам можливість просунутися до вашої мережі.
Технологічні рішення для обману пропонують спеціалізоване програмне забезпечення для створення та підтримки приманок. Вони уже містять усе необхідне для автоматизації цих дій та створення максимально безпечного середовища. Ця автоматизація дозволяє легко масштабувати сітку пасток. Після інтеграції у рішення SIEM, які працюють у мережі, технологія обману стає ідеальним постачальником інформації для проактивного відстежування та відбиття атак.
Важливість технологій обману в кібербезпеці
Як зловмисне програмне забезпечення, так і способи його розповсюдженнязавжди розвивалися достатньо швидко, щоб випередити розробку антишкідного програмного забезпечення. Ця вічна гонка – аналітики зловмисного ПЗ за його розробниками – сьогодні триває з набагато вищими темпами. Бути в курсі нових векторів атак і підходів до проникнення у мережу стало ще важливішим, оскільки нові небезпеки з’являються ледь не щодня. Просте розгортання рішення для захисту від шкідливих програм і дотримання основних правил кібербезпеки є ефективним для поточного захисту. Тим не менш, такий підхід не навчить вашу команду кібербезпеки діям у разі виникнення загрози.
Корпоративна безпека — це не просто натискання на кнопку «видалити знайдені загрози» після їх виявлення антишкідливим ПЗ. Звичайно, рішення безпеки здатні автоматично виявляти та видаляти загрози, але це ще не кінець. Щоб ефективно захистити середовище, команда безпеки повинна не просто видалити шкідливий елемент, але й заблокувати шлях його проникнення всередину та зробити кроки всередині мережі неможливими для інших зловмисників.
Технології обману у кібербезпеці можуть виявити точку зламу та проаналізувати поведінку без будь-яких втрат для корпорації. Звичайно, наступна атака, швидше за все, матиме інший шлях, але ви будете знати про одну зі своїх слабких сторін і зможете усунути їх усі одну за одною. Коли ви нічого не втрачаєте, можна повторювати цю «вправу» скільки завгодно разів, підвищуючи навички команди кібербезпеки та ефективно виявляючи порушення. Технології обману можуть створити манекен для хакерів, який буде максимально реалістичним.
Як працюють технології обману?
Як було зазначено, ключовим моментом як приманок, так і технологій обману в цілому є змусити хакера діяти всередині штучного середовища, як ніби він діє всередині зламаної мережі. Хакери рідко бувають настільки необачні, щоб почати дії без огляду на те, куди вони проникли. Деякі погано встановлені пастки на основі віртуальних машин можна виявити, просто відкривши диспетчер задач і знайшовши процес, пов’язаний із віртуалізацією ЦП. Після виявлення такої поганої приманки шахраї зазвичай роблять всілякі капості, наприклад, заповнюють приманку образливими записками та огидними картинками або залишають zip-бомбу перед від’єднанням.
Отже, як бачите, однією з ключових функцій технології обману є мистецтво маскування пастки. У певний момент хакери, швидше за все, зрозуміють, що діяли в штучному середовищі. Головне питання в тому, скільки дій вони зроблять, перш ніж розкриють пастку. Кожен крок, який вони виконують на скомпрометованій машині, буде записаний, проаналізований, і врешті-решт використаний для посилення корпоративного захисту.
Іншою важливою частиною функціональних можливостей технології обману є захист середовища, у яке збираються проникнути. Давши хакеру шанс, ви не повинні давати йому можливості йти далі. Буде дуже неприємно, коли шахраю вдасться зробити подальше просування - з пастки в справжню мережу. Крім того, важливо розміщувати інформацію, яка не дуже важлива для компанії, але може привабити шахраїв.
Коли пастка встановлена, ви повинні дочекатися, поки хакери почнуть атаку. Якщо їх створити за допомогою належного програмного забезпечення, вони виглядатимуть як простіша та очевидніша ціль – відкрита кінцева точка чи комп’ютер секретаря. Для хакерів не є раціональним шукати більш складну точку входу, особливо якщо вона не виглядає підозріло легкою для доступу.
Налаштування пастки за допомогою технологій обману приносить багато корисної інформації для покращення кібербезпеки та навчання команди. Зазвичай приманки встановлюються таким чином, щоб нормальні користувачі не могли до них під'єднатися. Таким чином, усі зовнішні підключення до підроблених систем прирівнюються до зловмисних, тому інформація про це підключення стане чудовим доповненням до нетфільтру. Окрім IP-адреси, команда з кібербезпеки також може бачити деяку інформацію про пристрій і операційну систему, які використовує шахрай. Але, звісно, головна частина інформації, яка є найціннішим результатом будь-якої системи обману, — це кроки, які хакери роблять усередині мережі.
Як використовуються технології обману?
Ми обговорювали загальні випадки використання приманки без деталізації кінцевої мети. Однак ефективність, роль і навіть інформація, яку надає система обману, відрізняються залежно від вибраної форми приманки. Більшість програмних рішень пропонують такі форми приманки, як загальнодоступні ресурси, мережеві елементи та кінцеві точки. Давайте розглянемо, чим відрізняються ці варіації манок.
Загальнодоступні ресурси – це частини мережі, доступні широкій громадськості. Кожен може підключитися та переглянути їх вміст. При цьому вони завжди отримують певну кількість шкідливого трафіку, який досить важко відфільтрувати. Такі приманки можна налаштувати так, аби вони були помітні лише під час сканування мережі за допомогою спеціальних інструментів. При цьому, вони будуть недоступні для звичайних користувачів. Такі манекени приваблюють зловмисників разом із звичайними активами, тому адміністратори безпеки можуть заборонити IP-адресам, підключеним до приманки, підключатися до будь-яких інших елементів у мережі. Така технологія обману ефективна проти DDoS-атак і спроб брутфорсу.
Елементи мережі – робочі станції, локальні мережі та пристрої Інтернету речей – зазвичай є проміжними цілями будь-якої кібератаки. Перш ніж перейти до кінцевої точки, хакери намагаються заразити якомога більше машин всередині корпорації. Приманка серед них, ймовірно, буде найлегшою мішенню, яка виглядає як очевидна початкова точка для хакерів. Оскільки звичайні користувачі не зможуть отримати доступ до машини-приманки, будь-які дії та стани цієї машини, що відрізняються від стандартних, вважаються ознаками компрометації. Подібний обман чудово збирає інформацію про методи зловмисників і може діяти як раннє попередження про кібератаку.
Приманки у вигляді кінцевих точок зустрічаються рідко, і їх найважче правильно налаштувати, оскільки вони розташовані глибше в мережі, ніж усі інші типи пасток. По-перше, це підвищений ризик прориву в звичайну мережу або виявлення пастки. Той факт, що хакеру вдалося дістатися до кінцевої точки, уже означає, що ви зробили щось не так, або ж те, що ваша приманка більш високого рівня спрацювала ідеально. Такі пастки повинні бути пов’язані з мережевим елементом-приманкою. В іншому випадку досягання такої глибини означає, що ваша мережа зкомпрометована. Пастки-кінцеві точки, налаштовані за допомогою системи обману, дають змогу побачити цілі зловмисника, а також виявляють програмне забезпечення, яке воно використовує на останньому етапі кібератаки.
Чи потрібне використання технології обману в моїй компанії?
Майже кожна компанія щотижня стикається з інцидентами кібербезпеки. Хоча це можуть бути лише DDoS-атаки на загальнодоступні ресурси, або брутфорс панелі керування, одного разу атака може прийняти незвичайний вектор. Щоб уповільнити або зовсім заплутати шахраїв, краще мати приманку, яка може відвернути їх увагу. Якщо вони атакують ці пастки першими, ви отримаєте попередження про можливу атаку і, що більш важливо, інформацію про методи проникнення, використане програмне забезпечення та можливі цілі. Для середніх і великих компаній технології обману є важливими для боротьби із загрозами та вдосконалення систем безпеки.
Однак технології обману у кібербезпеці не є ультимативними та мають свої недоліки. Якщо використовувати їх самостійно, вони все одно вимагають високих навичок персоналу, оскільки вони повинні вручну аналізувати всі дані, що надходять з приманок. Більшість програмних рішень для обману зазвичай використовують системи SIEM і SOAR, які можуть автоматично аналізувати дані та пропонувати відповідні дії. Інший, більш класичний вид програмного забезпечення безпеки - варіанти EDR або XDR - також рекомендовано до використання, оскільки ви ніколи не знаєте, чи є приманка першою ціллю. Щоб забезпечити безпеку середовища та можливість одночасно застосувати зміни до всієї мережі, усі ці програмні рішення мають працювати разом. Тим не менш, це досить дорого і тому недоступно для невеликих компаній.
Використання технології обману настійно рекомендується середнім і великим компаніям, які мають як кваліфікований персонал, так і програмне забезпечення безпеки, яке збиратиме інформацію. Незважаючи на те, що ця система також корисна для невеликих компаній, її обслуговування може бути занадто дорогим.