Que é un Honeypot?

Se conectas un ordenador á Internet aberta sen ningún tipo de filtro de tráfico entrante, normalmente comezará a recibir tráfico de ataque en cuestión de minutos. Tal é a escala de ataques automatizados e de dixitalización que ocorren constantemente en Internet. A gran maioría deste tipo de tráfico está completamente automatizado. Son só bots que exploran Internet e quizais proban algunhas cargas útiles aleatorias para ver se fan algo interesante.

Por suposto, se executas un servidor web ou calquera outra forma de servidor necesitas o teu servidor conectado a Internet. Dependendo do teu caso de uso, quizais poidas usar algo así como unha VPN para permitir o acceso só aos usuarios autorizados. Non obstante, se queres que o teu servidor sexa de acceso público, debes estar conectado a Internet. Como tal, o teu servidor vai afrontar ataques.

Pode parecer que basicamente tes que aceptar isto como par para o curso. Afortunadamente, hai algunhas cousas que podes facer.

Implementar un pote de mel

Un honeypot é unha ferramenta deseñada para atraer aos atacantes. Promete información suculenta ou vulnerabilidades que poderían levar a información, pero é só unha trampa. Un honeypot está configurado deliberadamente para atraer a un atacante. Hai algunhas variedades diferentes dependendo do que queiras facer.

Un honeypot de alta interacción é avanzado. É moi complexo e ofrece moitas cousas para manter ocupado o atacante. Estes úsanse principalmente para a investigación de seguridade. Permiten ao propietario ver como actúa un atacante en tempo real. Isto pódese usar para informar as defensas actuais ou incluso futuras. O obxectivo dun honeypot de alta interacción é manter o atacante ocupado o maior tempo posible e non regalar o xogo. Para iso, son complexos de configurar e manter.

Un honeypot de pouca interacción é basicamente unha trampa para colocar e esquecer. Normalmente son sinxelos e non están deseñados para ser usados ​​para investigacións ou análises profundas. Pola contra, os honeypots de pouca interacción están destinados a detectar que alguén está tentando facer algo que non debería e, a continuación, bloquealos por completo. Este tipo de honeypot é fácil de configurar e implementar, pero pode ser máis propenso a falsos positivos se non se planifica con coidado.

Un exemplo de honeypot de pouca interacción

Se tes un sitio web, unha funcionalidade coa que quizais esteas familiarizado é robots.txt. Robots.txt é un ficheiro de texto que pode colocar no directorio raíz dun servidor web. Como estándar, os bots, especialmente os rastrexadores para motores de busca, saben comprobar este ficheiro. Podes configuralo cunha lista de páxinas ou directorios que queres ou non queres que un bot rastrexe e indexe. Os bots lexítimos, como un rastrexador de buscadores, respectarán as instrucións deste ficheiro.

O formato adoita ser como "podes mirar estas páxinas, pero non rastrexar nada máis". Porén, ás veces, os sitios web teñen moitas páxinas que permitir e só algunhas queren evitar o rastrexo. Así, toman un atallo e din "non mires isto, pero podes rastrexar calquera outra cousa". A maioría dos piratas informáticos e bots verán "non mire aquí" e despois farán exactamente o contrario. Polo tanto, en lugar de evitar que Google rastrexa a túa páxina de inicio de sesión de administrador, apuntaches aos atacantes directamente a ela.

Non obstante, dado que este é un comportamento coñecido, é bastante fácil de manipular. Se configuras un honeypot cun nome de aspecto sensible e despois configuras o teu ficheiro robots.txt para que diga "non busques aquí", moitos bots e hackers farán exactamente iso. Entón é bastante sinxelo rexistrar todos os enderezos IP que interactúan co honeypot de calquera forma e simplemente bloquealos todos.

Evitando falsos positivos

Nun bo número de casos, este tipo de honeypot oculto pode bloquear automaticamente o tráfico de enderezos IP que provocarían máis ataques. Porén, hai que ter coidado para garantir que os usuarios lexítimos do sitio non vaian nunca ao honeypot. Un sistema automatizado como este non pode distinguir entre un atacante e un usuario lexítimo. Polo tanto, cómpre asegurarse de que ningún recurso lexítimo ligue ao honeypot.

Podes incluír un comentario no ficheiro robots.txt indicando que a entrada honeypot é un honeypot. Isto debería disuadir aos usuarios lexítimos de intentar saciar a súa curiosidade. Tamén disuadiría aos piratas informáticos que sondean manualmente o seu sitio e potencialmente irritalos. Algúns bots tamén poden ter sistemas instalados para tratar de detectar este tipo de cousas.

Outro método para reducir o número de falsos positivos sería esixir unha interacción máis profunda co honeypot. En lugar de bloquear a quen mesmo cargue a páxina de honeypot, podes bloquear a calquera que logo interactúe con ela. De novo, a idea é facer que pareza lexítimo, mentres que en realidade non leva a ningún lado. Que o teu honeypot sexa un formulario de inicio de sesión en /admin é unha boa idea, sempre que non poidas iniciar sesión en nada. Telo logo iniciar sesión no que parece un sistema lexítimo pero que en realidade está máis profundo no honeypot sería máis un honeypot de alta interacción.

Conclusión

Un pote de mel é unha trampa. Está deseñado para parecer que pode ser útil para un hacker, aínda que en realidade é inútil. Os sistemas básicos só bloquean o enderezo IP de calquera persoa que interactúa co honeypot. Pódense usar técnicas máis avanzadas para liderar o hacker, potencialmente durante un longo período de tempo. O primeiro úsase normalmente como ferramenta de seguridade. Este último é máis unha ferramenta de investigación de seguridade, xa que pode dar información sobre as técnicas do atacante. Hai que ter coidado para evitar que os usuarios lexítimos interactúen co honeypot. Tales accións provocarían o bloqueo do usuario lexítimo ou enturbirían a recollida de datos. Polo tanto, o honeypot non debería estar relacionado coa funcionalidade real, senón que debería ser localizable cun esforzo básico.

Un honeypot tamén pode ser un dispositivo implantado nunha rede. Neste escenario, está separado de todas as funcións lexítimas. De novo, estaría deseñado para parecer que ten datos interesantes ou sensibles para alguén que escanea a rede, pero ningún usuario lexítimo debería atopalos. Así, calquera persoa que interactúa co honeypot merece unha revisión.