WikiSort.ru - Не сортированное

Honeypot (с англ. — «горшочек с мёдом») — ресурс, представляющий собой приманку для злоумышленников.

Задача Honeypot — подвергнуться атаке или несанкционированному исследованию, что впоследствии позволит изучить стратегию злоумышленника и определить перечень средств, с помощью которых могут быть нанесены удары по реально существующим объектам безопасности. Реализация Honeypot может представлять собой как специальный выделенный сервер, так и один сетевой сервис, задача которого — привлечь внимание взломщиков.

Honeypot представляет собой ресурс, который без какого-либо воздействия на него ничего не делает. Honeypot собирает небольшое количество информации, после анализа которой строится статистика методов, которыми пользуются взломщики, а также определяется наличие каких-либо новых решений, которые впоследствии будут применяться в борьбе с ними.

Например, веб-сервер, который не имеет имени и фактически никому не известен, не должен, соответственно, иметь и гостей, заходящих на него, поэтому все лица, которые пытаются на него проникнуть, являются потенциальными взломщиками. Honeypot собирает информацию о характере поведения этих взломщиков и об их способах воздействия на сервер. После чего специалисты в области информационной безопасности разрабатывают стратегии отражения атак злоумышленников.

История появления

Honeypot появились с первыми компьютерными злоумышленниками. Honeypot'ам насчитывается по меньшей мере 20 лет, разработки по их созданию и внедрению проводились параллельно с исследованиями IDS.

Первым документальным упоминанием была книга Клиффорда Столла "The Cuckoo's Egg", написанная в 1990 г. Через десять лет, в 2000 г. honeypot стали повсеместно распространенными системами-приманками.

Впоследствии IDS и honeypot будут представлять собой единый комплекс по обеспечению информационной безопасности предприятия.^{[источник не указан 765 дней]}

Альтернативные методы защиты

Помимо honeypot, в настоящее время применяются следующие средства защиты компьютерных сетей: honeynet, honeytoken, padded cell, IDS, IPS. Последние два не подходят под определение honeypot — они являются не приманками, а системами обнаружения и предотвращения вторжений. В то же время наиболее близким понятию honeypot становится IDS — система обнаружения вторжений, протоколирующая все несанкционированные подключения к целевой системе.

Padded Cell — это разновидность приманки типа "песочница". Попадая в неё, злоумышленник не может нанести какой-либо вред системе, т.к. он постоянно находится в изолированном окружении.

Honeynet — это сеть из honeypot, о ней см. ниже.

В любом случае, вне зависимости от того, какая система защиты установлена, на ней в качестве приманки должна быть подложная информация, а не оригинал.

Виды honeypot

Существуют honeypot, созданные на выделенных серверах и программно-эмулируемые honeypot.

• Honeypot, установленные на выделенном сервере, позволяют максимально приблизить его к реальному серверу, роль которого он выполняет(сервер данных, сервер приложений, прокси-сервер).

• Эмулируемый honeypot быстро восстанавливается при взломе, а также четко ограничивается от основной ОС. Он может быть создан при помощи виртуальной машины или Honeyd.

Разница между ними в масштабах сети. Если, к примеру, это малая офисная сеть, то не имеет особого смысла ставить выделенный сервер для протоколирования подозрительных событий в сети. Здесь достаточно будет ограничиться виртуальной системой или даже одним виртуальным сервисом. В больших организациях используются именно выделенные серверы с полностью воспроизведенными на них сетевыми службами. Обычно в конфигурировании таких служб специально допускают ошибки, чтобы у злоумышленника удался взлом системы. В этом и состоит основная идея honeypot — заманить взломщика.

Преимущества Honeypot

Технологии Honeypot предоставляют аналитикам некоторые преимущества :

• сбор содержательной информации;
• нетребовательность к системным ресурсам;
• простота установки, конфигурирования и эксплуатации;
• наглядность необходимости использования.

Недостатки Honeypot

Средства Honeypot имеют несколько недостатков. Honeypot не заменяют никаких механизмов безопасности; они только работают и расширяют полную архитектуру безопасности.

Главными проблемами средств Honeypot являются:

• ограниченная область видения;
• возможность раскрытия Honeypot;
• риск взлома Honeypot и атаки узлов посторонних организаций.

Расположение honeypot

Различные варианты размещения honeypot помогут дать полные сведения о тактике нападающего. Размещение honeypot внутри локальной сети даст представление об атаках изнутри сети, а размещение на общедоступных серверах этой сети или в DMZ - об атаках на незащищенные сетевые службы, такие как: почтовые сервисы, SMB, ftp-серверы и т.д.

Реализации honeypot

Все известные honeypot можно поделить на 2 класса — открытые и коммерческие

Ниже приводится краткое пояснение некоторых реализаций.

HoneyWeb — эмулирует различные типы веб-сервисов

BackOfficer Friendly — honeypot для ОС Windows, может применяться в качестве HIPS

Honeyd — низкоуровневый honeypot для Linux, способен эмулировать сотни ОС

Bubblegum Proxypot — open-source honeypot, применяется для борьбы со спамерами

Specter — коммерческий низкоуровневый honeypot для ОС Windows. Эмулирует 13 различных ОС.

Honeypot Manager — коммерческий honeypot. Эмулирует сервер с установленной СУБД Oracle.

Ссылки

• Honeypots Solutions