Ловим хакера на сладенькое

Мы с вами уже как-то обсуждали, что такое ханипоты и какими они бывают. Теперь давайте углубимся в тему и разберемся, как это работает в масштабах всей инфраструктуры, а не отдельного хоста. Эту задачу закрывают решения класса Deception.

Deception – это класс средств активной защиты, который намеренно создает для атакующего ложную, но правдоподобную поверхность атаки (как же это красиво звучит). Вместо того чтобы только блокировать действия, атакующему подсовывают фальшивые системы, учетные данные, файлы, API, сетевые сервисы и другие артефакты, чтобы обнаружить взлом, увести атакующего от реальных активов и собрать его TTP (кого кого). CISA, например, относит к deception platforms решения от отдельных decoy-машин до целых ложных сетевых инфраструктур.

Откуда я так много об этом знаю, спросите вы? А я вам отвечу, что просто в прошлом году на одном мероприятии я как обычно пришел залутаться мерчем послушать доклады и совершенно случайно познакомился на стенде с ребятами из Infrasec, которые как раз развивают свою Deception-платформу. Они то мне и рассказали, что с помощью таких решений можно наворотить разветвленную систему из сотен файлов и процессов разной степени интерактивности. У них, кстати, есть бесплатная коммьюнити версия на 3 года, для тех, кто хочет попробовать этот класс решений, но не хочет пока тратить на него деньги.

Решения этого класса, к слову, особенно полезны тем, что позволяют поймать атакующего на этапах, когда он уже получил первичный доступ и закрепился внутри инфраструктуры.

При этом важно, чтобы ханипот был интерактивным и действительно похожим на инфраструктуру, внутри которой развернут – поэтому скачать какое-нибудь типовое решение с Гитхаба и просто развернуть у себя внутри будет не самой лучшей идеей.

Ну вот и всё, теперь вы знаете, на что тратит деньги энтерпрайз, когда у него уже построен кибербез. Всем мир.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT