ハニーポットとは？

インバウンドトラフィックフィルタを一切使用せずにコンピュータをオープンなインターネットに接続すると、通常は数分以内に攻撃トラフィックを受信し始めます。これは、インターネット上で常に発生している自動化された攻撃とスキャンの規模です。この種のトラフィックの大部分は完全に自動化されています。ボットがインターネットをスキャンしているだけで、何か面白いことをするかどうかを確認するためにランダムなペイロードを試しているのかもしれません。

もちろん、Web サーバーまたはその他の形式のサーバーを実行している場合は、サーバーをインターネットに接続する必要があります。ユースケースによっては、VPN などを使用して、許可されたユーザーのみにアクセスを許可できる場合があります。ただし、サーバーをパブリックにアクセスできるようにする場合は、インターネットに接続する必要があります。そのため、サーバーは攻撃に直面します。

基本的には、これをコースの標準として受け入れる必要があるように思えるかもしれません. ありがたいことに、できることがいくつかあります。

ハニーポットを実装する

ハニーポットは、攻撃者をおびき寄せるために設計されたツールです。有益な情報や情報につながる可能性のある脆弱性を約束しますが、単なる罠です。ハニーポットは、攻撃者をおびき寄せるために意図的に設定されています。目的に応じていくつかの種類があります。

ハイインタラクションハニーポットが進化。これは非常に複雑で、攻撃者を忙しくさせておくために多くのことを提供します。これらは主にセキュリティ研究に使用されます。所有者は、攻撃者がどのように行動するかをリアルタイムで確認できます。これは、現在または将来の防御を通知するために使用できます。相互作用の高いハニーポットの目標は、攻撃者を可能な限り長く占有し続け、ゲームを放棄しないことです。そのため、セットアップと保守が複雑です。

低相互作用のハニーポットは、基本的に置き忘れの罠です。それらは通常単純であり、詳細な調査や分析に使用するようには設計されていません。代わりに、低相互作用ハニーポットは、誰かがすべきではないことをしようとしていることを検出し、それらを完全にブロックすることを目的としています. この種のハニーポットは、セットアップと実装が簡単ですが、慎重に計画しないと、誤検知が発生しやすくなります。

低相互作用ハニーポットの例

Web サイトを運営している方なら、おなじみの機能の 1 つに robots.txt があります。robots.txt は、Web サーバーのルートディレクトリに配置できるテキストファイルです。標準として、ボット、特に検索エンジンのクローラーは、このファイルをチェックすることを知っています。ボットによるクロールとインデックス作成を行う、または行わないページまたはディレクトリのリストを使用して構成できます。検索エンジンクローラーなどの正当なボットは、このファイルの指示に従います。

この形式は通常、「これらのページは表示できますが、それ以外はクロールしないでください」という方針に沿っています。ただし、Web サイトには、許可するページが多数あり、クロールを防止したいページがわずかしかない場合があります。したがって、彼らは近道をして、「これを見ないで、他のものなら何でもクロールできます」と言います。ほとんどのハッカーとボットは、「ここを見ないでください」と表示され、正反対のことを行います。そのため、管理者ログインページが Google によってクロールされるのを防ぐ代わりに、攻撃者を直接そこに誘導しました。

ただし、これは既知の動作であるため、操作は非常に簡単です。機密性の高い名前でハニーポットを設定し、robots.txt ファイルを「ここを見てはいけない」と設定すると、多くのボットやハッカーがまさにそれを実行します。ハニーポットと何らかの方法でやり取りするすべての IP アドレスをログに記録し、それらをすべてブロックするのは非常に簡単です。

誤検知の回避

多くの場合、この種の隠れたハニーポットは、さらなる攻撃を発行する IP アドレスからのトラフィックを自動的にブロックできます。ただし、サイトの正当なユーザーがハニーポットにアクセスしないように注意する必要があります。このような自動化されたシステムは、攻撃者と正当なユーザーを区別できません。そのため、正規のリソースがハニーポットにまったくリンクしていないことを確認する必要があります。

ハニーポットエントリがハニーポットであることを示すコメントを robots.txt ファイルに含めることができます。これにより、正当なユーザーが好奇心を満足させようとするのを思いとどまらせるはずです。また、サイトを手動で調査しているハッカーを思いとどまらせ、彼らを怒らせる可能性もあります. 一部のボットは、この種のことを検出しようとするシステムを備えている場合もあります。

誤検知の数を減らす別の方法は、ハニーポットとのより詳細なやり取りを要求することです。ハニーポットのページをロードする人さえもブロックする代わりに、ハニーポットのページをさらに操作する人をブロックできます。繰り返しになりますが、実際には何の役にも立ちませんが、正当に見えるようにすることが目的です。ハニーポットを /admin のログインフォームにするのは良い考えですが、実際には何もログインできない場合に限ります。次に、正当なシステムのように見えますが、実際にはハニーポットの奥深くにあるシステムにログインさせると、より相互作用の高いハニーポットになります。

結論

ハニーポットは罠です。ハッカーにとっては役に立つように見えるように設計されていますが、実際には役に立ちません。基本的なシステムは、ハニーポットとやり取りする人の IP アドレスをブロックするだけです。より高度な技術を使用して、ハッカーを長期間にわたって誘導することができます。前者は通常、セキュリティツールとして使用されます。後者は、攻撃者の手法に関する洞察を得ることができるため、セキュリティ調査ツールに近いものです。正当なユーザーがハニーポットとやり取りできないように注意する必要があります。このようなアクションは、正当なユーザーをブロックするか、データ収集を混乱させる結果になります。したがって、ハニーポットは実際の機能に関連するべきではありませんが、いくつかの基本的な努力で見つけられるべきです。

ハニーポットは、ネットワーク上に配置されたデバイスにすることもできます。このシナリオでは、すべての正当な機能から分離されています。繰り返しますが、ネットワークをスキャンしている誰かにとって興味深いデータや機密データが含まれているように見えるように設計されていますが、正当なユーザーがそれに遭遇することはありません. したがって、ハニーポットと対話する人は誰でもレビューに値します。