허니팟이란 무엇입니까?

어떤 종류의 인바운드 트래픽 필터 없이 컴퓨터를 개방형 인터넷에 연결하면 일반적으로 몇 분 안에 공격 트래픽을 받기 시작합니다. 이는 인터넷에서 지속적으로 발생하는 자동 공격 및 스캔의 규모입니다. 이러한 종류의 트래픽 대부분은 완전히 자동화되어 있습니다. 인터넷을 스캔하는 봇일 뿐이며 흥미로운 작업을 수행하는지 확인하기 위해 임의의 페이로드를 시도할 수 있습니다.

물론 웹 서버나 다른 형태의 서버를 실행하는 경우 서버가 인터넷에 연결되어 있어야 합니다. 사용 사례에 따라 VPN과 같은 것을 사용하여 승인된 사용자에게만 액세스를 허용할 수 있습니다. 그러나 서버에 공개적으로 액세스하려면 인터넷에 연결해야 합니다. 따라서 귀하의 서버는 공격에 직면하게 될 것입니다.

기본적으로 이것을 과정의 파로 받아들여야 하는 것처럼 보일 수 있습니다. 고맙게도 당신이 할 수 있는 일들이 있습니다.

허니팟 구현

허니팟은 공격자를 유인하도록 설계된 도구입니다. 정보로 이어질 수 있는 풍부한 정보 또는 취약점을 약속하지만 함정일 뿐입니다. 허니팟은 공격자를 유인하기 위해 의도적으로 설정됩니다. 원하는 작업에 따라 몇 가지 종류가 있습니다.

상호 작용이 높은 허니팟이 고급화되었습니다. 그것은 매우 복잡하고 공격자를 계속 바쁘게 만드는 많은 것들을 제공합니다. 이들은 주로 보안 연구에 사용됩니다. 이를 통해 소유자는 공격자가 실시간으로 어떻게 행동하는지 확인할 수 있습니다. 이것은 현재 또는 미래의 방어를 알리는 데 사용될 수 있습니다. 상호작용이 많은 허니팟의 목표는 가능한 한 오랫동안 공격자를 점유하고 게임을 포기하지 않는 것입니다. 이를 위해 설정 및 유지 관리가 복잡합니다.

상호작용이 적은 허니팟은 기본적으로 놓고 잊어버리는 함정입니다. 일반적으로 단순하며 심도 있는 연구나 분석에 사용하도록 설계되지 않았습니다. 대신 상호 작용이 적은 허니팟은 누군가가 해서는 안 되는 작업을 시도하고 있음을 감지한 다음 완전히 차단하기 위한 것입니다. 이러한 종류의 허니팟은 설정 및 구현이 쉽지만 신중하게 계획하지 않으면 오탐이 발생하기 쉽습니다.

상호작용이 적은 허니팟의 예

웹 사이트를 운영하는 경우 익숙할 수 있는 기능 중 일부는 robots.txt입니다. Robots.txt는 웹 서버의 루트 디렉터리에 배치할 수 있는 텍스트 파일입니다. 일반적으로 봇, 특히 검색 엔진용 크롤러는 이 파일을 확인하는 것을 알고 있습니다. 봇이 크롤링 및 인덱싱하도록 하거나 원하지 않는 페이지 또는 디렉터리 목록으로 구성할 수 있습니다. 검색 엔진 크롤러와 같은 합법적인 봇은 이 파일의 지침을 따릅니다.

형식은 일반적으로 "이 페이지를 볼 수 있지만 다른 항목은 크롤링하지 마십시오"라는 내용을 따릅니다. 하지만 때때로 웹사이트에는 허용할 페이지가 많고 크롤링을 방지하려는 페이지는 몇 개에 불과합니다. 따라서 그들은 지름길을 선택하고 "이것을 보지 마십시오. 그러나 다른 것은 크롤링할 수 있습니다"라고 말합니다. 대부분의 해커와 봇은 "여기를 보지 마세요"라고 표시한 다음 정반대로 행동합니다. 따라서 관리자 로그인 페이지가 Google에서 크롤링되는 것을 방지하는 대신 공격자가 바로 이 페이지를 가리키도록 했습니다.

그러나 이것이 알려진 동작임을 감안할 때 조작하기가 매우 쉽습니다. 민감해 보이는 이름으로 허니팟을 설정한 다음 robots.txt 파일에 "여기를 보지 마세요"라고 설정하면 많은 봇과 해커가 정확히 그렇게 할 것입니다. 그런 다음 어떤 방식으로든 허니팟과 상호 작용하는 모든 IP 주소를 기록하고 모두 차단하는 것은 매우 간단합니다.

가양성 방지

대부분의 경우 이러한 종류의 숨겨진 허니팟은 추가 공격을 발생시키는 IP 주소의 트래픽을 자동으로 차단할 수 있습니다. 하지만 합법적인 사이트 사용자가 허니팟에 가지 않도록 주의해야 합니다. 이와 같은 자동화 시스템은 공격자와 합법적인 사용자를 구분할 수 없습니다. 따라서 합법적인 리소스가 허니팟에 연결되지 않도록 해야 합니다.

허니팟 항목이 허니팟임을 나타내는 주석을 robots.txt 파일에 포함할 수 있습니다. 이렇게 하면 합법적인 사용자가 호기심을 충족시키려는 시도를 하지 않을 것입니다. 그것은 또한 당신의 사이트를 수동으로 조사하고 잠재적으로 그들을 화나게 하는 해커들을 설득할 것입니다. 일부 봇에는 이런 종류의 것을 감지하기 위한 시스템이 있을 수도 있습니다.

잘못된 긍정의 수를 줄이는 또 다른 방법은 허니팟과의 보다 심층적인 상호 작용을 요구하는 것입니다. 허니팟 페이지를 로드하는 사람을 차단하는 대신 허니팟 페이지와 더 상호 작용하는 사람을 차단할 수 있습니다. 다시 말하지만, 아이디어는 합법적인 것처럼 보이게 하는 것이지만 실제로는 아무데도 연결되지 않습니다. 당신의 허니팟을 /admin에 있는 로그인 폼으로 만드는 것은 좋은 생각입니다. 그런 다음 합법적인 시스템처럼 보이지만 실제로는 허니팟에 더 깊이 있는 시스템에 로그인하게 하는 것이 더 높은 상호 작용 허니팟이 될 것입니다.

결론

허니팟은 함정입니다. 해커에게 유용한 것처럼 보이도록 설계되었지만 실제로는 쓸모가 없습니다. 기본 시스템은 허니팟과 상호 작용하는 모든 사람의 IP 주소를 차단합니다. 보다 발전된 기술을 사용하여 잠재적으로 오랜 기간 동안 해커를 유인할 수 있습니다. 전자는 일반적으로 보안 도구로 사용됩니다. 후자는 공격자의 기술에 대한 통찰력을 제공할 수 있으므로 보안 연구 도구에 가깝습니다. 합법적인 사용자가 허니팟과 상호 작용하지 않도록 주의해야 합니다. 이러한 조치는 합법적인 사용자를 차단하거나 데이터 수집을 방해합니다. 따라서 허니팟은 실제 기능과 관련이 없어야 하지만 몇 가지 기본적인 노력으로 찾을 수 있어야 합니다.

허니팟은 네트워크에 배포된 장치일 수도 있습니다. 이 시나리오에서는 모든 적법한 기능과 별개입니다. 다시 말하지만, 네트워크를 스캔하는 사람에게는 흥미롭거나 민감한 데이터가 있는 것처럼 보이도록 설계되지만 합법적인 사용자는 이를 만나서는 안 됩니다. 따라서 허니팟과 상호 작용하는 모든 사람은 검토할 가치가 있습니다.