Harhautusteknologia puolustusverkoissa: honeypotit ja houkuttimet

Suurin osa verkkopuolustuksesta on signaalin erottamista kohinasta. Allekirjoitusmoottorit, käyttäytymisanalytiikka ja SOC-triage käyttävät kaiken ponnistelunsa yrittäessään päättää, onko jokin tietty toiminto todellisessa resurssissa haitallista vai hyvänlaatuista. Harhautusteknologia kääntää ongelman päinvastaiseksi. Sen sijaan, että se tarkkailisi todellisia resursseja ja kysyisi "onko tämä pahaa?", se ripottelee verkkoon valheellisia resursseja – honeypotteja, houkutinpalvelimia, houkutintunnuksia ja breadcrumbeja – joihin yksikään laillinen käyttäjä tai automaattinen prosessi ei koskaan saisi koskea. Koska näillä houkuttimilla ei ole tuotantotarkoitusta, mikä tahansa vuorovaikutus niiden kanssa on määritelmällisesti poikkeavaa. Tuloksena on havaitsemiskerros, jonka väärät positiiviset ovat lähellä nollaa ja joka laukeaa täsmälleen silloin, kun vastustaja on jo sisällä matkalla kohti jotain merkityksellistä.

Puolustusverkoille houkutus on vielä terävämpi. Uhkamalli olettaa kyvykkäitä, kärsivällisiä, valtiollisesti tuettuja vastustajia, jotka lopulta saavat jalansijan. Kysymys ei ole siitä, pääsevätkö he sisään, vaan siitä, kuinka nopeasti heidät havaitaan, kun he aloittavat sivuttaisliikkeen. Harhautus muuttaa hyökkääjän oman tiedustelu- ja tunnuskorjuukäyttäytymisen laukaisimeksi, joka paljastaa heidät, ja se tekee tämän ilman riippuvuutta ulkoisista syötteistä – mikä tekee siitä yhtä toimivan myös ilmaeristettyjen ja luokiteltujen enklaavien sisällä.

Taksonomia: honeypotit, honeynetit ja houkuttimet

Harhautuksen sanastoa käytetään usein löyhästi, mutta erottelut ovat tärkeitä käyttöönottoa suunniteltaessa.

Honeypot. Honeypot on yksittäinen harhauttava isäntä tai palvelu, joka altistetaan tarkoituksella luotaamiselle, skannaukselle tai vaarantamiselle, jotta sen toimintaa voidaan tarkkailla. Honeypotit luokitellaan vuorovaikutuksen syvyyden mukaan. Matalan vuorovaikutuksen honeypot emuloi vain palvelun pintaa – se vastaa yhteyteen portissa 445 ja esittää SMB-bannerin, mutta ei toteuta koko protokollaa. Sitä on halpa käyttää ja se on turvallinen, mutta taitava vastustaja havaitsee emuloinnin nopeasti. Korkean vuorovaikutuksen honeypot ajaa todellista käyttöjärjestelmää ja todellisia palveluita instrumentoidussa hiekkalaatikossa, joten hyökkääjä voi täysin sitoutua siihen; tämä tuottaa rikasta tiedustelutietoa työkaluista ja menetelmistä, mutta vaatii huolellista eristämistä, jotta honeypottia ei voida käyttää pivotina todelliseen verkkoon.

Honeynet. Honeynet on toisiinsa kytkettyjen honeypottien verkko, joka on järjestetty simuloimaan realistista ympäristöä – valheellinen aliverkko toimialueeseen liitetyillä työasemilla, tiedostopalvelimilla ja hakemistopalvelulla. Honeynetiin laskeutuva hyökkääjä voi liikkua sivuttain houkuttimien välillä, ja jokainen hyppy, tunnuksen uudelleenkäyttö ja komento tallennetaan. Honeynetin arvo on käyttäytymiseen perustuva: se kaappaa tunkeutumisen koko kaaren hallitussa tilassa.

Houkutin ja breadcrumb. Houkutin on mikä tahansa valheellinen resurssi, joka on sijoitettu houkuttelemaan tai harhauttamaan – isäntä, tiedosto, tietokantatietue tai tunnus. Breadcrumb (tai syötti) on todelliseen järjestelmään istutettu houkutin, joka on tarkoitettu erityisesti johtamaan hyökkääjä kohti honeypottia: tallennettu RDP-yhteys houkutinpalvelimeen, muistiin tallennettu tunnus, yhdistetty asema houkutinjakoon. Breadcrumbit ovat harhautuskäyttöönoton sidekudos; ilman niitä edes täydellisesti rakennettua honeynetiä ei koskaan löydetä.

Miksi houkuttimet tuottavat korkean tarkkuuden hälytyksiä

Harhautuksen määräävä ominaisuus on hälytysten tarkkuus. SIEM-korrelaatiosäännön, joka liputtaa "poikkeavan PowerShell-suorituksen", on otettava huomioon todellisuus, että järjestelmänvalvojat ajavat epätavallista PowerShelliä laillisesti joka päivä; sääntö tuottaa hälytysvirran, jonka analyytikoiden on triagoitava, ja hälytysväsymys on nykyaikaisen SOC:n hallitseva operatiivinen vikatila. Houkutintunnuksella sen sijaan on täsmälleen yksi merkitys, kun sitä käytetään: joku korjasi sen paikasta, jossa sitä ei olisi koskaan pitänyt käyttää, ja kokeili sitä. Hyvänlaatuista selitystä ei ole.

Tästä syystä harhautushälytykset ohjataan eri tavalla. Sen sijaan, että ne tulisivat pisteytyksen mukaan järjestettyyn triagejonoon, houkuttimen osumaa voidaan kohdella vahvistettuna tunkeutumissignaalina ja kytkeä suoraan automaattiseen eristykseen. Kirjautumisyritys houkutin-toimialueen-järjestelmänvalvojatunnuksella voi laukaista SOAR-playbookin, joka eristää lähtöisännän, peruuttaa istunnot ja hälyttää päivystäjän – kaikki ennen kuin ihminen on lukenut yhtäkään lokiriviä. Taloudellisuus on suotuisaa: pieni määrä houkuttimia tuottaa pienen määrän tapahtumia, mutta jokainen tapahtuma kantaa erittäin korkean informaatioarvon.

Sijoittelu: kill chainin sieppaaminen

Houkuttimet ovat hyödyllisiä vain siellä, missä ne sieppaavat reitit, joita vastustaja todella kulkee. Honeypottien hajauttaminen satunnaisesti verkkoon tuottaa houkuttimia, joihin ei koskaan kosketa. Tehokas sijoittelu määräytyy vaarantamisen jälkeisen kill chainin mukaan, kartoitettuna MITRE ATT&CK:n sivuttaisliikkeen ja tunnuspääsyn taktiikoita vasten.

Sivuttaisliikkeen kerros. Saatuaan jalansijan hyökkääjä luetteloi paikallisen isännän tunnusten ja saavutettavien palveluiden varalta. Houkuttimet täällä sisältävät LSASS-muistiin tallennettuja tunnuksia, merkintöjä Windowsin tunnushallinnassa, verkkohaussa mainostettuja houkutin-SMB- ja -NFS-jakoja ja konfiguraatiotiedostoihin jätettyjä houkutin-tietokantayhteysmerkkijonoja. Nämä ovat tuottavimmat sijoitukset, koska tunnuskorjuu on lähes universaali varhainen vaihe.

Oikeuksien korotuksen kerros. Kun vastustaja etsii korkeampia oikeuksia, valheelliset toimialueen järjestelmänvalvojatilit, houkutinpalvelutilit houkuttelevilla palveluprinsiipalinimillä ja houkutin hakemiston etuoikeutetuissa ryhmissä houkuttelevat Kerberoasting- ja tilien kohdentamistoimintaa. Kirjautumisyritys jotakin näistä tileistä vastaan on yksiselitteinen korotussignaali.

Kruununjalokivien kerros. Aitojen korkean arvon kohteiden ympärillä – järjestelmissä, joita vastustaja todella tavoittelee – houkutintiedostopalvelimet, tuotantotietokantojen sisällä olevat houkutintietueet ja sisäänrakennetuilla takaisinkutsuilla varustetut houkutinasiakirjat muodostavat viimeisen ansalangan. Suunnittelutavoite kaikissa kolmessa kerroksessa on kattavuustiheys: millä tahansa realistisella reitillä alkupääsystä tavoitteeseen tulisi olla suuri todennäköisyys koskettaa ensin vähintään yhtä houkutinta.

Aitous: insinöörityö, joka saa houkuttimet toimimaan

Suurin yksittäinen tekijä harhautuskäyttöönoton onnistumisessa on se, ovatko houkuttimet erottamattomia tuotannosta. Kyvykäs vastustaja ottaa aktiivisesti sormenjäljen ympäristöstä, ja houkutin, joka näyttää houkuttimelta, on huonompi kuin ei houkutinta lainkaan – se opettaa hyökkääjälle täsmälleen, mitä välttää, ja paljastaa, että harhautus on käytössä.

Aitous on moniulotteista. Houkutinisännän on vastattava naapuriensa nimeämiskäytäntöä (ei HONEYPOT-01 vaan isäntänimi, joka noudattaa sivuston todellista järjestelmää), esitettävä sama käyttöjärjestelmäversio ja korjaustaso, paljastettava samat palveluportit vastaavilla banner-merkkijonoilla ja näytettävä uskottavaa verkkoliikennettä ja ARP-läsnäoloa. Houkutintunnusten on noudatettava organisaation todellista käyttäjänimimuotoa ja salasanapolitiikkaa, ja niiden on esiinnyttävä samoissa varastoissa kuin todelliset tunnukset. Houkutintiedostot tarvitsevat realistiset nimet, koot ja aikaleimat ja – ratkaisevasti – uskottavaa mutta arkaluontoista sisältöä; luokitelluissa ympäristöissä houkuttimien sisällön on itse oltava luokittelematonta tai synteettistä, jotta houkuttimista ei koskaan tule tietovuotoriskiä.

Tämän aitouden ylläpitäminen ajan myötä on operatiivista kurinalaisuutta, ei kertaluontoista käyttöönottoa. Kun todellista ympäristöä korjataan ja nimetään uudelleen, houkuttimet, jotka eivät pysy synkronissa, tulevat havaittaviksi vanhentuneisuutensa kautta. Harhautuskerros tarvitsee siksi saman konfiguraationhallinnan ja elinkaariautomaation kuin jäljittelemänsä tuotantokanta.

Vuorovaikutuksesta tiedustelutietoon

Korkean vuorovaikutuksen honeypot tai honeynet tekee enemmän kuin hälyttää – se kaappaa vastustajan käyttäytymisen kokonaisuudessaan. Jokainen suoritettu komento, jokainen pudotettu työkalu, jokainen uudelleenkäytetty tunnus ja jokaisen toiminnon tarkka ajoitus tallennetaan ympäristössä, jossa ei ole laillista toimintaa suodatettavaksi. Tämä tuottaa puhtaan tiedustelutietueen, joka syöttää suoraan uhkatoimijoiden profilointia ja attribuutiota.

Tiedustelutiedon arvo kasvaa kumulatiivisesti. Honeynetissä havaitut TTP:t – tietty sivuttaisliiketekniikka, tietty C2-kehys, erottuva operatiivinen rytmi – muuttuvat havaitsemislogiikaksi, jota sovelletaan koko todelliseen verkkoon. Vastustaja, joka sitoutuu houkuttimeen, lahjoittaa käytännössä käyttäytymissormenjäljen, joka parantaa havaitsemista kaikkialla muualla. Puolustusorganisaatioille, jotka jakavat tiedustelutietoa liittolais-CERTeille, harhautuksesta peräisin olevat TTP:t ovat erityisen arvokkaita, koska ne havaitaan suoraan eikä päätellä tapahtuman jäänteistä.

On myös psykologinen ulottuvuus, joka on helppo aliarvioida. Vastustajan, joka oppii, että kohde ottaa käyttöön harhautusta, on kohdeltava jokaista tunnusta, jokaista jakoa ja jokaista saavutettavissa olevaa isäntää potentiaalisesti valheellisena. Tämä epävarmuus verottaa operaatiota: se hidastaa liikettä, pakottaa lisävarmistuksen ennen jokaista askelta ja nostaa virheiden kustannuksia, koska yksikin harha-askel houkuttimeen polttaa jalansijan. Itse asiassa hyvin hoidettu harhautuskerros ei pelkästään havaitse – se heikentää itse tunkeutumisen tempoa ja luottamusta, mikä puolustusverkolle ostaa reagoijille sen resurssin, jolla on eniten merkitystä aktiivisen vaarantamisen aikana, ajan.

Eristäminen ja pivot-riski

Korkean vuorovaikutuksen harhautukseen liittyy luontainen vaara: todellinen, täysin toimiva isäntä luovutetaan vastustajalle. Jos honeynetiä ei ole tarkasti eristetty, hyökkääjä voi käyttää sitä pivotina tuotantoverkkoon – muuttaen puolustustyökalun hyökkäysalustaksi. Eristäminen on siksi neuvottelematonta. Honeynetin on sijaittava hallitun datadiodin tai tiukasti suodatetun yhdyskäytävän takana, joka sallii harhautuksen ylläpitämiseen tarvittavat saapuvat vuorovaikutukset samalla kun se estää kaiken lähtevän reitin todellisiin resursseihin. Lähtevä liikenne honeynetistä internetiin, jos se ylipäätään sallitaan, on välitettävä valvotun välityspalvelimen kautta, jotta mikä tahansa takaisinkutsu havaitaan sen sijaan, että se mahdollistaisi houkutindatan suodattamisen hyökkääjän infrastruktuuriin.

Harhautusohjelman käyttäminen ajan myötä

Käyttöönotto on alku, ei loppu. Vastustajan, joka kartoittaa harhautusympäristön yhden kampanjan aikana, tulisi löytää se olennaisesti muuttuneena seuraavassa. Tämä tarkoittaa houkutintunnusten kierrättämistä aikataulun mukaan, honeypot-sisällön virkistämistä, breadcrumbien siirtämistä ja aitouden määräaikaista uudelleenperustamista kehittyvää tuotantokantaa vasten. Staattinen harhautus rappeutuu: sen sijainnit vuotavat uhkatoimijoiden tiedonjaon ja hyökkääjän omien muistiinpanojen kautta.

Ohjelman mittaaminen on yhtä tärkeää. Pääotsikkomittari on hyökkääjän viipymäajan väheneminen, mutta tukimittarit ovat tärkeitä virittämiselle: houkuttimien kattavuus kartoitettujen kill chain -reittien osalta, aika houkutinvuorovaikutuksesta eristystoimeen ja todellisten houkutinosumien suhde harvinaiseen vääräpositiiviseen väärin konfiguroiduista skannereista tai varmuuskopiointiagenteista. Nämä väärät positiiviset eliminoidaan sallimalla tunnetut skannauslähteet ja sijoittamalla houkuttimet sinne, minne erottelematon automaattinen työkalu ei ylety – tunnusvarastojen sisälle eikä laajalti luetteloiduille jaoille, esimerkiksi.

Hyvin tehtynä harhautuskerroksesta tulee yksi kustannustehokkaimmista havaitsemisinvestoinneista, joita puolustusverkko voi tehdä: vaatimaton määrä huolellisesti sijoitettuja, aidosti rakennettuja houkuttimia, jotka muuttavat vastustajan väistämättömän tiedustelun vahvistetuksi tunkeutumishälytykseksi ja jotka muuttavat jokaisen kohtaamisen tiedustelutiedoksi, joka kovettaa loput verkosta.