Tehnologia de înșelare pentru rețele de apărare: honeypots și momeli

Cea mai mare parte a apărării rețelelor este o problemă de separare a semnalului de zgomot. Motoarele de semnături, analiza comportamentală și trierea SOC își consumă toate eforturile încercând să decidă dacă o anumită acțiune asupra unui activ real este malițioasă sau benignă. Tehnologia de înșelare inversează problema. În loc să urmărească activele reale și să întrebe „este acest lucru rău?”, ea presară rețeaua cu active false – honeypots, servere-momeală, credențiale-momeală și breadcrumbs – pe care niciun utilizator legitim sau proces automat nu ar trebui să le atingă vreodată. Deoarece aceste momeli nu au niciun scop de producție, orice interacțiune cu una dintre ele este, prin definiție, anormală. Rezultatul este un strat de detectare cu un număr de fals-pozitive aproape de zero, care se declanșează exact atunci când un adversar este deja înăuntru, îndreptându-se spre ceva care contează.

Pentru rețelele de apărare, atractivitatea este și mai pronunțată. Modelul de amenințare presupune adversari capabili, răbdători, susținuți de state, care în cele din urmă vor obține un punct de sprijin. Întrebarea nu este dacă intră, ci cât de repede sunt detectați odată ce încep mișcarea laterală. Înșelarea transformă propria recunoaștere și recoltare de credențiale a atacatorului în declanșatorul care îi expune, și face acest lucru fără a depinde de fluxuri externe – ceea ce o face la fel de viabilă în interiorul enclavelor izolate și clasificate.

Taxonomia: honeypots, honeynets și momeli

Vocabularul înșelării este adesea folosit lejer, dar distincțiile contează atunci când se proiectează o implementare.

Honeypot. Un honeypot este o singură gazdă sau serviciu înșelător, expus deliberat pentru a fi sondat, scanat sau compromis, astfel încât activitatea sa să poată fi observată. Honeypots sunt clasificate după profunzimea interacțiunii. Un honeypot cu interacțiune redusă emulează doar suprafața unui serviciu – răspunde la o conexiune pe portul 445 și prezintă un banner SMB, dar nu implementează protocolul complet. Este ieftin de operat și sigur, dar un adversar priceput detectează rapid emularea. Un honeypot cu interacțiune ridicată rulează un sistem de operare real și servicii reale într-un sandbox instrumentat, astfel încât atacatorul poate interacționa pe deplin cu el; acest lucru oferă informații bogate despre instrumente și tehnici, dar necesită o izolare atentă pentru ca honeypot-ul să nu poată fi folosit ca pivot în rețeaua reală.

Honeynet. Un honeynet este o rețea de honeypots interconectate, aranjate pentru a simula un mediu realist – o subrețea falsă cu stații de lucru atașate domeniului, servere de fișiere și un serviciu de directoare. Un atacator care aterizează în honeynet se poate deplasa lateral între momeli, iar fiecare salt, reutilizare de credențiale și comandă este înregistrat. Valoarea honeynet-ului este comportamentală: captează întregul arc al unei intruziuni într-un spațiu controlat.

Momeala și breadcrumb-ul. O momeală este orice activ fals plasat pentru a atrage sau a induce în eroare – o gazdă, un fișier, o înregistrare de bază de date sau o credențială. Un breadcrumb (sau nadă) este o momeală plantată pe un sistem real special pentru a conduce un atacator către un honeypot: o conexiune RDP salvată către un server-momeală, o credențială stocată în memorie, o unitate mapată către o partajare-momeală. Breadcrumbs sunt țesutul conjunctiv al unei implementări de înșelare; fără ele, chiar și un honeynet construit perfect nu este niciodată descoperit.

De ce momelile produc alerte de înaltă fidelitate

Proprietatea definitorie a înșelării este fidelitatea alertelor. O regulă de corelare SIEM care semnalează „execuție PowerShell anormală” trebuie să se confrunte cu realitatea că administratorii rulează în mod legitim PowerShell neobișnuit în fiecare zi; regula produce un șir de alerte pe care analiștii trebuie să le trieze, iar oboseala de alerte este modul dominant de eșec operațional al unui SOC modern. O credențială-momeală, în schimb, are exact o singură semnificație atunci când este folosită: cineva a recoltat-o dintr-un loc din care nu ar fi trebuit niciodată să fie folosită și a încercat-o. Nu există nicio explicație benignă.

De aceea alertele de înșelare sunt direcționate diferit. În loc să intre într-o coadă de triere clasată după scor, o lovitură de momeală poate fi tratată ca un semnal de intruziune confirmată și conectată direct la izolarea automată. O încercare de autentificare cu o credențială-momeală de administrator de domeniu poate declanșa un playbook SOAR care izolează gazda de origine, revocă sesiunile și alertează responsabilul de gardă – totul înainte ca un om să fi citit o singură linie de log. Economia este favorabilă: un număr mic de momeli generează un număr mic de evenimente, dar fiecare eveniment poartă o valoare informațională foarte mare.

Plasarea: interceptarea kill chain-ului

Momelile sunt utile doar acolo unde interceptează căile pe care un adversar le urmează cu adevărat. Împrăștierea aleatorie a honeypots într-o rețea produce momeli care nu sunt niciodată atinse. Plasarea eficientă este dictată de kill chain-ul post-compromitere, cartografiat în raport cu tacticile de mișcare laterală și de acces la credențiale din MITRE ATT&CK.

Nivelul mișcării laterale. După obținerea unui punct de sprijin, un atacator enumeră gazda locală în căutarea de credențiale și servicii accesibile. Momelile de aici includ credențiale stocate în memoria LSASS, intrări în Managerul de credențiale Windows, partajări SMB și NFS-momeală anunțate în descoperirea rețelei și șiruri de conexiune la bază de date-momeală lăsate în fișiere de configurare. Acestea sunt plasările cu cel mai mare randament, deoarece recoltarea de credențiale este un pas timpuriu aproape universal.

Nivelul escaladării privilegiilor. Pe măsură ce adversarul caută privilegii mai mari, conturile false de administrator de domeniu, conturile de serviciu-momeală cu nume de principal de serviciu tentante și o momeală în grupurile privilegiate ale directorului atrag activitatea de Kerberoasting și de țintire a conturilor. O încercare de autentificare împotriva unuia dintre aceste conturi este un semnal de escaladare lipsit de ambiguitate.

Nivelul bijuteriilor coroanei. În jurul țintelor reale de mare valoare – sistemele pe care adversarul le urmărește de fapt – serverele de fișiere-momeală, înregistrările-momeală din interiorul bazelor de date de producție și documentele-momeală cu apeluri integrate formează o ultimă sârmă-capcană. Obiectivul de proiectare în toate cele trei niveluri este densitatea acoperirii: orice cale realistă de la accesul inițial la obiectiv ar trebui să aibă o probabilitate ridicată de a atinge mai întâi cel puțin o momeală.

Autenticitatea: ingineria care face momelile să funcționeze

Cel mai mare factor determinant al succesului unei implementări de înșelare este dacă momelile sunt indistinctibile de producție. Un adversar capabil ia activ amprenta mediului, iar o momeală care arată ca o momeală este mai rea decât nicio momeală – îl învață pe atacator exact ce să evite și dezvăluie că se folosește înșelarea.

Autenticitatea este multidimensională. O gazdă-momeală trebuie să corespundă convenției de denumire a vecinilor săi (nu HONEYPOT-01, ci un nume de gazdă care urmează schema reală a sitului), să prezinte aceeași versiune de OS și nivel de patch-uri, să expună aceleași porturi de serviciu cu șiruri de banner corespunzătoare și să arate trafic de rețea și prezență ARP plauzibile. Credențialele-momeală trebuie să urmeze formatul real al numelui de utilizator și politica de parole a organizației și trebuie să apară în aceleași magazine în care se află credențialele reale. Fișierele-momeală au nevoie de nume, dimensiuni și marcaje temporale realiste și – esențial – de conținut credibil, dar nesensibil; pentru mediile clasificate, conținutul momelilor trebuie să fie el însuși neclasificat sau sintetic, astfel încât momelile să nu devină niciodată un risc de scurgere de date.

Menținerea acestei autenticități în timp este o disciplină operațională, nu o implementare unică. Pe măsură ce mediul real este patch-uit și redenumit, momelile care se desincronizează devin detectabile prin vechimea lor. Stratul de înșelare are nevoie, prin urmare, de aceeași gestionare a configurației și automatizare a ciclului de viață ca și patrimoniul de producție pe care îl imită.

De la interacțiune la informații

Un honeypot sau honeynet cu interacțiune ridicată face mai mult decât să alerteze – captează comportamentul adversarului în întregime. Fiecare comandă executată, fiecare instrument lăsat, fiecare credențială reutilizată și sincronizarea precisă a fiecărei acțiuni sunt înregistrate într-un mediu în care nu există nicio activitate legitimă de filtrat. Acest lucru produce o înregistrare de informații curată care alimentează direct profilarea și atribuirea actorilor de amenințare.

Valoarea informativă se cumulează. TTP-urile observate în honeynet – o tehnică specifică de mișcare laterală, un anumit framework C2, un ritm operațional distinctiv – devin logică de detectare aplicată în toată rețeaua reală. Un adversar care interacționează cu o momeală donează efectiv o amprentă comportamentală care îmbunătățește detectarea în orice altă parte. Pentru organizațiile de apărare care împărtășesc informații cu CERT-uri aliate, TTP-urile derivate din înșelare sunt deosebit de valoroase deoarece sunt observate direct, mai degrabă decât deduse din rămășițele unui incident.

Există și o dimensiune psihologică ușor de subestimat. Un adversar care află că o țintă implementează înșelare trebuie să trateze fiecare credențială, fiecare partajare și fiecare gazdă accesibilă ca fiind potențial falsă. Această incertitudine taxează operațiunea: încetinește mișcarea, forțează verificări suplimentare înainte de fiecare pas și ridică costul greșelilor, deoarece un singur pas greșit pe o momeală arde punctul de sprijin. De fapt, un strat de înșelare bine administrat nu doar detectează – degradează tempo-ul și încrederea intruziunii însăși, ceea ce pentru o rețea de apărare le oferă responsabililor resursa care contează cel mai mult în timpul unei compromiteri active, timpul.

Izolarea și riscul de pivot

Înșelarea cu interacțiune ridicată implică un pericol inerent: o gazdă reală, complet funcțională, este predată unui adversar. Dacă honeynet-ul nu este izolat riguros, atacatorul îl poate folosi ca pivot în rețeaua de producție – transformând un instrument defensiv într-o platformă de atac. Izolarea este, prin urmare, nenegociabilă. Honeynet-ul trebuie să se afle în spatele unei diode de date controlate sau al unei porți strict filtrate care permite interacțiunile de intrare necesare pentru a susține înșelarea, blocând în același timp orice cale de ieșire către activele reale. Ieșirea din honeynet către internet, dacă este permisă deloc, trebuie intermediată printr-un proxy monitorizat, astfel încât orice apel să fie observat, în loc să permită exfiltrarea datelor-momeală către infrastructura atacatorului.

Operarea unui program de înșelare în timp

Implementarea este începutul, nu sfârșitul. Un adversar care cartografiază mediul de înșelare în timpul unei campanii ar trebui să-l găsească semnificativ schimbat în următoarea. Acest lucru înseamnă rotirea credențialelor-momeală după un program, reîmprospătarea conținutului honeypots, relocarea breadcrumbs și re-stabilirea periodică a liniei de bază a autenticității în raport cu patrimoniul de producție în evoluție. Înșelarea statică se degradează: locațiile sale se scurg prin schimbul de cunoștințe între actorii de amenințare și prin propriile note ale atacatorului.

Măsurarea programului este la fel de importantă. Metrica principală este reducerea timpului de prezență al atacatorului, dar metricile de sprijin contează pentru reglaj: acoperirea cu momeli a căilor de kill chain cartografiate, timpul de la interacțiunea cu o momeală la acțiunea de izolare și raportul dintre loviturile reale de momeală și rarele fals-pozitive provenite de la scanere sau agenți de backup configurați greșit. Aceste fals-pozitive se elimină prin includerea pe lista de permisiuni a surselor de scanare cunoscute și prin amplasarea momelilor acolo unde instrumentele automate fără discernământ nu ajung – în interiorul magazinelor de credențiale, mai degrabă decât pe partajări larg enumerate, de exemplu.

Făcut bine, un strat de înșelare devine una dintre cele mai rentabile investiții de detectare pe care o rețea de apărare le poate face: un număr modest de momeli plasate cu grijă și construite autentic, care convertesc recunoașterea inevitabilă a unui adversar într-o alarmă de intruziune confirmată și care transformă fiecare angajament în informații ce întăresc restul rețelei.