Pote de mel (computação)

​

Na terminologia de computador, um pote de mel é um mecanismo de ​​segurança de computador configurado para detectar, desviar ou, de alguma maneira, neutralizar tentativas de uso não autorizado de sistemas de informação. Geralmente, um pote de mel consiste em dados (por exemplo, em um site da rede) que parecem ser uma parte legítima do site e contêm informações ou recursos de valor para os invasores. Na verdade, é isolado, monitorado e capaz de bloquear ou analisar os invasores. Isso é semelhante a operações policiais, coloquialmente conhecidas como "atrair" um suspeito.

Diagrama de um pote de mel de sistema de informação

Tipos

Os potes de mel podem ser classificados com base em sua implantação (uso/ação) e em seu nível de envolvimento. Com base na implantação, os potes de mel podem ser classificados como:

• Potes de mel de produção
• Potes de mel de pesquisa

Os potes de mel de produção são fáceis de usar, capturam apenas informações limitadas e são usados principalmente por empresas. Os potes de mel de produção são colocados dentro da rede de produção com outros servidores de produção por uma organização para melhorar seu estado geral de segurança. Normalmente, os potes de mel de produção são potes de mel de baixa interação, que são mais fáceis de implantar. Eles fornecem menos informações sobre os ataques ou invasores do que os potes de mel de pesquisa.

Os potes de mel de pesquisa são executados para reunir informações sobre os motivos e táticas da comunidade de chapéu preto que visa diferentes redes. Esses potes de mel não agregam valor direto a uma organização específica; em vez disso, eles são usados para pesquisar as ameaças que as organizações enfrentam e aprender como se proteger melhor contra essas ameaças. Os potes de mel de pesquisa são complexos de implantar e manter, capturam informações extensas e são usados principalmente por organizações de pesquisa, militares ou governamentais.

Com base em critérios de design, os potes de mel podem ser classificados como:

• Potes de mel puros
• Potes de mel de alta interação
• Potes de mel de baixa interação

Os potes de mel puros são sistemas de produção completos. As atividades do invasor são monitoradas por meio de um bug tap que foi instalado no link do pote de mel com a rede. Nenhum outro software precisa ser instalado. Mesmo que um pote de mel puro seja útil, a furtividade dos mecanismos de defesa pode ser garantida por um mecanismo mais controlado.

Os potes de mel de alta interação imitam as atividades dos sistemas de produção que hospedam uma variedade de serviços e, portanto, um invasor pode receber muitos serviços para desperdiçar seu tempo. Ao empregar máquinas virtuais, vários potes de mel podem ser hospedados em uma única máquina física. Portanto, mesmo se o pote de mel estiver comprometido, ele pode ser restaurado mais rapidamente. Em geral, os potes de mel de alta interação fornecem mais segurança por serem difíceis de detectar, mas são caros de manter. Se as máquinas virtuais não estiverem disponíveis, um computador físico deve ser mantido para cada pote de mel, o que pode ser exorbitante. Exemplo: Honeynet.

Os potes de mel de baixa interação simulam apenas os serviços frequentemente solicitados pelos invasores. Como consomem relativamente poucos recursos, várias máquinas virtuais podem ser facilmente hospedadas em um sistema físico, os sistemas virtuais têm um tempo de resposta curto e menos código é necessário, reduzindo a complexidade da segurança do sistema virtual. Exemplo: Honeyd.

Tecnologia de engano

Recentemente, um novo segmento de mercado chamado tecnologia de engano surgiu usando a tecnologia básica de pote de mel com a adição de automação avançada para escala. A tecnologia de engano aborda a implantação automatizada de recursos de pote de mel em uma grande empresa comercial ou instituição governamental.

Potes de mel de malware

Os potes de mel de malware são usados para detectar malware, explorando a replicação conhecida e os vetores de ataque de malware. Os vetores de replicação, como unidades flash USB, podem ser facilmente verificados quanto a evidências de modificações, seja por meios manuais ou utilizando potes de mel para fins especiais que emulam unidades. Cada vez mais, o malware é usado para pesquisar e roubar criptomoedas.

Versões de spam

Os spammers abusam de recursos vulneráveis, como retransmissores de e-mails e proxies abertos. Esses são servidores que aceitam e-mail de qualquer pessoa na Internet - incluindo spammers - e os enviam ao seu destino. Alguns administradores de sistema criaram programas pote de mel que se disfarçam como esses recursos abusivos para descobrir a atividade do spammer.

Existem vários recursos que esses potes de mel fornecem a esses administradores e a existência de tais sistemas, falsos e abusáveis, torna o abuso mais difícil ou arriscado. Os potes de mel podem ser uma contramedida poderosa contra o abuso daqueles que dependem de um abuso de alto volume (por exemplo, spammers).

Esses potes de mel podem revelar o endereço IP do abusador e fornecer captura de spam em massa (que permite aos operadores determinar os URLs dos spammers e mecanismos de resposta). Conforme descrito por M. Edwards na ITPRo Today:

Normalmente, os spammers testam um servidor de e-mail para retransmissão aberta, simplesmente enviando uma mensagem de e-mail para si mesmos. Se o spammer receber a mensagem de e-mail, o servidor de e-mail obviamente permite a retransmissão aberta. Operadores de potes de mel, no entanto, podem usar o teste de retransmissão para impedir spammers. O pote de mel captura a mensagem de e-mail de teste de retransmissão, retorna a mensagem de e-mail de teste e, subsequentemente, bloqueia todas as outras mensagens de e-mail desse spammer. Os spammers continuam a usar o pote de mel antispam para spam, mas o spam nunca é entregue. Enquanto isso, o operador do pote de mel pode notificar os ISPs dos spammers e ter suas contas de acesso à Internet canceladas. Se os operadores de potes de mel detectarem spammers que usam servidores proxies abertos, eles também podem notificar os operadores do servidores proxies para bloquearem os servidores e evitaren mais usos indevidos.

A fonte aparente pode ser outro sistema abusado. Os spammers e outros abusadores podem usar uma cadeia de tais sistemas abusados para dificultar a detecção do ponto de partida original do tráfego abusivo.

Isso por si só é indicativo do poder dos potes de mel como ferramentas antispam. Nos primeiros dias dos potes de mel antispam, os spammers com pouca preocupação em ocultar sua localização se sentiam seguros testando vulnerabilidades e enviando spam diretamente de seus próprios sistemas. Os potes de mel tornaram os abusos mais arriscados e difíceis.

O spam ainda flui por meio de retransmissões abertas, mas o volume é muito menor do que em 2001-02. Enquanto a maioria do spam se origina nos Estados Unidos, os spammers saltam através de retransmissores abertos através das fronteiras políticas para mascarar sua origem. Operadores de pote de mel podem usar testes de retransmissão interceptados para reconhecer e impedir tentativas de retransmissão de spam por meio de seus potes de mel. "Impedir" pode significar "aceitar o spam de retransmissão, mas se recusar a o entregar". Os operadores do pote de mel podem descobrir outros detalhes sobre o spam e o spammer examinando as mensagens de spam capturadas.

Os potes de mel de retransmissão aberta incluem o Jackpot, escrito em Java por Jack Cleaver; o smtpot.py, escrito em Python por Karl A. Krueger; e o spamhole, escrito em C. O Bubblegum Proxypot é um pote de mel de código aberto (ou "proxypot").

Armadilha de e-mail

Um endereço de e-mail que não seja usado para nenhum outro propósito além de receber spam também pode ser considerado um pote de mel de spam. Comparado com o termo "spamtrap", o termo "pote de mel" pode ser mais adequado para sistemas e técnicas usados para detectar ou contra atacar probes. Com uma armadilha de spam, o spam chega ao seu destino "legitimamente" - exatamente como um e-mail sem spam chegaria.

Um amálgama dessas técnicas é o Project Honey Pot, um projeto distribuído de código aberto que usa páginas pote de mel instaladas em sites de todo o mundo. Essas páginas pote de mel disseminam endereços de e-mail de spamtrap marcados exclusivamente e os spammers podem então ser rastreados - o e-mail de spam correspondente é subsequentemente enviado a esses endereços de e-mail de spamtrap.

Pote de mel de banco de dados

Frequentemente, os bancos de dados são atacados por invasores usando injeção de SQL. Como tais atividades não são reconhecidas por firewalls básicos, as empresas costumam usar firewalls de banco de dados para proteção. Alguns dos firewalls de banco de dados SQL disponíveis fornecem/suportam arquiteturas de pote de mel para que o invasor execute em um banco de dados de armadilhas enquanto o aplicativo da web permanece funcional.

Detecção de pote de mel

Assim como os potes de mel são armas contra spammers, os sistemas de detecção de potes de mel são contra armas empregadas por spammers. Como os sistemas de detecção provavelmente usariam características exclusivas de potes de mel específicos para os identificar, como os pares de valor de propriedade da configuração de pote de mel padrão, muitos potes de mel em uso utilizam um conjunto de características exclusivas maiores e mais assustadoras para aqueles que procuram detectar e assim os identificar. Esta é uma circunstância incomum em software; uma situação em que o "versionitis" (um grande número de versões do mesmo software, todas ligeiramente diferentes umas das outras) pode ser benéfico. Também há uma vantagem em ter alguns potes de mel fáceis de detectar implantados. Fred Cohen, o inventor do deception toolkit, argumenta que todo sistema executando seu pote de mel deve ter uma porta de engano que os adversários podem usar para detectar o pote de mel. Cohen acredita que isso pode dissuadir os adversários.

Riscos

O objetivo dos potes de mel é atrair e engajar invasores por um período suficientemente longo para obter indicadores de comprometimento (IoC) de alto nível, como ferramentas de ataque e táticas, técnicas e procedimentos (TTPs). Assim, um pote de mel precisa emular serviços essenciais na rede de produção e conceder ao invasor a liberdade de executar atividades adversárias para aumentar sua atratividade para o invasor. Embora o pote de mel seja um ambiente controlado e possa ser monitorado usando ferramentas como o honeywall, os invasores ainda podem ser capazes de usar alguns potes de mel como nós de pivô para penetrar nos sistemas de produção. Essa compensação entre a atratividade do pote de mel e o risco de penetração foi investigada qualitativamente e quantitativamente.

O segundo risco dos potes de mel é que eles podem atrair usuários legítimos devido à falta de comunicação em redes corporativas de grande escala. Por exemplo, a equipe de segurança que aplica e monitora o pote de mel pode não divulgar a localização do pote de mel para todos os usuários a tempo devido à falta de comunicação ou à prevenção de ameaças internas. Um modelo teórico de jogo foi proposto para simultaneamente incentivar usuários adversários e desincentivar usuários legítimos para o acesso ao pote de mel, explorando a diferença de utilidade entre dois tipos de usuários.

Redes de mel

"Uma rede de mel é uma rede de potes de mel de alta interação que simula uma rede de produção e é configurada de forma que toda a atividade seja monitorada, registrada e, em certo grau, discretamente regulada."

-Lance Spitzner,
Honeynet Project

Dois ou mais potes de mel em uma rede formam uma rede potes de mel. Normalmente, uma rede pote de mel é usada para monitorar uma rede maior e/ou mais diversa na qual um pote de mel pode não ser suficiente. Redes de mel e potes de mel são geralmente implementados como partes de sistemas de detecção de intrusão de redes maiores. Uma fazenda de mel é uma coleção centralizada de potes de mel e ferramentas de análise.

O conceito de rede de mel começou em 1999 quando Lance Spitzner, fundador do Honeynet Project, publicou o artigo "Para construir um pote de mel".

História

As primeiras técnicas de pote de mel são descritas no livro de Clifford Stoll, de 1989, O ovo do cuco.

Um dos primeiros casos documentados de uso de um pote de mel na segurança cibernética começou em janeiro de 1991. Em 7 de janeiro de 1991, enquanto trabalhava na AT&T Bell Laboratories, Cheswick observou um hacker criminoso, conhecido como cracker, tentando obter uma cópia de um arquivo de senha . Cheswick escreveu que ele e seus colegas construíram uma "prisão" chroot (ou "motel para baratas") ", que lhes permitiu observar o invasor por um período de vários meses.ref>«Uma noite com Bernard em que um cracker é seduzido, suportado e estudado» (PDF). cheswick.com (em inglês). Consultado em 3 de fevereiro de 2021 </ref>

Em 2017, a polícia holandesa usou técnicas de pote de mel para rastrear usuários do mercado darknet Hansa.

A metáfora de um urso sendo atraído e roubando mel é comum em muitas tradições, incluindo a germânica, a céltica e a eslava. Uma palavra eslava comum para o urso é medved "comedor de mel". A tradição de ursos roubando mel foi transmitida por meio de histórias e folclore, especialmente do conhecido ursinho Pooh.

Further reading

• Lance Spitzner (2002). Potes de mel rastreando hackers (em inglês). [S.l.]: Addison-Wesley. ISBN 0-321-10895-7 
• Sean Bodmer; Max Kilger; Gregory Carpenter; Jade Jones (2012). Engano reverso: contra exploração de ameaças cibernéticas organizadas (em inglês). [S.l.]: McGraw Hill Education. ISBN 978-0-07-177249-5 

Ligações externas

• Projeto de potes de mel de proxy aberto distribuído: WASC (em inglês)
• Instituto SANS: O que é um pote de mel? (em inglês)
• Instituto SANS: envasamento de mel fundamental(em inglês)
• Projeto pote de mel(em inglês)
• Uma lista selecionada de potes de mel, ferramentas e componentes focados em projetos de código aberto (em inglês)