Honeypot nədir?

BU NƏDİR?

Honeypot — real sistemi təqlid edən, lakin əslində heç bir istehsalat funksiyası daşımayan, xüsusi olaraq hakerləri cəlb etmək üçün qurulmuş "yem" sistem və ya cihazdır. Termin əvvəlcə casusluq dünyasından gəlir — "honey trap" (bal tələsi) düşməni kompromat vasitəsilə ələ keçirmək taktikasıdır (Kaspersky). Kibertəhlükəsizlikdə isə honeypot real məlumat və tətbiqləri olan qanuni server kimi görünür, lakin həqiqi məzmun daşımır.

İlk honeypot təcrübəsi 1991-ci ildə baş verib: haker serverə giriş əldə etdikdən sonra administratorlar onu bir aydan çox müşahidə ediblər — bu, indiki threat intelligence sənayesinin başlanğıc nöqtələrindən biri sayılır (Okta).

NECƏ İŞLƏYİR?

Görünüş və cəlbedicilik. Honeypot qəsdən zəif qorunan sistem kimi qurulur — açıq port, köhnə proqram versiyası və ya "vacib" görünən saxta fayllar hücumçunu cəlb etmək üçün istifadə olunur.

İzolyasiya. Honeypot əsas infrastrukturdan tam ayrılıb — ona daxil olan trafik default olaraq şübhəli sayılır, çünki heç bir qanuni istifadəçinin ora girmək üçün səbəbi yoxdur.

Monitorinq və qeydiyyat. Hücumçu sistemə daxil olan kimi onun bütün hərəkətləri detallı şəkildə qeydə alınır (ESET Glossary).

Növləri. Aşağı-interaktiv honeypot-lar yalnız məhdud xidmətləri simulyasiya edir, yüksək-interaktiv honeypot-lar isə tam funksional sistemi təqlid edərək daha zəngin məlumat verir (Anomali).

MƏŞHUR TƏTBİQ HALLARI

Tədqiqat honeypot-ları yeni zərərli proqram nümunələrini öyrənmək üçün istifadə olunur. Korporativ mühitdə gizlədilmiş honeypot real zərər dəyməmişdən əvvəl şəbəkəyə giriş əldə edilməsinin ilk əlamətini verir və hücumçunun vaxtını real aktivlərdən uzaqlaşdırır (SOCRadar).

MİFLƏR VƏ REALLIQ

Mif: Honeypot şəbəkəni hücumlardan qoruyur. Reallıq: Honeypot heç bir trafiki bloklamır — o, yalnız aşkarlama və tədqiqat vasitəsidir.

Mif: Honeypot qurmaq hüquqi tələ (entrapment) sayılır. Reallıq: Öz infrastrukturunuzda honeypot işlətmək qanunidir; "entrapment" anlayışı əsasən hüquq-mühafizə orqanlarına aiddir (SOCRadar).

TƏHLÜKƏSİZ VƏ QANUNI NECƏ İSTİFADƏ ETMƏLİ

• Honeypot-u yalnız öz sahib olduğunuz və ya işlətməyə açıq icazəniz olan infrastrukturda qurun.
• Onu əsas şəbəkədən tam segmentasiya ilə ayırın.
• Toplanan məlumatları yerli qanunvericiliyə uyğun saxlayın.
• Öyrənmək üçün izolyasiya edilmiş mühitlərdən və açıq mənbəli platformalardan istifadə edin.

Faydalı linklər:

• T-Pot — açıq mənbəli honeypot platforması: github.com/telekom-security/tpotce
• Cowrie SSH/Telnet honeypot: github.com/cowrie/cowrie
• The Honeynet Project — rəsmi tədqiqat təşkilatı: honeynet.org
• Kaspersky — Honeypot nədir: usa.kaspersky.com

Bu cür alət və texnikaları sadəcə tərif səviyyəsində deyil, praktiki şəkildə öyrənmək istəyirsinizsə — JetSchool-da kibertəhlükəsizlik kursuna qoşulun.