چگونه نفوذگران را فریب دهیم

در جنگ بین نفوذگران و مدیران امنیت شبکه, داشتن اطلاعات نشانهٔ قدرت است به عنوان یک مدیر امنیت شبکه, هر چه بیشتر در مورد دشمنتان و روش­های حمله او بدانید بهتر می­توانید از خودتان در مقابل او دفاع کنید

در جنگ بین نفوذگران و مدیران امنیت شبکه، داشتن اطلاعات نشانهٔ قدرت است. به عنوان یک مدیر امنیت شبکه، هر چه بیشتر در مورد دشمنتان و روش­های حمله او بدانید بهتر می­توانید از خودتان در مقابل او دفاع کنید.استفاده از Honeypotها یکی از روش­هایی است که می­توانیم اطلاعاتی در مورد دنیای نفوذگران به دست آوریم.

●Honeypot چیست؟

Honeypot یک ماشین ویژه در شبکه است که به عنوان طعمه برای نفوذگران استفاده می­شود. به طور عمدی بر روی آن سیستم عامل آلوده به یک اسب تروا[۱]، درپشتی[۲] یا سرویس­دهنده­های ضعیف و دارای اشکال نصب می­شود تا به عنوان یک ماشین قربانی، نفوذگران را به خود جذب کرده و مشغول نگه دارد. هم­چنین ممکن است بر روی چنین ماشینی اطلاعات غلط و گمراه­کننده­ای برای به اشتباه انداختن نفوذگر نیز گذاشته شود.

یک سیستم Honeypot عملاً هیچ فایده­ای برای مقاصد سرویس دهی ندارد بلکه ماشین فداکاری است که با جذب نفوذگران و گمراه کردن آن­ها با اطلاعات غلط، از دسترسی به سرویس دهنده­های حساس جلوگیری می­کند. اطلاعات غلط ممکن است ساعت­ها یک نفوذگر را معطل کند. در ضمن تشخیص این نکته که سیستم موردنظر آیا واقعاً ضعف دارد یا آن­که یک Honeypot است برای نفوذگر چندان ساده نیست.

Honeynet شبکه­ای از Honeypotهاست که به گونه­ای تنظیم می­شوند که شبیه یک شبکهٔ واقعی به نظر برسند.

●دلایل استفاده از Honeypot

Honeypotها به دو دلیل استفاده می­شوند :

اول این که نقاط ضعف سیستم را بشناسیم. مدیر سیستم می­تواند با مشاهدهٔ تکنیک­ها و روش­های استفاده شده توسط نفوذگر بفهمد سیستم چگونه شکسته می­شود و نقاط آسیب­پذیر سیستم را شناسایی و نسبت به ترمیم آن­ها اقدام کند.دلیل دوم جمع­آوری اطلاعات لازم برای تعقیب و ردگیری نفوذگران است. با توجه به آن­که نفوذگر یک سیستم ضعیف و آسیب­پذیر را در شبکه کشف می­کند بنابراین تمام تلاش­های بعدی او پیرامون سیستم Honeypot (که یک هدف قلابی است) متمرکز می­شود. می­توان یک سیستم تشخیص نفوذ[۳] (IDS) را در کنار این سیستم نصب کرد تا تلاش­های نفوذگران برای حمله به این هدف قلابی را گزارش دهد و شما بتوانید این موضوع و مبدا آن را پیگیری کنید.این در حالی است که Honeypot همزمان از شبکهٔ واقعی در برابر حملات مراقبت می­کند.هدف اصلی یک Honeypot شبیه­سازی یک شبکه است که نفوذگران سعی می­کنند به آن وارد شوند. اطلاعاتی که بعد از حمله به یک Honeypot به دست می­آید، می­تواند برای کشف آسیب­پذیری­های شبکهٔ فعلی و رفع آن­ها استفاده شود.

●Honeypot چه کارهایی می­تواند انجام دهد؟

با توجه به این که از یک Honeypot چه می­خواهیم، Honeypot می­تواند کارهای زیر را انجام دهد :

▪فراهم کردن هشدارهایی در مورد حملات در حال انجام

معطل کردن نفوذگر و دور نگه داشتن او از شبکهٔ واقعی(نفوذگران پس از شناسایی شبکه، به طور معمول از ضعیف­ترین و آسیب­پذیرترین سیستم در شبکه شروع می­کنند. زمانی که آن­ها صرف کلنجار رفتن با این سیستم قلابی می­کنند می­تواند یک آسودگی خاطر برای بقیهٔ ماشین­ها ایجاد کند.)

▪فراهم کردن امکان مونیتورینگ بلادرنگ حملات صورت گرفته

فراهم کردن اطلاعاتی در مورد جزئیات حمله (اطلاعاتی از قبیل این که نفوذگران چه کسانی هستند، چه می­خواهند، سطح مهارت­هایشان و ابزارهایی که استفاده می­کنند)

▪فراهم کردن امکان ردیابی و پیگرد قانونی نفوذگر

هم­چنین Honeypot مانع انجام کارهای زیر توسط نفوذگر می­شود :

▪دسترسی به داده­های واقعی

▪کنترل­های مدیریتی در سطح شبکه

▪دستیابی به ترافیک واقعی شبکه

▪کنترل بر دیگر ابزارهای متصل به شبکه

با استفاده از مهندسی اجتماعی[۴] می­توان Honeypot را جالب­تر کرد. هرچه Honeynet شما به شبکهٔ سازمان شما شبیه­تر باشد، محیط واقعی­تر است و باعث می­شود نفوذگران آن را بیشتر باور کنند و حتی نفوذگران حرفه­ای هم به راحتی فریب بخورند. یک پیشنهاد خوب این است که تعدادی حساب کاربری تعریف کرده و به آن­ها یک سری دایرکتوری و اسناد اختصاص بدهید، برایشان پست الکترونیکی تعریف کنید، آنها را به لیست­های پستی اضافه کنید، ...

هم­چنین می­توان توسط این سیستم نفوذگران را فریفت. به عنوان مثال وقتی نفوذگر یک ابزار استراق سمع[۵] روی هدف قلابی(سیستم Honeypot) نصب می­کند اطلاعات غلط و بیهوده برای او ارسال می­شود و او به خیال آن که نفوذش در شبکه واقعی است، ساعت­ها وقت تلف می­کند تا این اطلاعات غلط را تحلیل کند.به یاد داشته باشید که Honeypotای که مورد حمله واقع نشود به هیچ دردی نمی­خورد. بنابراین باید آن­ را تا حد امکان برای نفوذگر جذاب کنید، البته تا حدی که شک نفوذگران حرفه­ای را برنینگیزد.هرچقدر یک نفوذگر دفعات بیشتری به Honeypot وصل شود، شما بیشتر به اهداف خود دست می­یابید.

●محل قرار گرفتن Honeypot در شبکه

یک Honeypot می­تواند در هرجایی که یک سرویس دهنده قادر است قرار بگیرد، واقع شود ولی مطمئناً برخی جاها بهتر از بقیه است.یک Honeypot با توجه به سرویس­های مورد استفاده می­تواند در اینترنت یا اینترانت مورد استفاده قرار گیرد. اگر بخواهیم فعالیت­های خرابکارانهٔ اعضای ناراضی را در شبکهٔ خصوصی کشف کنیم قرار دادن Honeypot در اینترانت مفید است. در اینترانت Honeypot پشت دیوارهٔ آتش قرار می­گیرد.

در شبکهٔ اینترنت یک Honeypot می­تواند در یکی از محل­های زیر قرار گیرد :

۱-جلوی دیوارهٔ آتش

۲-درون ­[۶]DMZ

هر کدام از این دو مزایا و معایبی دارد که به آن می­پردازیم.با قرار گرفتن Honeypot در جلوی دیوارهٔ آتش، خطر داشتن یک سیستم تحت سیطرهٔ نفوذگر در پشت دیوارهٔ آتش از بین می­رود و هیچ خطر اضافی (منتج از نصب Honeypot) متوجه شبکهٔ داخلی نمی­شود.یک Honeypot مقداری ترافیک ناخواسته مثل پویش درگاه یا الگوهای حمله را ایجاد و جذب می­کند که با قرار دادن Honeypot در بیرون از دیوارهٔ آتش چنین وقایعی توسط دیوارهٔ آتش ثبت نمی­شود و سیستم تشخیص نفوذ داخلی (که در حالت عادی در مواجهه با چنین رخدادهایی هشدار تولید می­کند) پیغام هشدار تولید نمی­کند.عیب قرار گرفتن Honeypot جلوی دیوارهٔ آتش این است که نفوذگران داخلی به راحتی فریب نمی­خورند، مخصوصاً اگر دیوارهٔ آتش ترافیک خروجی و در نتیجه ترافیک دریافتی Honeypot را محدود کند.قرار گرفتن Honeypot درون یک DMZ یک راه­حل خوب به نظر می­رسد به شرطی که امنیت دیگر سیستم­های درون DMZ در برابر Honeypot برقرار شود. از آن­جایی که فقط سرویس­های مورد نیاز اجازهٔ عبور از دیوارهٔ آتش را دارند، دسترسی کامل به اغلب DMZها ممکن نیست. به این دلیل و با توجه به این­که تنظیم قوانین مرتبط روی دیوارهٔ آتش کاری زمانبر و مخاطره­آمیز است، در چنین حالتی قرار دادن Honeypot جلوی دیوارهٔ آتش مورد توجه قرار می­گیرد.قرار دادن Honeypot پشت دیوارهٔ آتش، می­تواند باعث بروز خطرات امنیتی جدیدی در شبکهٔ داخلی شود، مخصوصاً اگر شبکهٔ داخلی توسط دیواره­های آتش اضافی در برابر Honeypot ایمن نشده باشد. توجه داشته باشید که اگر Honeypot را پشت یک دیوارهٔ آتش قرار می­دهید، باید قوانین دیوارهٔ آتش را طوری تنظیم کنید که دسترسی از اینترنت مجاز باشد.

بزرگ­ترین مشکل وقتی به وجود می­آید که یک نفوذگر خارجی کنترل Honeypot داخلی را در اختیار می­گیرد. در این صورت نفوذگر امکان دسترسی به شبکهٔ داخلی را از طریق Honeypot به دست می­آورد. زیرا این ترافیک، به عنوان ترافیک ورودی به Honeypot در نظر گرفته می­شود و از آن­جایی که ترافیک ورودی به Honeypot مجاز است، دیوارهٔ آتش جلوی عبور این ترافیک را نمی­گیرد. بنابراین ایمن کردن Honeypot داخلی ضروری است. دلیل اصلی قرار گرفتن Honeypot پشت دیوارهٔ آتش شناسایی نفوذگران داخلی است.بهترین راه­حل قرار دادن یک Honeypot درون DMZ به همراه یک دیوارهٔ آتش است. بسته به این­که هدف شناسایی نفوذگران داخلی یا خارجی است، دیوارهٔ آتش می­تواند به اینترنت یا اینترانت وصل شود.در حقیقت شما می­خواهید از طریق Honeypot یک مانور ترتیب بدهید و به یک دشمن فرضی حمله کنید یا در مقابل یک دشمن فرضی بایستید. لذا شرایط را به صورت واقعی تنظیم کنید.

نویسنده : حسن تكابی

ناشر : مهندسی شبكه همكاران سیستم

---