Che cos’è un honeypot? Come migliorare la tua sicurezza IT

Nel contesto della sicurezza informatica, honeypot deriva da un termine utilizzato nel controspionaggio che indica il modo in cui una spia viene attirata in una trappola da parte di un partner attraente. Nel campo della sicurezza informatica, un honeypot è un sistema esca che i team IT possono utilizzare per attirare gli aggressori e raccogliere informazioni sulle minacce.

Sebbene gli honeypot si siano guadagnati un posto nella cassetta degli attrezzi degli analisti di sicurezza informatica, raramente finiscono sulle prime pagine dei giornali. La situazione è rimasta tale fino al 2021, quando milioni di indirizzi IP inattivi, di proprietà del Pentagono, sono stati improvvisamente rimessi in uso. Le policy del Border Gateway Protocol (BGP) hanno rivelato che questi indirizzi erano ora gestiti da un’organizzazione del tutto sconosciuta, la Global Resource Systems. Essendo stata fondata solo nel settembre di quell’anno, non aveva alle spalle alcuna esperienza in materia di appalti federali né disponeva di un sito web rivolto al pubblico. Attualmente, la misteriosa Global Resource Systems possiede quasi il 6% di tutti gli indirizzi IPv4 e mantiene il controllo sulla maggior parte dei vecchi indirizzi dell’esercito. 

I timori relativi a lacune nella sicurezza e a soggetti malintenzionati interni hanno preso il sopravvento fino a quando il Defense Digital Service (DDS) non è intervenuto assumendosi la responsabilità. Il DDS si occupa di garantire la sicurezza del Dipartimento della Difesa (DoD) durante lo svolgimento di progetti sperimentali. I responsabili della sicurezza delle reti non hanno tardato a cogliere il sottinteso: il Dipartimento della Difesa aveva appena creato il più grande honeypot del mondo. 

Capire cos’è un honeypot

Gli attacchi informatici automatizzati rappresentano un mercato nero da svariati milioni di dollari. Su Internet sono costantemente all’opera bot dannosi; le reti vulnerabili possono essere individuate e analizzate con strumenti gratuiti come Wireshark. Per quanto riguarda le applicazioni, un recente rapporto ha rilevato che un attacco su cinque è un attacco di tipo “fuzzing”, che si avvale dell’automazione per individuare e sfruttare le vulnerabilità note. Parte del suo successo deriva dal fatto che molte reti aziendali sono sostanzialmente aperte. Una volta che un utente non autorizzato riesce ad accedere, può spostarsi in qualsiasi parte della rete. 

L’honeypot segmenta e lascia deliberatamente una rete o un dispositivo esposti, per creare un ambiente di prova in cui simulare attacchi reali. Gli honeypot vengono resi allettanti incorporando intenzionalmente delle vulnerabilità di sicurezza. Per esempio, un honeypot potrebbe includere porte progettate per essere segnalate durante le scansioni delle porte effettuate da un aggressore, oppure presentare schermate di accesso apparentemente prive di protezione. Le informazioni concrete che gli honeypot consentono di raccogliere li rendono ottimi strumenti di formazione per il personale addetto alla sicurezza. Poiché un honeypot rimane isolato dai dati aziendali reali ad alto rischio, gli analisti della sicurezza hanno la possibilità di concentrarsi al 100% sulla minaccia per analizzarla.

Tipi di honeypot e loro utilizzi

Il potenziale di intelligence offerto dagli honeypot è pressoché illimitato. Grazie a questa flessibilità intrinseca, ne esistono molti tipi diversi. Le informazioni sugli attacchi di un’organizzazione possono essere ricavate da uno o da una combinazione dei seguenti formati:

Trappole e-mail

L’azienda inserisce un indirizzo e-mail inutilizzato all’interno di una risorsa accessibile al pubblico, nascondendolo agli occhi degli utenti. Questo indirizzo e-mail viene lasciato esposto affinché venga raccolto dai programmi automatizzati di raccolta di indirizzi e-mail, che setacciano il web. Poiché la casella di posta in arrivo è riservata esclusivamente a questo honeypot, offre agli analisti una visibilità completa sullo spam utilizzato contro i dipendenti. Ogni e-mail che arriva in questa casella di posta aggiunge un dato a una campagna proattiva di protezione dal phishing.

Honeypot spider

I web crawler – noti anche come web spider – sono programmi automatizzati che indicizzano e scaricano contenuti da Internet. Partendo da una serie di pagine web note, i web crawler funzionano seguendo un collegamento ipertestuale verso un’altra pagina, selezionando un altro URL presente in quella pagina e così via. Alcuni crawler sono utili, come quelli di Google, che aiutano a classificare e indicizzare i risultati pertinenti per gli utenti. Tuttavia, anche gli autori di attacchi malevoli possono cercare informazioni rilevanti sulla tua organizzazione. Le trappole spider utilizzano link e pagine fasulle accessibili solo agli stessi crawler. Man mano che monitori i loro modelli comportamentali, avrai una visione più approfondita dei modelli di navigazione automatizzata. Questo può quindi fornirti indicazioni utili per la tua strategia contro i bot dannosi.

Honeypot per malware

Una delle forme più complesse di honeypot, l’honeypot per malware, simula un’applicazione e le relative API. Agli autori degli attacchi viene offerta l’opportunità di sfruttare eventuali vulnerabilità, contribuendo così a far luce su percorsi di attacco più articolati che, altrimenti, potrebbero essere utilizzati per ottenere l’accesso. Questa analisi può quindi essere integrata nei software anti-malware o utilizzata per correggere le vulnerabilità delle API.

Database esca

L’ultimo elemento dell’infrastruttura del tuo honeypot è un database esca, che induce il potenziale aggressore a tentare l’attacco. È fondamentale non memorizzare dati reali e sensibili in questo database fittizio, poiché l’obiettivo è quello di sottoporre a stress test qualsiasi architettura di sistema non sicura che possa portare a attacchi di tipo SQL injection e all’abuso di privilegi.

Honeypot a bassa interazione vs honeypot ad alta interazione

Gli honeypot presentano diversi livelli di interattività. Un honeypot a bassa interazione è progettato per offrire l’accesso minimo indispensabile al sistema, quanto basta per registrare la richiesta iniziale di un attacco. 

Al contrario, un honeypot ad alta interazione offre una gamma di funzionalità molto più ampia. Anziché una facciata, offre agli autori degli attacchi una piattaforma interattiva per svolgere attività successive allo sfruttamento della vulnerabilità. Ciò offre ai ricercatori nel campo della sicurezza e agli analisti di malware una visione privilegiata dell’obiettivo dell’autore dell’attacco, degli strumenti che utilizza per l’escalation dei privilegi e delle vulnerabilità che sfrutta contro l’honeypot. Tuttavia, questa forma di honeypot richiede un impiego di risorse e competenze notevolmente maggiore.

Rischi legati all’uso di un honeypot

Sebbene gli honeypot siano preziosi per monitorare il panorama delle minacce, è fondamentale riconoscerne i limiti. Per esempio, sono in grado di rilevare solo l’attività diretta verso lo stesso honeypot, il che significa che potrebbero non riuscire a fornire un quadro completo di tutte le minacce esistenti. 

Se configurato correttamente, un honeypot efficace può indurre in modo convincente gli aggressori a credere di aver violato il sistema vero e proprio. Riproduce gli avvisi di accesso, i campi dati, l’aspetto grafico e i loghi in modo identico a quelli dei vostri sistemi originali. Tuttavia, se un malintenzionato lo identifica come un honeypot, potrebbe concentrare i propri sforzi sugli altri sistemi, lasciando il honeypot intatto. Inoltre, una volta che un honeypot è stato “identificato”, un aggressore può ribaltare la situazione a tuo sfavore fornendogli informazioni false.

Ancora più preoccupante è il fatto che un hacker esperto potrebbe utilizzare un honeypot come punto di accesso ai tuoi sistemi. Ecco perché gli honeypot non dovrebbero mai sostituire i controlli di sicurezza essenziali. Un “honeywall” può garantire una protezione di base agli honeypot, impedendo che gli attacchi si propaghino ai sistemi attivi.

Configurare un honeypot per rilevare le intrusioni nella rete

Configurare un honeypot e renderlo pronto a rilevare le anomalie è un’operazione rapida. Tuttavia, mantenerlo in questo stato può rivelarsi un compito ben più impegnativo. Tenendo presente questo, i passaggi seguenti ti guideranno attraverso la configurazione e oltre.

1. Scegli la tua piattaforma

Sebbene l’hosting on-prem sia un’opzione valida, il cloud rappresenta l’ambiente più sicuro in cui ospitare un nuovo honeypot, grazie al fatto che molti fornitori di servizi cloud offrono una qualche forma di macchina virtuale gratuita. Le VM rappresentano una delle configurazioni più sicure; se vengono compromesse, basta semplicemente riavviarle e ripristinarle. 

2. Configura la tua architettura

Puoi scegliere le immagini di macchina che definiscono il software della virtual machine su una piattaforma come AWS. È qui che è possibile avviare un sistema operativo specifico e le relative applicazioni. Allo stesso tempo, la scelta del tipo di istanza determina il numero di core CPU e la quantità di RAM di cui disporrà la virtual machine. 

Altrettanto importante è stabilire quali eventi saranno monitorati dal programma honeypot. Tra i punti di interesse più comuni figurano i tentativi di accesso e le modifiche ai file; tenendo presente questo aspetto, è opportuno configurare un metodo di registrazione alternativo, poiché gli autori di attacchi potrebbero alterare i file di log dell’honeypot. Conservarli fuori dall’honeypot può aiutare a evitare problemi.

3. Scegli le impostazioni di rete

L’honeypot è posizionato all’esterno di un firewall interno per garantire il miglior compromesso tra sicurezza e prestazioni. Ulteriori modifiche possono includere la configurazione del firewall esterno in modo da mantenere aperte solo le porte necessarie. Questo approccio contribuisce inoltre a deviare il traffico dannoso verso l’honeypot, allontanandolo dalla rete interna. Chiudere tutte le altre porte garantisce una maggiore sicurezza e conferisce ulteriore realismo al software esca. 

Oltre ad adottare adeguate misure di sicurezza della rete, assicurati di garantire un’igiene di sicurezza di prim’ordine assegnando un nome all’istanza. Ciò facilita l’identificazione. Inoltre, durante la configurazione iniziale, assicurati di consentire l’accesso in entrata esclusivamente dal tuo router o dalla tua VPN. Questo ti permette di testare il tuo servizio honeypot senza esporlo a potenziali attacchi finché non sarai pronto. In questa fase, gli scanner di porte come Nmap risultano utili.

4. Effettua alcuni controlli finali

Infine, esegui qualche operazione all’interno dell’honeypot e poi controlla i log del server corrispondente. Se nei log manca qualcosa, assicurati che il sistema di rilevamento delle intrusioni della tua organizzazione non stia segnalando una scansione delle porte. Ciò potrebbe indurre un malintenzionato a cercare altrove. Una volta che tutto è pronto, il tuo nuovo honeypot può essere messo in produzione; monitoralo attentamente e perfeziona la configurazione. 

Se preferisci guardare un video sull’argomento, ecco la nostra guida video Che cos’è un honeypot?, con una spiegazione dettagliata passo per passo

Gli honeypot non sostituiscono le misure di protezione

Gli honeypot offrono una comprensione senza pari dei meccanismi degli attacchi in tempo reale. Per esempio, la scoperta da parte di SophosLabs della botnet Chalubo è avvenuta grazie a un server honeypot che simulava di essere vulnerabile agli attacchi distribuiti di tipo denial-of-service (DDoS). In questo modo, hanno scoperto che uno dei componenti principali di Chalubo era un downloader ottimizzato specificamente per hardware dotato di processori Intel x86.

È proprio a questo punto, tuttavia, che emergono i limiti dell’honeypot. Offre una protezione effettiva davvero minima per gli endpoint presi di mira; quei processori Intel devono comunque essere protetti. 

La protezione degli endpoint di NinjaOne offre ai team IT e agli MSP un controllo completo sulle applicazioni e sulle configurazioni del loro ambiente IT. Scopri come l’integrazione con un solo clic di NinjaOne possa migliorare la granularità del tuo software antivirus e potenziare il tuo team di assistenza tecnica fin da oggi.