HoneyPots

És un programari que implementa o simula un servei vulnerable amb l'intenció d'atraure els possibles atacants.

Es divideixen en tres nivells d'interacció:

Interacció baixa

Tan sols simula els procés d'autenticació (login). Són útils per detectar atacants dins de la xarxa.

Interacció mitja

Permeten l'autenticació i simulen un servei funcional, permetent estudiar les intencions i l'operativa del atacant dins del servei simualt. Tanmateix, al ser simulat aquest servei no té un impacte real, tant en l'equip com en l'exterior.

Interacció alta

Són un servei totalment funcional i permeten veure tota la interacció de l'atacant amb el servei i la resta de la xarxa. Aquests tipus de honeypots no són recomanables si es deixen sense vigilància ja que permetrien ser utilitzats de forma normal per un atacant i que aquest els aprofiter per fer altres activitats delictives.

Bàsicament podem donar dos utilitats a un honeypot:

Alerta d'atacant

Ens pot ser útil per aixecar una alarma conforme tenim un atacant dins de la xarxa, que fins ara no hem detectat per altres mitjans.

Estudi d'operatives d'atacs

Pot ser extremadament útil per estudiar el comportament d'un atacant, les seves intencions, les eines que utilitza, etc… Aquesta utilitat tan sols es dona en honeypots de nivell d'interacció mig o alt.

Aglutina varis honeypots, permet enviar resultats a la comunitat i a més implementa eines d'anàlisis i visualització molt potents.

iptabels -A FORWARD -m state --state NEW -s <ip_honeypot> -j DROP

Un cop tinguem el honeypot desplegat podrem accedir a la seva webmitjançant l'enllaç que ens proporciona en el banner d'inici de la VM.

Accedint amb l'usuari i password que hem creat en el procés de post-instal·lació podrem accedir a tots els panells d'informació. Aquí ens interessa Kibana que és el graficador de les estadístiques, i dins d'aquest el Dashboard corresponent a Cowrie que és el honeypot que hem expossat a Internet, i per tant l'únic que estarà rebent atacs.

Configurarem aquesta pantalla per a que mostri els resultats de l'últim any i que s'auto refresqui cada minut, tot aixó desde l'icona de calendari / rellotge.

És interessant veure varies coses a nivell de resultats. El primer de tot és adonar-nos de l'estona que passa entre que expossem el honeypot i el moment en que començem a rebre atacs. Això ens ha de fer adonar de el nivell d'expossició tenen TOTS els serveis que oferim externament des de la nostra xarxa.

Per altre banda deixem unes hores actiu el honeypot i després analitzem els resultats tot fixant-nos en coses com:

• Origen dels atacs (país).
• IPs d'origen dels atacs (màquines compromesses, sortides de TOR, reputació, etc).
• Usuaris i password dels atacs.
• Comandes utilitzades un cop dins del sistema.
• Arxius pujats.
• …

TAN SOLS PER AQUELLS QUE NO US DEIXIN EXPOSAR EL HONEYPOT A INTERNET

Donat que un dels factors perquè no us deixin fer la pràctica és el desconeixement d'aquesta peça de programari, l'objectiu d'aquesta alternativa de pràctica serà justament fer proves i demostrar que el honeypot és un entorn engabiat i per tant no suposa un risc per a la resta de la xarxa.

Aquesta alternativa, però no compleix amb els objectius originals de la pràctica ni tampoc amb els de la UF, que eren:

• Prendre consciència dels riscos d'exposar un servei a Internet.
• Conèixer els mètodes, aplicacions i motivacions dels hackers actuals.
• Veure l'estat actual i real de la seguretat informàtica a Internet.

NOTA: També fer-vos notar que tot això que fareu a partir d'aquí ho vàrem veure com a demo a classe, cadascun dels passos que es detallen a continuació els va fer el professor durant la classe del dia 8/2/21. Per tant tampoc s'està demanat res que no hagueu vist fer ja a classe.

Per fer aquesta activitat alternativa caldrà:

1. Realitzar un atac de força bruta contra el server SSH del Honeypot, per simular un intent de penetració.
2. Accedir al honeypot des del nostre PC host, tot accedint a la trampa que simula un SSH vulnerable.
3. Realitzar tot un seguit d'accions que simulin el comportament que hagués tingut un possible Hacker un cop dins del honeypot i que busquen determinar les possibilitats reals d'interacció des de dins del honepot cap a elements externs.
4. Durant el pas anterior, utilitzar un sniffer de xarxa (per exemple tcpdump) per capturar tot el tràfic del honeypot.
5. Analitzar la captura de tràfic i determinar quin tràfic generat per l'atacant a sortit realment del honeypot i quin no.
6. Treure conclusions sobre la seguretat d'exposar el honeypot a Internet i els riscos que hagués comportat.

A continuació es detallen una mica més aquests passos i què cal que feu en cadascú d'ells. Tanmateix cal que per cadascun dels passos mostreu la comanda utilitzada, el resultat obtingut i mostrar i explicar com ha quedat això reflectit al dashboard de Cowrie.