Návnada na útočníky

    Honeypot: past, do které útočník sám vleze

    FlowPro NG sbírá události z honeypotu T-Pot, který předstírá zranitelné služby. Ukáže, kdo útočí, odkud, jaká hesla zkouší a co dělá po přihlášení. Legitimní uživatel na honeypot nemá důvod chodit, takže každé spojení stojí za pozornost.
    Vyzkoušet 14 dní zdarmaOnline demo
    flowpro.local/honeypot
    Přehled honeypotu ve FlowPro NG

    Logy jsou plné šumu. Honeypot se ozve jen tehdy, když na něj někdo sáhne.

    Na skutečných serverech se útok ztrácí mezi tisíci běžných přihlášení a požadavků. Honeypot žádnou legitimní práci nedělá, takže všechno, co na něm zachytíte, je skenování, zkoušení hesel nebo pokus o průnik. Bez falešných poplachů z běžného provozu.

    Honeypot vystavený do internetu ukáže, jaká hesla a exploity útočníci právě používají. Honeypot uvnitř sítě slouží jako včasné varování: když se na něj někdo připojí z vaší LAN, nejspíš už je uvnitř a rozhlíží se po dalších cílech.

    Co získáte

    Honeypot ve FlowPro NG

    Mnoho služeb na jednom serveru

    T-Pot spouští honeypoty v Docker kontejnerech: Cowrie (SSH/Telnet), Dionaea (SMB, HTTP, FTP), Heralding, Mailoney (SMTP), Conpot (Modbus, S7comm), ADBHoney, CitrixHoneypot a další. Provoz na nich kontroluje i Suricata.

    Útočníci a jejich původ

    IP adresy útočníků s geolokací, ASN a počtem útoků. Mapa a časová osa ukážou, odkud a kdy útoky přicházejí a na které porty míří.

    Zkoušená jména a hesla

    Nejčastější kombinace přihlašovacích údajů, které útočníci zkoušejí. Snadno si ověříte, jestli se mezi nimi neobjevují účty nebo hesla z vaší firmy.

    Příkazy SSH a Telnet

    Cowrie zaznamená, co útočník spouští po „úspěšném“ přihlášení: průzkum systému, stahování malwaru, přidávání SSH klíčů. Příkazy vidíte v přehledné tabulce i v rámci jednotlivých relací.

    Relace místo jednotlivých událostí

    Události ze stejné IP na stejný port se automaticky spojí do relace, pokud mezi nimi neuplyne víc než 5 minut. Vidíte délku útoku a počet akcí, ne tisíce samostatných řádků.

    MITRE ATT&CK a indikátory

    Techniky útočníků z honeypotu se mapují na MITRE ATT&CK vedle upozornění ze Suricaty. Zachycené IP adresy můžete využít jako vlastní indikátory kompromitace pro blokování.

    • T-Pot
    • Cowrie
    • Dionaea
    • Heralding
    • Mailoney
    • Conpot
    • ADBHoney
    • CitrixHoneypot
    • Suricata
    • SSH
    • Telnet
    • SMB
    • SMTP
    • Modbus
    • ClickHouse
    • GeoIP
    • MITRE ATT&CK

    Jak to funguje

    Zprovoznění v několika krocích

    1. 01

      Nasaďte T-Pot na samostatný server

      Honeypot patří na vyhrazený virtuální server oddělený od produkce (min. 8 GB RAM, doporučeno 16 GB, 40 GB disk). Instalace T-Pot Standard trvá asi 10 minut.

    2. 02

      Nainstalujte agenta FlowPro

      Balíček flowpro-honeypot z APT repozitáře vytvoří TLS certifikát a API klíč. V konfiguraci povolíte přístup jen z IP adresy vašeho FlowPro NG serveru.

    3. 03

      Propojte a sledujte útoky

      V Nastavení FlowPro NG zadáte adresu agenta a API klíč. FlowPro NG si pak každou minutu stáhne nové události a uloží je do ClickHouse na vašem serveru.

    FAQ

    Časté otázky

    Co je honeypot?

    Honeypot je návnada: server, který předstírá zranitelné služby, například SSH, SMB nebo webový server. Nemá žádnou skutečnou funkci, takže každé spojení na něj je podezřelé. Zaznamená, kdo útočí, jaká hesla zkouší a co se snaží udělat.

    Je provozování honeypotu legální?

    Provozovat honeypot na vlastní infrastruktuře je běžná obranná praxe. Honeypot nikoho neláká k trestné činnosti, jen zaznamenává pokusy o přístup ke službám, kam nikdo nemá chodit. Zachycená data, například IP adresy, je dobré zahrnout do vašich pravidel pro zpracování bezpečnostních záznamů.

    Neláká honeypot útočníky do mé sítě?

    Útočníci skenují internet nepřetržitě a honeypot jen zaznamená, co by stejně zkoušeli. Důležité je oddělení: T-Pot běží na vyhrazeném serveru mimo produkci a firewall mu zakazuje odchozí spojení do privátních sítí. Agent FlowPro je dostupný jen z IP adresy vašeho FlowPro NG serveru.

    Má smysl honeypot uvnitř firemní sítě?

    Ano, jako včasné varování. Ve vnitřní síti na honeypot nikdo legitimně nepřistupuje, takže spojení z LAN ukazuje na skenování nebo laterální pohyb, třeba ransomwaru hledajícího další stroje. Takové upozornění má minimum falešných poplachů.

    Kde se ukládají data z honeypotu?

    Na vašem serveru. FlowPro NG si události z agenta stahuje a ukládá je do databáze ClickHouse. Ven jde jen kontrola licence a technický stav instance, nikdy data o útocích.

    Související řešení

    IDS – detekce průnikůSuricata IDS kontroluje síťový provoz paket po paketu a upozorní na pokusy o průnik, malware a exploity. Včetně DNS, HTTP, TLS a FTP.Detekce síťových anomálií17 detekcí nad síťovými toky každou minutu: skenování portů, flood útoky, únik dat, beaconing, laterální pohyb, tunely.SIEM a správa logůLogy ze serverů, stanic a síťových prvků na jednom místě. Vyhledávání, detekční pravidla a upozornění na vlastním serveru.
    Jak si FlowPro NG stojí proti Wazuh, Elastic, Splunk a Flowmonu

    Vyzkoušejte to na vlastní síti

    Zkušební verze Enterprise na 14 dní odemyká všechny moduly. Nainstalujete ji na vlastní server a platební kartu nepotřebujete.

    Spustit zkušební verziOnline demo