"Горшочек меда" как способ обмана кульных хацкеров

Xakep, номер #036, стр. 036-048-2

3. Дезинформация. С этим еще проще. Ты помещаешь на компьютер файлы с привлекательными названиями (например, passwd, admin.pwl или users.dat) и ждешь, когда ненасытные и злобные хакеры попытаются их украсть. Но ты не будешь им мешать. Ты-то знаешь, что в этих файлах нет реальных паролей и злоумышленник только потратит время зря, напуская на эти файлы утилиты типа Crack или L0phtCrack.

Что будем делать?

Так как первый класс средств широко известен и применяется в межсетевых экранах, то более подробно я коснусь второго и третьего. Большинство известных систем предназначено для выполнения следующих обманных действий:

1. Эмуляция несуществующих сервисов и портов. Такие системы устанавливаются на компьютер, который и является приманкой для хакеров. Примером такой системы является DTK.

2. Эмуляция несуществующих узлов сети. Такие системы устанавливаются на выделенные узлы, которые и имитируют целые виртуальные сегменты. Примером такой системы является CyberCop Sting.

3. Подмена баннеров. Такие системы зачастую являются расширением систем, эмулирующих несуществующие порты, и генерят баннеры, похожие на настоящие. Примером такой системы является RealSecure Server Sensor.

Попробуй с помощью любого сканера провести сканирование какой-либо машины в сети. В зависимости от решаемых задач, число открытых портов на таких машинах может быть разное, но обычно оно не превышает 30-50 (для серверов) и 5-10 (для рабочих станций). Для хостов Unix число открытых портов несколько больше, но не намного. Если с помощью обманной системы число открытых портов увеличивается в 10 раз, то и число действий, которые должен выполнить хакер, также возрастает как минимум на порядок. Даже использование сканеров не сильно облегчает задачу, т.к. они вводятся в заблуждение так же, как и человек. Создаваемые сканерами безопасности отчеты не смогут помочь злоумышленнику определить, какие из открытых портов являются реальными, а какие нет. Тем самым злоумышленнику придется тратить время и ресурсы на ручную проверку всех обнаруженных портов и присущих им уязвимостей, что позволит своевременно обнаружить такие попытки и противопоставить им эффективные средства защиты, и, возможно, обнаружить злоумышленника (хотя обольщаться этим не стоит).

The Deception Toolkit и другие перлы

DTK является одним из известных обманных средств. Этот комплект (http://all.net) представляет собой набор программ на языке Perl, реализующих описанные выше механизмы обмана кульных хацкеров. По заявлению автора DTK - Фреда Коэна, этот комплект утилит может функционировать под управлением любой сетевой операционной системы, но широкое применение он получил на платформе Unix (хотя теоретически будет работать и под Windows с ActivePerl). Как и другие *nix'овые утилиты, DTK настраивается из командной строки путем изменения соответствующих файлов. Обычно вся настройка ограничивается созданием ответных реакций на действия нападающих. Например, вот так выглядит файл *.response, отвечающий за эмуляцию почтовой программы sendmail 8.1.2/8.1.3: