"Горшочек меда" как способ обмана кульных хацкеров

Xakep, номер #036, стр. 036-048-4

#!/usr/bin/perl

use Socket;

$port=23;

$login="\n\rlogin:";

$password="password:";

$banner="\n\r\n\rUnix(r) System V Release 4.0 (brooder)\n\r";

$fail="login incorrect.\n\r";

#

#Здесь идет коммуникационная часть (работа с сокетами и т.д.)

($af,$port,$inetaddr)=unpack($sockaddr,$addr);

@inetaddr=unpack('C4',$inetaddr);

($i1,$i2,$i3,$i4)=@inetaddr;

$ipaddr="$i1.$i2.$i3.$i4";

print "connected from $ipaddr\n";

print NS $banner;

print NS $login;

while() {

print "attempt to log in as $_\n";

print NS "$password";

$ll= || last;

sleep 5;

print "tried password $ll. Login incorrect is given\n";

print NS $fail;

print NS $login;

}

print "$ipaddr disconnected\n";

close(NS);

CyberCop Sting

Система CyberCop Sting, разработанная в компании Network Associates (http://www.nai.com), в отличие от DTK или WinDog-DTK, эмулирует не отдельные порты или сервисы, а целые Ethernet-сегменты, состоящие из маршрутизаторов Cisco (правда, устаревшей версии IOS 11.2), серверов Windows NT 4.0 и даже Solaris 2.6. Все атаки на виртуальные хосты регистрируются, что позволяет своевременно начать расследование инцидента и отслеживание злоумышленника.

Само "жало" функционирует как обычный NT-сервис, который настраивается путем изменения конфигурационных файлов (фрагмент такого файла см. ниже) в обычном текстовом редакторе.

node Virtual_Cisco_host_1 {

node-type CISCO

next-hop core.e0

iface e0 {

address 200.0.0.193/255.255.255.0

}

iface e1 {

address 200.0.0.194/255.255.255.0

}

}

node Virtual_Solaris_host_1 {

node-type SOLARIS

next-hop core.e0

iface e0 {

address 200.0.0.200/255.255.255.0

}

}

node Virtual_NT_host_2 {

node-type NT

next-hop Virtual_Cisco_host_1.e1

iface e0 {

address 200.0.0.201/255.255.255.0

}

}

Sting можно настроить и таким образом, чтобы виртуальный узел ретранслировал получаемые пакеты на вполне реальный, но невидимый для злоумышленника адрес, который и отвечает на все несанкционированные запросы. Таким образом, несуществующий узел выступает в роли прослойки между реальным и атакующим узлом. Хорошо, если бы CyberCop Sting умел бы эмулировать не только несуществующие узлы, но и отдельные порты и сервисы на этих узлах, еще больше затрудняя работу хакера. Но пока это не реализовано и неизвестно, дойдут ли до этого когда-нибудь у разработчиков руки.

RealSecure Server Sensor

Этот продукт трудно назвать обманной системой, т.к. Decoy-режим, реализованный в Server Sensor, является лишь небольшой частью тех возможностей, которые заложили в него разработчики. Кстати, разработана эта система компанией Internet Security Systems, которая известна своими сканерами Internet Scanner, System Scanner и Database Scanner и системой обнаружения атак на уровне сети RealSecure Network Sensor, которые уже упоминались на страницах ][. Еще мне понравилось то, что эта система, единственная из многих, поддерживается в России