"Горшочек меда" как способ обмана кульных хацкеров

Xakep, номер #036, стр. 036-048-5

(www.infosec.ru/ produkt/adapt/real_secure/real_sec.html). Да еще и обучение по ней можно пройти в России с выдачей соответствующей бумажки, признаваемой во всем мире. Пустячок, а приятно.

В отличие от уже названных систем, RealSecure Server Sensor функционирует как сервис (или демон) на Windows NT, Windows 2000, Linux, Solaris, HP UX и AIX и управляется централизованно с одной консоли (NT или W2k). Соответственно и настройка обманного режима (см. рисунок) осуществляется не из командной строки, а при помощи графического интерфейса.

Как видно из рисунка, в системе уже предопределен ряд сервисов, которые могут эмулироваться. Но и создать новые правила для любого из 65535 возможных сервисов не составляет большого труда. Для каждого из созданных правил возможно использование любого из вариантов реагирования, начиная от регистрации в базе данных и уведомления админа по e-mail или через SNMP и заканчивая созданием своих баннеров и обработчиков событий.

Заключение

Итак, для чего тебе может понадобиться любая из обманных систем, описанных в этой статье:

* для увеличения числа выполняемых нарушителем операций и действий;

* для получения возможности отследить нападающих.

Применение обманных систем - это достаточно интересный и, при правильном применении, эффективный метод обеспечения сетевой безопасности не только целых сетей, но и обычных домашних компьютеров. Однако для большей эффективности можно порекомендовать использовать связку защитных средств "обманная система - система обнаружения атак", которая позволит не только обнаружить нападающего сразу же после первой попытки атаки, но и заманить его при помощи обманной системы, тем самым давая время на обнаружение злоумышленника и принятие соответствующих мер.

Но не стоит забывать, что обманные системы - это не панацея от всех бед. Они помогают в случае простых нападений, осуществляемых начинающими или неопытными злоумышленниками (script kiddies). В случае квалифицированных и опытных нарушителей обманные системы теряют свою эффективность. Предварительный анализ трафика позволяет злоумышленнику понять, какие из обнаруженных портов фиктивные. Моделирование атак на стенде и сравнивание результатов с тем, что выдается в реальной атакуемой системе, также позволяет обнаружить использование обманных средств. Мало того, неправильная конфигурация обманной системы приведет к тому, что злоумышленник сможет обнаружить факт слежки за ним и прекратит свою несанкционированную деятельность. Однако число действительно квалифицированных злоумышленников не так велико, и поэтому использование обманных средств может помочь в большинстве случаев.