Банка с медом

Никита Кислицин

Хакер, номер #073, стр. 073-064-2

Почтенный семьянин и полковник ФСБ Михаил Иванович наверняка подшивает из нее уголовные дела, компетентный и высокооплачиваемый сисадмин Леха использует ее для улучшения защиты своих сетей, а негодяйский хакер Васек – для перенимания чужого опыта и кражи приватных сплойтов. Все эти люди очень разные, но все-таки они вместе. Что же их объединяет? Конечно, стремление узнать много нового!

За счет чего это работает?

Вся концепция honeypot основывается на очень простом и действенном предположении. Оно заключается в том, что любая попытка подключения к неиспользуемому ip-адресу априори считается несанкционированной. Ну в самом деле, с какой такой стати кто-то будет подключаться к несуществующему адресу? Точно, только в одном случае: если этот «кто-то» – сетевой взломщик и он тупо просканировал всю твою сеть в поисках подходящей жертвы. Ведь легальные пользователи даже и понятия не имеют о том, что в их сети появилась еще одна машина с кучей сервисов. Однако на такую приманку слетается множество сетевых негодяев, действия которых мы и будем изучать.

Большинство honeypot-систем могут наблюдать за всеми неиспользуемыми адресами сети одновременно и эмулировать кучу различных серверов, как будто вся сетка полна уязвимых машин. Поскольку ни один из этих адресов не известен легальным пользователям, то любое подключение к ним можно расценивать как начало атаки. Таким образом, каждый раз, когда honeypot бьет тревогу, можно быть уверенным, что на той стороне кабеля действительно хулиганит хакер и можно начинать изучать его повадки.

Также большой плюс ханипота заключается в возможности эмулировать работу целой кучи систем: так, например, если сервер в действительности крутится под OpenBSD, можно заставить взломщика поверить в то, что на самом деле перед ним глюкавая циска или же дебильный сервант под linux. Причем даже самые продвинутые системы OS FingerPrinting’а до поры до времени не позволят хакеру заметить подставу и он в самом деле будет уверен, что ломает бажный сервер. Забегая вперед, скажу, что это не всегда так :).

Медовый демон

Чтобы все мои слова не были пустым звуком, сегодня мы с тобой в качестве лабораторной практики создадим собственную систему honeypot. Причина для этого одна – это интересно.

Я долго выбирал конкретную реализацию honeypot и остановился на демоне honeyd, поскольку эта разработка предоставляет целую кучу офигенных возможностей, активно развивается и обладает уникальной внутренней структурой.

Разумеется, начинать свои эксперименты нужно с того, чтобы установить на свой компьютер honeyd. Эта система является кросс-платформенной, бесплатной и поставляется исходными кодами по лицензии BSD, так что собрать ее можно под любым юниксом и, наверное, если постараться, даже под cygwin :). Если ты ярый фанат Linux, то для установки тебе достаточно скачать комплект из уже собранных бинарников Linux Honeyd Toolkit с www.tracking-hackers.com/solutions/honeyd. Поскольку я устанавливал этот демон на машину под FreeBSD, опишу процесс сборки honeyd из исходных кодов.