Банка с медом

Никита Кислицин

Хакер, номер #073, стр. 073-064-6

Безопасность и honeypots

Как я уже говорил, работу сетевых сервисов в honeyd эмулируют обыкновенные сценарии, написанные на Perl, sh или другом скриптовом языке. И тут совершенно понятно, что сами эти скрипты могут легко содержать ошибки :). А это не самый приятный момент, поскольку процесс honeyd должен работать под рутовыми правами и, насколько я понимаю, скрипты эти выполняются с аналогичными привилегиями. Если злоумышленник получит доступ к внутренностям скриптов и научится выполнять команды – ничего хорошего не жди. По этой причине довольно разумно, запуская honeyd, контролировать работу этого приложения при помощи systrace – это может помочь избежать некоторых проблем. Довольно подробную статью о systrace ты можешь прочитать в октябрьском номере «Х».

Также рациональный ход - запретить при помощи файрвола все входящие внешние соединения с реальным ip-адресом, который использует машина с установленным honeyd, открыв только самые необходимые сервисы доверенным узлам.

Какие еще honeypots есть?

* Tiny Honeypot (http://freshmeat.net/projects/thp). Это довольно простая софтина, которая занимается тем, что слушает поступающий на указанные TCP-порты трафик, записывает в логи все подключения и обеспечивает некоторую обратную связь с нападающим, эмулируя работу сервиса. Скрипты для создания фейковых сервисов написаны на Perl, и этого более чем достаточно, чтобы обвести вокруг пальца большинство взломщиков.

* Single-honeypot (http://single-honeypot.sourceforge.net). Мало чем выдающаяся софтина и чем-то напоминает Tiny Honeypot.

* KFSensor (www.keyfocus.net/kfsensor) – довольно глюкавая софтина под Windows, которая завлекает потенциальных хакеров, имитируя работу бажных сервисов и троянов. Правда, у меня она так и не заработала нормально :(.

* APS (http://z-oleg.com/secur/aps.htm). Эта программа умеет распознавать около двухсот видов атак, причем база данных постоянно обновляется. Программа умеет оповещать сисадминов по электронной почте, а также использовать net send.

* LaBrea 2.5-stable-1 (http://prdownloads.sourceforge.net/labrea/labrea-2.5-stable-1-win-exec.zip?download).

На свете много удивительных вещей. Так, например, в центре оживленного современного Лос-Анджелеса расположены смоляные ямы Ла Бреа (brea – «смола» по-испански). Это удивительно, но они абсолютно натурального происхождения и существуют уже очень долго на этом месте. Чтобы туда не падали любопытные школьники, эти ямы обнесли забором и никого туда не пускают – конечно, кроме археологов. За время исследований из этих ям было извлечено немеренное количество костей животных, в том числе саблезубых тигров, мамонтов и огромных грифов с размахом крыльев более 4 м. В честь этого уникального места и была названа софтина LaBrea, которая заманивает в ловушку червей типа Code Red и Nimda и эффективно их нейтрализует.