Дослідження можливостей технології Honeypot

Анотація

Визначено роль та головні завдання різних мережевих пасток (Honeypot) при побудові інтегрованих систем безпеки. Розглянуто основні класифікаційні ознаки та особливості первинних налаштувань декількох комерційних засобів. Зроблено висновок, що основні переваги технології Honeypot, серед іншого, полягають в їх гнучкості та масштабованості. Підкреслено, що на даний час поки ще немає досконалих методик ідентифікації і швидкої компрометації мережевих паст. Звернено увагу на те що, тактика мережевої розвідки і методи здійснення мережевих атак постійно прогресують. Враховуючи цей факт постійний аудит даних Honeypot і оперативна реакція на визначені мережеві інциденти та колізії є одним із головних напрямків роботи для фахівців з питань забезпечення вимог корпоративної політики інформаційної безпеки. Відзначено, що архітектура різних пасток, в цілому, достатньо добре відома і тому є потенційно вразливою. Тому, наділяючи пастки більш гнучким (варіативним) сценарним контекстом та скорочуючи час мережевої експозиції можливо підтримувати їх захистний потенціал в досить паритетному стані. Ці обидва напряму потребують більш щільної уваги (докладний аналіз даних log-файлів та корегування алгоритмів роботи поведінкового аватару для створеної пастки) зі сторони персоналу, та вимагають постійної підтримки його професійних компетенцій. За результатами огляду можливостей існуючих Honeypot та узагальнення типових ознак мережевої активності найбільш характерних вузлів (в даному випадку файлового серверу), розглянуто особливості синтезу відповідних поведінкових профілів (аватарів) для корегування роботи програмних пасток. Стверджується, що систематизація правил роботи аватару Honeypot (як сукупності користувальницьких поведінкових алгоритмів) та своєчасна корекція наявних баз поведінкових профілів є завдання, яке важко формалізується. Це обумовлено потенційним різноманіттям варіантів мережевої активності, що притаманна для кожної конкретної мережі та налаштувань наявних мережевих вузлів. В цьому сенсі надлишкова уніфікація (звуження можливого поля поведінкових реакцій) поведінкових профілів Honeypot в значної мірі може полегшити зловмиснику проведення моніторингу та наступної ідентифікації створеної пастки. Тому формування базового набору відповідних мережевих аватарів слід розглядати, не більше, як основу для її подальшої модифікації під специфіку завдань, топологію та інші особливості кожної окремої IT-структури (або особливості їх окремих елементів). Підкреслено, що впровадження технології пасток не підміняє собою інших технологій і інструментів безпеки, а лише ефективно розширює наявний арсенал протидії новим загрозам безпеки (перш за все, як інструмент швидкого реагування). Тому шлях інтеграції Honeypot з іншими, вже розгорнутими рішеннями ІБ, є найбільш збалансованим напрямом для подальшого підвищення загального рівня безпеки мережевих ресурсів.