Honeypot trong bảo mật mạng
Honeypot (Bẫy mật) là một hệ thống máy tính giả lập được thiết kế để thu hút các cuộc tấn công mạng. Nó đóng vai trò "mồi nhử" hy sinh, giúp:
- Thu thập thông tin về tác nhân đe dọa và thủ pháp tấn công.
- Chuyển hướng kẻ tấn công khỏi hệ thống thật.
- Phát hiện các cuộc tấn công mà tường lửa bỏ lỡ.
Wi-Fi Honeypot (Hotspot giả)
Là điểm truy cập không dây trái phép được thiết kế trông giống như hotspot hợp pháp. Kẻ tấn công dùng nó để lừa người dùng kết nối, từ đó đánh cắp dữ liệu hoặc phân phối mã độc.
Honeypot phòng thủ chống loại tấn công nào?
Honeypot tăng cường bảo mật mạng bằng cách phát hiện các cuộc tấn công vượt qua tường lửa, cung cấp khả năng quan sát (visibility) sâu hơn cho đội ngũ an ninh.
Cách Honeypot tăng cường bảo mật mạng
- Ghi lại toàn bộ lưu lượng vào/ra honeypot – dữ liệu mà IDS (Hệ thống phát hiện xâm nhập) không thể thu thập.
- Ghi nhật ký phím bấm của kẻ tấn công trong phiên làm việc, bất kể mã hóa.
- Cảnh báo tức thì khi có cố gắng truy cập trái phép.
Honeypot có phải cơ chế phòng thủ tốt?
Có. Ngoài phát hiện tấn công, honeypot còn bảo vệ khỏi mối đe dọa nội bộ và bên ngoài, cung cấp lợi thế chiến thuật cho đội ngũ Blue Team.
Triển khai Honeypot (Honeypot Deployment)
Cài đặt hệ thống/server giả cạnh bên hệ thống sản xuất (production). Blue Team dùng để giám sát liên tục và误导 kẻ tấn công khỏi mục tiêu thật.
Vai trò của Honeypot
- Môi trường kiểm soát để quan sát phương pháp tấn công.
- Giúp đội ngũ an ninh tập trung vào mối đe dọa thật, không bị nhiễu bởi lưu lượng hợp pháp.
- Phát hiện cả mối đe dọa nội bộ (insider threat).
Honeypot trong thuật ngữ CNTT
Là hệ thống gắn kết mạng đóng vai trò mồi nhử, thu hút tấn công để phát hiện, chuyển hướng và nghiên cứu các nỗ lực truy cập trái phép. Được đặt tại vị trí "dễ bị tấn công" nhưng được giám sát chặt chẽ và cô lập.
Các loại Honeypot
Dựa trên mức độ tương tác:
- Low-interaction (Tương tác thấp): Giả lập dịch vụ cơ bản, rủi ro thấp, dễ triển khai.
- Medium-interaction (Tương tác trung bình): Giả lập hệ điều hành/ứng dụng một phần.
- High-interaction (Tương tác cao): Hệ thống thật hoàn chỉnh, rủi ro cao nhưng thu thập dữ liệu chi tiết nhất.
Rủi ro tiềm ẩn khi dùng Honeypot
Chỉ quan sát được hoạt động trực tiếp nhắm vào honeypot. Nếu kẻ tấn công xâm nhập mạng mà không chạm honeypot, hệ thống sẽ không phát hiện.
Mục đích chính của Honeypot
Không ngăn chặn tấn công trực tiếp, mà dùng để cải tiến hệ thống phát hiện xâm nhập (IDS) và phản ứng sự cố, giúp tổ chức phòng thủ tốt hơn.
Tại sao chuyên gia an ninh triển khai Honeypot?
- Thu thập bằng chứng cho vụ án (log, dữ liệu).
- Phát động phản công (counterattack) để chặn xâm nhập.
- Ngụy trang như thành phần hợp pháp của mạng nhưng thực chất là "hòm khóa an toàn".