Honeypot (Ổ bẫy mật) là gì?
Cây bẫy ảo thu hút kẻ tấn công. Áp dụng cho mọi tài nguyên: phần mềm, mạng, file server. Kỹ thuật đánh lừa tốn thời gian, giúp hiểu hành vi kẻ tấn công.
Honeypot tăng cường bảo mật mạng như thế nào?
- Thu thập dữ liệu IDS (Hệ thống phát hiện xâm nhập) không lấy được
- Ghi lại keystroke (phím bấm) của kẻ tấn công bất kể mã hóa
- Cảnh báo ngay lập tức khi có truy cập trái phép
Các loại Honeypot
- Production Honeypot: Triển khai trong môi trường sản xuất, giảm rủi ro
- Research Honeypot: Nghiên cứu hành vi tấn công, cải thiện IDS và phản ứng
Tại sao chuyên gia bảo mật dùng Honeypot?
- Thu hút hacker, ghi log và lưu dữ liệu làm bằng chứng tòa án
- Tấn công ngược (counterattack) để chặn xâm nhập hiệu quả
- Honeypot trông như thành phần mạng hợp pháp, thực chất là "hộp khóa" an toàn
Honeypot có phải cơ chế phòng thủ tốt?
Có. Tăng khả năng nhìn thấy (visibility) các cuộc tấn công tường lửa bỏ lỡ. Bảo vệ thêm chống tấn công nội bộ và bên ngoài.
Honeypot và Honeynet
- Honeypot: Hệ thống đơn lẻ ghi log tấn công
- Honeynet: Mạng ảo nhiều server ảo trên 1 server vật lý, mỗi server là 1 honeypot. Mục đích:引诱 attacker vào mạng ảo.
Mục đích Honeypot
KHÔNG ngăn chặn tấn công trực tiếp. Mục đích: cải thiện IDS và phản ứng đe dọa, giúp tổ chức điều hướng và phòng ngừa hiệu quả hơn.
Khác biệt Honeypot vs Honeynet
Honeynet = tập hợp server ảo trên 1 server vật lý. Mỗi server trong honeynet = 1 honeypot. Cả hai đều引诱 attacker.
Honeypot tốt nhất (miễn phí)
Fred Cohen's Deception Toolkit (DTK). Lắng nghe traffic đến, gửi phản hồi script mô phỏng dịch vụ: FTP, Telnet, HTTP, Back Orifice...
3 mức độ tương tác Honeypot
- Low Interaction (Tương tác thấp)
- Medium Interaction (Tương tác trung bình)
- High Interaction (Tương tác cao)
Phân loại dựa trên khả năng phân biệt user độc hại/bình thường.
Pure Honeypot (Honeypot thuần túy)
Mô phỏng môi trường production đầy đủ trên nhiều server. Chứa dữ liệu "bí mật" giả, nhiều sensor. Phức tạp, khó bảo trì, nhưng cung cấp thông tin quý giá.