LaBrea (Tarpit) - Cơ chế bảo mật mạng chủ động
LaBrea là công cụ mã nguồn mở (open source) triển khai kỹ thuật Tarpitting - "chiếc bẫy nhựa" làm chậm kẻ tấn công bằng cách giả lập hàng ngàn địa chỉ IP không sử dụng, bắt chúng vào kết nối TCP vô hạn.
Cơ chế hoạt động (Tarpitting)
- LaBrea lắng nghe trên địa chỉ IP không được gán (unused IP space)
- Khi kẻ quét (scanner/worm) gửi SYN đến IP này
- LaBrea trả lời SYN/ACK (giả lập server tồn tại)
- Kẻ tấn công gửi ACK (hoặc không - LaBrea xử lý cả 2)
- LaBrea trả lời Window Size = 0 (TCP Zero Window)
- Kẻ tấn công bị buộc phải chờ (persist timer) trước khi gửi data
- LaBrea duy trì kết nối "giả" càng lâu càng tốt (giờ, ngày)
Hiệu quả
- Làm chậm worm tự lan truyền (Code Red, Nimda, SQL Slammer)
- Làm chậm port scanner (Nmap, Masscan, ZMap)
- Hao tốn tài nguyên kẻ tấn công (socket, memory, bandwidth, time)
- Thu thập threat intelligence: IP nguồn, payload, timing, fingerprint
- Cảnh báo sớm (Early warning) cho SOC/SIEM
Triển khai LaBrea
# Cài đặt (Linux) apt-get install labrea # Hoặc compile từ source: github.com/labrea/labrea # Chạy cơ bản labrea -i eth0 -l 192.168.1.100-192.168.1.200 # Tùy chọn quan trọng -l, --listen : Dải IP lắng nghe (unused) -i, --interface : Interface mạng -t, --timeout : Timeout kết nối (mặc định 1 giờ) -v, --verbose : Log chi tiết -d, --daemon : Chạy nền
Tarpit vs Honeypot
| Đặc điểm | Tarpit (LaBrea) | Honeypot (Cowrie, Dionaea, Conpot) |
|---|---|---|
| Mục đích | Làm chậm, tiêu hao tài nguyên kẻ tấn công | Thu thập thông tin, phân tích hành vi, malware sample |
| Tương tác | Thấp (TCP level) | Cao (Application level - SSH, Telnet, HTTP, Modbus) |
| Rủi ro | Thấp (không cho thực thi code) | Cao hơn (cần isolation, sandbox) |
| Resource | Nhẹ | Nặng hơn |
Lưu ý pháp lý & vận hành
- Chỉ triển khai trên mạng của bạn (authorized)
- Không tarpit traffic hợp pháp (whitelist known scanners, monitoring tools)
- Cân nhắc ảnh hưởng IDS/IPS (có thể tạo false positive)
- Tuân thủ luật an ninh mạng, quy định ghi log
- Kết hợp: Tarpit (Perimeter) + Honeypot (Internal/DMZ) + SIEM
Lịch sử
LaBrea được phát triển bởi Tom Liston năm 2001 để chống worm Code Red. Tên gọi từ La Brea Tar Pits (Đầm nhựa La Brea - Los Angeles) nơi động vật bám kẹt và bảo tồn hóa thạch.
Công cụ Tarpit hiện đại khác
- THUG (Thug Honeyclient) - Client-side tarpit
- SSH Tarpit (endlessh) - Giữ kết nối SSH mãi mãi (banner chậm)
- HTTP Tarpit (nginx tar pit config) - Response chậm, chunked encoding
- Cloudflare/Cloud Provider: Managed WAF Bot Management (tích hợp tarpit logic)