هانیپات

هانی‌پات یک منبع سیستم اطلاعاتی با اطلاعات کاذب است که برای مقابله با هکرها و کشف و جمع‌آوری فعالیت‌های غیرمجاز در شبکه‌های رایانه‌ای بر روی شبکه قرار می‌گیرد.
نمای هانی‌پات برای کمک به درک موضوع
هانی‌پات‌ها ابزاری برای مصالحه هستند، کامپیوترهایی که یا واقعی هستند یا شبیه‌سازی شده‌اند. در نمونه‌های اولیه، هانی‌پات‌ها گرایش به مطالعه و طعمه‌دادن به مهاجمین انسانی داشته‌اند، اما به همان اندازه می‌توانند برای دستگیری کرم‌ها نیز استفاده شوند.
پیشینه
هر سال به تعداد هکرها و نفوذگران به سرورها و شبکه‌های رایانه‌ای اضافه می‌شود و هر روز اطلاعات با ارزشی از قبیل شماره‌های حساب بانکی، شماره‌های کاربری، پسوردها و … دزدیده، خسارت‌های مالی اعتباری زیادی به شرکت‌های بزرگ وارد می‌شود. در این راستا برنامه‌نویسان ماهر تصمیم گرفتند جلوی حملات را بگیرند و هکرها را منحرف کنند. اطلاعات نادرست و گمراه‌کننده بهترین طعمه برای فریب هکر هاست. پس برنامه‌نویسان و دانشمندان سخت‌افزار بعد از تلاش بسیار توانستند برنامه‌ای طراحی کنند که نفوذگران را گمراه کرده و به دام می‌اندازد. این برنامه با دادن اطلاعات نادرست به هکر، باعث می‌شود هکر فکر کند که به اطلاعات مطلوب دست یافته و کار تمام شده‌است.
هانی‌پات یک منبع سیستم اطلاعاتی می‌باشد که بر روی خود اطلاعات کاذب و غیرواقعی دارد و با استفاده از ارزش و اطلاعات کاذب خود سعی می‌کند اطلاعات و فعالیت‌های غیرمجاز و غیرقانونی بر روی شبکه را کشف و جمع‌آوری کند. به زبان ساده هانی‌پات یک سیستم یا سیستم‌های کامپیوتری متصل به شبکه یا اینترنت است که دارای اطلاعات کاذب بر روی خود می‌باشد. از عمد در شبکه قرار می‌گیرد تا به عنوان یک تله عمل کرده و مورد تهاجم یک هکر یا نفوذگر قرار بگیرد. با استفاده از این اطلاعات آن‌ها را فریب داده و اطلاعاتی از نحوه ورود آن‌ها به شبکه و اهدافی که در شبکه دنبال می‌کنند، جمع‌آوری می‌کند.
اهداف
پیشگیری: با منابع غیر معتبری که در اختیار حمله کنندگان قرار می‌دهد، در واقع از در خطر قرار گرفتن سیستم واقعی جلوگیری می‌شود و این یک عمل پیشگیرانه است.
کشف: در اغلب شبکه‌های موجود در سازمان‌ها، فعالیت محصولات دارای پیچیدگی فراوانی می‌باشند که کشف حملات را مشکل می‌سازد. حال آنکه در هانی‌پات این پیچیدگی وجود ندارد و جریانهای ورود و خروج به آن کاملا روشن است.
واکنش: فعالیت محصولات اشاره شده در بالا، باعث می‌شود تیم پاسخگویی به حوادث نتواند به درستی تشخیص دهد که چه اتفاقی افتاده‌است. از طرف دیگر در اغلب مواقع تیم پاسخگویی به اختلالات قادر نیست اطلاعاتی از سیستم در معرض خطر قرار گرفته، جمع‌آوری کند ولی برای سیستم هانی‌پات چنین محدودیتی وجود ندارد.
پژوهش:یکی از مهمترین مباحث در امنیت، گرد آوری (داشتن) اطلاعات دشمن است. هانی‌پات به عنوان یک ابزار پژوهشی، در نیل به این هدف، کمک شایانی به سازمان‌های پژوهشی و دانشگاهی می‌کند.
شیوه کار
با توجه به اینکه منابع هانی‌پات فاقد ارزش می‌باشند، بنابراین هر گونه فعالیت در فضای آن (سرک کشیدن)، غیرمجاز، مشکوک و بد خواهانه تلقی می‌شود. یک هانی‌پات ممکن است یک کامپیوتر اضافی در یک شبکه باشد و طوری پیاده‌سازی می‌شود که اغلب نقاط ضعف شبکه را شبیه‌سازی می‌کند.
وقتی یک هکر، شبکه‌ها را برای یافتن نقاط ضعف آن پویش می‌کند، با یافتن نقاط آسیب‌پذیر، از آن طریق، به هانی‌پات حمله می‌کند. هانی‌پات با بیدار باشی که به مدیر امنیتی شبکه می‌دهد (بسته به نوع آن) اقدام به ثبت و جمع‌آوری اطلاعات برای مطالعه و بررسی می‌کند.
انواع
هانی‌پات‌ها را می‌توان بر اساس به‌کارگیری و سطح تعامل (عملیاتی) آن‌ها طبقه‌بندی کرد. بر این اساس هانی‌پات‌ها به دو روش تولیدی (تجاری) و پژوهشی طبقه‌بندی می‌شود:
هانی‌پات‌های تولیدی (تجاری): این نوع سیستم وقتی که سازمان می‌خواهد شبکه و سیستم‌هایش را با کشف و مسدود کردن نفوذگران حفاظت کند و نفوذگر را از طریق قانونی مورد پیگرد قرار دهد، مورد استفاده قرار می‌گیرد؛ و با حفاظت از یک شبکه، اثر مثبت و مستقیم روی امنیت آن دارد. این اثرات شامل جلوگیری، حفاظت و پاسخگویی به حملات می‌باشد. از آنجا که این نوع از هانی‌پات‌ها نقش عملیاتی کمی دارند، پیاده‌سازی آن از نوع پژوهشی ساده‌تر است و اطلاعات زیادی را در مورد حمله‌کننده‌ها و حملات، جمع‌آوری نمی‌کنند.
هانی‌پات‌های پژوهشی: این نوع سیستم وقتی که سازمان می‌خواهد فقط امنیت شبکه و سیستم‌های خود را با آموختن روش‌های نفوذ، منشا نفوذ، ابزارها و exploitهای مورد استفاده نفوذگر مستحکم‌تر کند، استفاده می‌شوند. این نوع از هانی‌پات هابرای جمع‌آوری اطلاعات درباره حمله‌کننده‌ها، پیاده‌سازی می‌شود؛ و با مطالعه رفتار هکرها از قبیل ابزار و گرایش آن‌ها مانند نرم‌افزارهای دانلود شده، کرم‌ها و ویروس‌ها اثر غیر مستقیم روی امنیت دارند.
در تعامل با هانی‌پات‌ها، یک همبستگی میان مقدار داده‌های گردآوری شده و مقدار صدمات وارد شده توسط مهاجم وجود دارد. به عبارت دیگر هر چه اندازه خرابی و صدمات بیشتر باشد، اطلاعات بیشتر و مفیدتری می‌تواند گردآوری شود. هانی‌پات‌ها از لحاظ واکنشی(Interaction) به سه دسته کم واکنش، میان واکنش و پر واکنش تقسیم‌بندی می‌شوند:
یک هانی‌پات کم واکنش دارای ویژگی‌های زیر می‌باشد:
نصب آسان
پیکربندی ساده
قابلیت توسعه
نگهداری ساده
خطرپذیری کم
در این دسته از هانی‌پات‌ها اطلاعات زیر جمع‌آوری می‌شود:
ساعت و تاریخ حمله
آدرس IP مبدا و پورت مبدا حمله
آدرس IP مبدا و پورت مقصد حمله
هانی‌پات با تعامل کم، تعامل محدودی برقرار می‌کنند. آن‌ها معمولا با سرویس‌ها و سیستم عامل‌های شبیه‌سازی شده کار می‌کنند. فعالیت نفوذگر از طریق سطح نمونه‌سازی به وسیله هانی‌پات‌ها محدود می‌شود.
یک هانی‌پات میان واکنش در واقع یک سیستم تولیدی تکامل یافته‌است و دارای ویژگی‌های زیر می‌باشد:
نصب آسان
پیکربندی مطابق نظر سازمان
قابلیت توسعه
نگهداری ساده
خطرپذیری بیشتر از کم واکنش
دارای واکنش بیشتر با حمله‌کننده
این دسته از هانی‌پات‌ها، علاوه بر قابلیت‌های کم واکنش، قابلیت‌های زیر را نیز دارا می‌باشند:ایجاد یک سیستم عامل مجازی در محیط یک سیستم عامل حقیقی، به‌طوری‌که از دید مهاجم رفتار آن مانند یک سیستم حقیقی جلوه می‌کند. در چنین شرایطی مهاجم با به دست گرفتن کنترل سیستم عامل مجازی تمام اعمال او تحت نظر سیستم عامل مادر قرار می‌گیرد.
یک هانی‌پات پر واکنش، اغلب از نوع پژوهشی می‌باشد و دارای ویژگی‌های زیر می‌باشد:
ایجاد سیستم واقعی
هزینه بالا
پیکر بندی و مدیریت پیچیده
خطرپذیری بسیار بالا
داده‌های گرد آوری شده زیاد و با ارزش
این دسته از هانی‌پات‌ها، با هدف درگیر شدن مهاجم با یک محیط واقعی پیاده‌سازی می‌شوند و برای استفاده‌کننده فرصت‌های زیر فراهم می‌گردد:
شناسایی و ثبت ابزار مهاجم
مانیتور کردن فعالیت‌های هکر
دریافتن ارتباط هکر با سایرین
همانطوری‌که به مهاجم این اجازه داده می‌شود تا با محیط واقعی سیستم عامل واکنش داشته باشد، این خطر نیز وجود دارد که مهاجم از طریق هانی‌پات به کامپیوترهای دیگر در شبکه، آسیب برساند. برای جلوگیری از این امر لازم است هانی‌پات پر واکنش در محیطی کاملا کنترل شده پیاده‌سازی گردد. با این وجود بهترین منبع برای مطالعه گروه‌های تبهکار، برنامه‌های کرم و ویروس جهت تجزیه و تحلیل هانی‌پات‌های پر واکنش می‌باشد. هانی‌پات با تعامل زیاد به خاطر سر و کار داشتن با سیستم عامل و برنامه‌های کاربردی واقعی راه حل‌های پیچیده‌تری به‌شمار می‌روند. هیچ چیز نمونه‌سازی نمی‌شود و هر چیز واقعی در اختیار نفوذگر است. به عنوان مثال: هانی نت
موارد استفاده
هانی‌پات‌ها به دو دلیل استفاده می‌شوند:
شناخت نقاط ضعف سیستم
جمع‌آوری اطلاعات لازم برای تعقیب و ردگیری نفوذگران
مزایا
سادگی:مزیت اولیه هانی‌پات سادگی آن است. کافی است آن را به یک شبکه ارتباط بدهیم، اساسا به دلیل بی‌ارزش بودن منابع آن هر گونه نفوذ و فعالیت در فضای آن، بد خواهانه تلقی می‌شود.
ارزش داده‌ها:در یک شبکه واقعی به دلیل فعالیت جاری سیستم، اطلاعات بدست آمده در زمان حمله و تهدید، مخلوطی از داده‌های عادی و مهاجم می‌باشد ودارای حجم زیادی می‌باشد، حال آنکه در هانی‌پات ضمن کم حجم بودن این داده‌ها دارای ارزش زیادی نیز می‌باشند.
ابزار، تاکتیک‌ها و ویروس‌ها:هانی‌پات‌ها ممکن است جهت ذخیره‌سازی آنچه که مهاجمان دانلود می‌کنند طراحی شده باشند، در این صورت ابزاری که آن‌ها در جهت بدست گرفتن کنترل سیستم به کار می‌برند کشف می‌شود و نرم‌افزارهای ویروس نیز در جهت توسعه برنامه‌های ضد ویروس، از داخل همین داده‌ها بدست می‌آید.
معایب
مثل هر فناوری دیگر، هانی‌پات نیز دارای نقاط ضعفی می‌باشد. با وجود مزایای برشمرده در بخش قبل، هانی‌پات جایگزین سایر فناوری‌ها نمی‌شود.
محدودیت رویت:هانی‌پات تنها آن دسته از رویدادها را می‌تواند گزارش کند که به صورت مستقیم با آن مواجه شده باشد. در نتیجه اگر شبکه‌ای خارج از دید آن مورد حمله قرار گیرد، هانی‌پات از اتفاقات آن بی‌خبر است و قابل ردیابی نیست.
اثر انگشت: نقطه ضعف دیگر هانی‌پات قابلیت رد یابی شدن آن است. این ضعف به خصوص برای نوع پژوهشی آن بیشتر است. هکرهای حرفه‌ای با ردیابی و شناخت هانی‌پات در یک شبکه، داده‌های اشتباه و گمراه‌کننده را به آن می‌دهند که باعث اتخاذ تصمیمات غلط مدیران امنیتی در مقابله با رویداد می‌شود.
خطر پذیری: گاهی ممکن است مهاجم، از طریق یک هانی‌پات مورد حمله قرار گرفته شده، به شبکه اصلی نفوذ کند. در نوع تولیدی این امکان کمتر و در پژوهشی بیشتر است.
چند نمونه از هانی‌پات‌ها
BOF: یک هانی‌پات کم واکنش از شرکت NFR security است که بر روی سیستم‌های ویندوز نصب می‌شود و تعداد محدودی از سرویس‌ها را تقلید می‌کند. به علت محدود بودن تعداد سرویس‌ها، مهاجمان تحریک می‌شوند که با آن واکنش داشته باشند. این سیستم برای تشخیص حملات Back orifice طراحی شده‌است.Back orifice یک برنامه نفوذی است که سیستم را از راه دور کنترل می‌کند. مانند خیلی از ویروس‌ها، برنامه روی سیستم قربانی دانلود شده و بعد از باز شدن توسط کاربر، بر روی سیستم نصب می‌شوند و سیستم را تحت کنترل مهاجم در می‌آید. با وجود BOF در سیستم، هر گونه کنترل از راه دور توسط آن کشف شده و آدرس و عملیات مهاجم ثبت می‌شود.
Honeyd: یک هانی‌پات کم واکنش متن باز برای سیستم‌های Unix می‌باشد که برای کشف حملات و فعالیت‌های غیرمجاز طراحی شده‌است؛ و به علت متن باز بودن قابلیت تنظیم و تقلید بالایی را برای کاربر فراهم می‌سازد. یکی از ویژگی‌های جالب آن این است که به جای کشف آدرس مهاجم، به آدرس سیستم‌های نامعتبر توجه می‌کند یعنی با مانیتور کردن آدرس‌های بلا استفاده، به محض آنکه درخواست ارتباطی از سوی این نوع آدرس‌ها دریافت شد، آن را از سوی مهاجم فرض می‌کند.
Decoy server: یک هانی‌پات پر واکنش از شرکت symantec است که قبلا Man Trap خوانده می‌شد. یک محیط زندان مانند توسط این هانی‌پات ایجاد می‌شود و مهاجم در این قفس مجازی با امکانات یک سیستم عامل محدود مواجه شده وامکان گریز هم ندارد. تا ۴ عدد از این نوع قفس‌ها در یک سیستم توسط این هانی‌پات قابل پیاده‌سازی است.