Meepurk (arvutiteadus)

**Meepurk** (ingl *honeypot*) on arvutivõrkude turvameede, mis seisneb andme- või võrguressursside loomises ja seadistamises, et ründajaid petta valeandmetega. Seda kasutatakse tihti ründajate käitumise analüüsimiseks ja nende meetodite mõistmiseks. Tavaliselt seatakse meepurk üles nii, et see näeks välja nagu päris arvutisüsteem, kuid tegelikult on see eraldatud turvalises isoleeritud keskkonnas, kus see on jälgitav ja võimeline ründaja rünnakuid blokeerima või analüüsima. See on sarnane politsei "peibutus operatsioonidega", kus seatakse lõks, et pahatahtlikke inimesi kinni püüda. 

Selle võrgu peibutuse peamine eesmärk on viia potentsiaalsed ründajad reaalses võrgus olevast seadmest ja teabest eemale, õppida tundma rünnaku vorme ja uurida selliseid rünnakuid meepurgi raames nii rünnakute ajal kui ka peale rünnakuid. See võimaldab ennetada ja näha konkreetse võrgusüsteemi haavatuvusi. Meepurgi väärtus tuleneb ründajate tegevusest, kui ründajad ei leia meepurki üles, on meepurgist vähe kasu või on kasutu. Meepurke saab kasutada mitmetel viisidel: automatiseeritud rünnakute aeglustamiseks või peatamiseks, uute ära kasutatavate vigade märkamiseks, varajaseks hoiatuseks või luureandmete kogumiseks tekkivate ohtude kohta. 

## Tüübid
Meepurke on füüsilisi ja virtuaalseid: 

* **Füüsiline meepurk**: tegemist on päris masinaga, millel on oma IP-aadress. See masin simuleerib süsteemi modelleeritud käitumist. Seda tüüpi lahendust kasutatakse harva, kuna nende hooldus ja riistvara seadistamise keerukus muudab nad ebaefektiivseks ja kulukaks.

* **Virtuaalne meepurk**: seda tüüpi meepurke kasutamine võimaldab installida ja simuleerida võrgus erinevate operatsioonisüsteemide hoste, kuid selleks on vaja simuleerida sihtmärgi operatsioonisüsteemi TCP/IP protokolli. Seda varianti kasutatakse sagedasemalt. 

### Meepurkide liigitus
Meepurke saab liigitada vastavalt nende kasutusele ja kaasatuse tasemele. Tegevuse järgi liigitatakse meepurke järgmiselt:
* tootmise meepurgid ja
* uuringu meepurgid.
**Tootmise meepurgid** (ingl *production honeypots*) on mõeldud ettevõtte võrgu turvalisuse parandamiseks, paigutades need koos tootmise serveritega organisatsiooni võrku, et jälgida rünnaku katseid ja tuvastada reaalajas ohtusid. Need on tavaliselt väikese interaktsiooniga, lihtsad kasutada ja koguvad piiratud hulgal teavet ründajate ning nende meetodite kohta, keskendudes peamiselt rünnakute mõju minimeerimisele.

**Uuringu meepurgid** (ingl *research honeypots*), on loodud ründajate taktika, motiivide ja tehnikate süvauurimiseks ning neid kasutatakse peamiselt teadus-, sõjaväe- ja valitsus organisatsioonides. Need on suure interaktsiooniga, keerukamad hallata ning koguvad põhjalikumat ja ulatuslikumat teavet. Need annavad väärtuslikku ülevaadet keerulistest rünnaku meetoditest. Uuringu meepurkide peamine eesmärk on õppida tundma küberohtusid, et arendada tõhusamaid kaitsemehhanisme tulevikus.
Meepurgid saab disaini kriteeriumite alusel jagada kolmeks: puhtad meepurgid, suure interaktsiooniga meepurgid ja väikese interaktsiooniga meepurgid. 

### Meepurkide disain
Disainikriteeriumide järgi liigitatakse meepurke järgmiselt: 

* puhtad meepurgid,
* suure interaktsiooniga meepurgid,
* väikese interaktsiooniga meepurgid.

**Puhtad meepurgid** (ingl *pure honeypots*) on tootmissüsteemid, mis on loodud ründajate tegevuste jälgimiseks ilma täiendavat tarkvara paigaldamata. Nende jälgimine toimub võrguühendusele paigaldatud passiivse jälgimisseadme abil, mis registreerib kõik ründaja liikumised ja tegevused. Puhtad meepurgid on võrreldes teiste meepurkide tüüpidega vähem paindlikud, kuna nende töö põhineb täielikult füüsilise süsteemi või masina jälgimisel, mitte tarkvarapõhisel kontrollil või simulatsioonidel. Selliseid meepurke kasutatakse harvem, kuna need nõuavad palju ressursse ja hoolikat haldamist, mis võib muuta need ebapraktiliseks.

**Suure interaktsiooniga meepurgid** (ingl *high-interaction honeypots*) jäljendavad tootmissüsteeme, pakkudes ründajatele mitmesuguseid teenuseid ja ressursse, et suunata nende tähelepanu kõrvale tegelikest süsteemidest. Nende seadistamisel kasutatakse sageli virtuaalmasinaid, mis võimaldab kasutada mitut meepurki ühel füüsilisel masinal, lihtsustades taastamist, kui meepurk on rikutud. Sellised meepurgid on väga tõhusad, kuna need on ründajate jaoks raskemini tuvastatavad, kuid samal ajal kulukamad ja keerukamad hallata. Kui virtuaalmasinaid pole võimalik kasutada, siis võib iga meepurgi jaoks vajalik füüsiline arvuti muuta nende kasutamise väga kalliks ja taaskord ebapraktiliseks.

**Väikese interaktsiooniga meepurgid** (ingl *low-interaction honeypots*) simuleerivad ainult ründajate poolt sageli sihitud teenuseid, näiteks avatud porte või lihtsamaid võrguühendusi. Need tarbivad vähe ressursse, võimaldades ühel füüsilisel süsteemil majutada mitut virtuaalset meepurki. Samuti on nende seadistamine lihtsam, kuna neil on väiksem turvaseadistuste keerukus ja vähem koodi, mis vähendab võimalike turvaaukude riski. See meepurkide tüüp, näiteks Honeyd, oli üks esimesi loodud lahendusi ning seda kasutati peamiselt rünnakute tuvastamiseks, mitte ründajate põhjalikuks analüüsiks. Tänu väikestele kuludele ja kiirele reageerimisajale on need eriti kasulikud väiksematele organisatsioonidele.

## Meepurkide tuvastamine
Meepurkide tuvastamissüsteemid on pahatahtlike ründajate tööriistad, mida kasutatakse meepurkide avastamiseks ja vältimiseks. Tuvastussüsteemid keskenduvad sageli konkreetsete meepurkide unikaalsetele omadustele, näiteks nende konfiguratsioonis sisalduvatele väärtuspaari tunnustele. Sellest hoolimata kasutavad paljud meepurgid laia ja varieeruvat omaduste komplekti, muutes nende tuvastamise keerulisemaks ja ajamahukamaks. Erinevalt tavalisest tarkvara arendamise praktikast võib "" nähtus, kus samast tarkvarast on loodud palju erinevaid, veidi varieeruvaid versioone, osutuda meepurkide puhul kasulikuks, kuna see suurendab tuvastamise raskust.

## Riskid
Meepurkide peamine eesmärk on meelitada ja hoida kinni ründajaid piisavalt pikaks ajaks, et koguda väärtuslikku teavet, näiteks kompromiseerimise kõrgtasemelisi näitajaid (Indicators of Compromise, IoC) ning ründajate taktikaid, tehnikaid ja protseduure (Tactics, Techniques, and Procedures). Selleks peab meepurk jäljendama tootmisvõrgus olulisi teenuseid ja andma ründajale piisavalt vabadust vaenulike tegevuste sooritamiseks, suurendades selle atraktiivsust. Kuigi meepurk asub kontrollitud keskkonnas ja seda saab jälgida spetsiaalsete tööriistade, näiteks *honeywall*’i abil, võivad ründajad siiski kasutada meepurki tugipunktina, et tungida tootmissüsteemidesse.

Teine meepurkidega seotud risk on võimalus, et need võivad kogemata meelitada ligi päris kasutajaid, kellel ei ole pahatahtlike motiive. Suurettevõtete võrkudes võib puudulik suhtlus põhjustada olukordi, kus kõik kasutajad ei ole teadlikud meepurgi asukohast või olemasolust. Näiteks võib turvameeskond, kes rakendab ja jälgib meepurki, jätta selle asukoha aegsasti avalikustamata kas kommunikatsiooniprobleemide või siseohtude vältimise tõttu. Sellised olukorrad võivad põhjustada segadust ja ekslikke interaktsioone tootmissüsteemide ja meepurkide vahel.

## Viited