I vantaggi degli honeypot

Gli honeypot sono molto utili per smascherare le vulnerabilità nei grandi sistemi. Ad esempio, si potrebbero usare per mostrare l’alto livello di minaccia posto da attacchi a dispositivi IdC. Ma possono anche suggerire modi per migliorare la sicurezza.

Usare un honeypot presenta molti vantaggi quando si cerca di individuare intrusioni in un sistema. Ad esempio, per definizione, un honeypot non dovrebbe ricevere alcun reale traffico in entrata, quindi qualsiasi attività registrata dev’essere un tentativo di esplorazione o intrusione.

In questo modo è molto più facile individuare schemi ripetuti, come indirizzi IP simili (o indirizzi IP tutti provenienti dallo stesso paese), sfruttati per mettere a segno un network sweep. Campanelli d’allarme di questo tipo, che preannunciano un attacco, sono facili da perdere fra il guazzabuglio di dati nell’alto traffico reale di una rete. Il grande vantaggio della honeypot security è che tutti questi indirizzi sono gli unici presenti e l’attacco diventa quindi facilmente identificabile.

Inoltre, gestendo volumi di traffico limitati, gli honeypot non richiedono molte risorse. A livello di hardware, serve ben poco: è possibile creare un honeypot con un vecchio computer che non si usa più. Per quanto riguarda il software, in alcuni archivi online si trovano honeypot già scritti, riducendo ancora di più lo sforzo richiesto per mettere in piedi un “barattolo di miele”.

Gli honeypot hanno un basso tasso di falsi positivi. Questo è in netto contrasto con i tradizionali sistemi di rilevamento delle intrusioni (IDS), che presentano invece un alto livello di falsi allarmi. Ancora una volta, questo aiuta ad assegnare le giuste priorità e mantiene la richiesta di risorse dall’honeypot a un basso livello. Aggiungiamo che sfruttando i dati raccolti dagli honeypot e correlandoli con altri registri di sistema e del firewall, gli IDS possono venire configurati con allerte più rilevanti, per produrre un minor numero di falsi positivi. In questo modo, gli honeypot possono aiutare a rifinire e migliorare gli altri sistemi di sicurezza informatica.

Gli honeypot possono fornire utili informazioni sull’evoluzione delle minacce. Accumulano dai sui vettori d’attacco, sugli exploit e sui malware e, nel caso delle trappole via mail, su attacchi spam e phishing. Gli hacker perfezionano le loro tecniche di intrusione in continuazione, un honeypot virtuale aiuta a individuare le minacce emergenti. Questo è anche un ottimo metodo per eliminare i punti ciechi.

Gli honeypot possono essere un ottimo strumento di formazione per lo staff tecnico di sicurezza. Un ̀”barattolo di miele” è un ambiente sicuro e controllato dove mostrare come lavorano gli hacker ed esaminare i diversi tipi di minaccia. Con uno strumento simile, lo staff di sicurezza non sarà distratto dal traffico reale della rete; potrà concentrarsi al 100% sulle minacce.

Gli honeypot sono anche in grado di catturare minacce interne. La maggior parte delle organizzazioni rivolge tutte le proprie risorse alla difesa del perimetro, per assicurarsi che nessun intruso possa penetrarlo. Ma se si difende solo il perimetro, un hacker che dovesse riuscire a superare il firewall avrebbe carta bianca una volta all’interno.

I firewall a loro volta non aiutano contro una minaccia interna, come ad esempio un dipendente che voglia sottrarre dei file prima di licenziarsi. Un honeypot può fornire informazioni altrettanto buone sulle minacce interne e mostrare vulnerabilità in aree come le autorizzazioni, che possono permettere a un intruso lo sfruttamento del sistema.

Infine, la creazione di un honeypot è in realtà un gesto altruista, che aiuta gli altri utenti. Più tempo gli hacker passano a sprecare i loro sforzi nel vostro “barattolo”, meno tempo avranno per infiltrarsi nei sistemi reali, causando danni a voi o agli altri.

I pericoli degli honeypot

Sebbene la cybersecurity dell’honeypot aiuterà a delineare l’ambiente della minaccia, l’unico attacco che potrà vedere è quello rivolto contro se stessa. Solo perché una minaccia non è stata rivolta contro l’honeypot, questo non significa che non esista. È comunque importante restare al passo con le novità nel campo della sicurezza informatica e del cybercrimine.

Un honeypot ben configurato trarrà gli hacker in inganno, facendo loro credere di aver ottenuto accesso a un sistema reale. Avrà gli stessi messaggi d’avviso all’accesso, gli stessi campi dei dati, perfino lo stesso aspetto e gli stessi loghi dei vostri sistemi. Tuttavia, se un hacker si accorge dell’inganno, potrà allora procedere ad attaccare gli altri vostri sistemi, lasciando perdere la trappola.

Una volta “toccato” l’honeypot, un aggressore potrà creare finti attacchi per distrarre l’attenzione da un vero exploit rivolto ai vostri sistemi di produzione. Inoltre, i criminali potrebbero inviare informazioni false all’honeypot.

Peggio ancora, un aggressore intelligente potrebbe sfruttare l’honeypot come modo per introdursi nel vostro sistema. Ecco perché queste esche non potranno mai sostituire adeguati controlli di sicurezza come firewall e altri sistemi di rilevamento. Potendo un honeypot servire da piattaforma di lancio per ulteriori intrusioni, bisogna far sì che tutti questi “barattoli” siano ben chiusi. Un “honeywall” può fornire una sicurezza di base all’honeypot e fermare attacchi che partendo dal barattolo possano raggiungere i vostri sistemi online.

Un honeypot dovrebbe darvi informazioni sulle priorità da assegnare ai vostri sforzi di sicurezza informatica, ma non può sostituire un’adeguata cybersecurity. Considerate quindi anche un pacchetto come Kaspersky Endpoint Security Cloud per proteggere le vostre attività commerciali. (Kaspersky sfrutta i propri honeypot per rilevare minacce su Internet, facendo il lavoro al posto vostro.)

In generale, i vantaggi dell’utilizzo di un honeypot superano di gran lunga i rischi. Gli hacker ci sembrano spesso una minaccia lontana e invisibile, ma usando un honeypot possiamo renderci esattamente conto di quello che stanno facendo, in tempo reale, e sfruttare quelle informazioni per impedir loro di raggiungere l’obiettivo.