Обычно защита строится вокруг простой идеи: не пустить злоумышленника внутрь. Межсетевые экраны, WAF, EDR, контроль доступа — все работает на то, чтобы остановить атаку как можно раньше.
Но есть другой сценарий.
Представим, что атакующий уже начал разведку. Он ищет доступные сервисы, проверяет учетные данные, сканирует периметр, изучает инфраструктуру.
И находит то, что искал.
Только это не настоящий сервер.
Это ловушка.
Первый шаг — дать атакующему цель
В «Цифровой западне» используются ловушки разного уровня.
Более простые можно размещать на периметре. Они позволяют собирать массовые сканирования, попытки эксплуатации и другую автоматизированную активность.
Но есть и более сложные, каскадные сценарии. До такой ловушки еще нужно добраться — пройти несколько этапов, использовать учетные данные, выполнить определенные действия.
И здесь уже становится гораздо интереснее.
Потому что чем сложнее путь до ложного объекта, тем выше вероятность, что перед нами не очередной бот, а человек, который действительно изучает инфраструктуру и пытается развивать атаку.
И вот тут ловушка перестает быть просто ловушкой
Каждое такое срабатывание разбирают специалисты SOC.Что делал атакующий?
Как подключался?
Какие файлы использовал?
Какие логины и пароли перебирал?
Какие URL посещал?
Как пытался развивать атаку дальше?
При необходимости можно анализировать и сетевой трафик.
В итоге заказчик получает не просто алерт «кто-то коснулся honeypot», а контекст, анализ и рекомендации.
Массовые атаки тоже не пропадают зря.
Более простые ловушки на периметре собирают индикаторы компрометации, характерные именно для атак на конкретную инфраструктуру.
Дальше данные очищаются, обогащаются и проверяются аналитиками SOC.Полученные IoC можно использовать для превентивной защиты и передавать в другие средства безопасности — например, в CSV, JSON или другом удобном формате. Для разных типов индикаторов предусмотрена и собственная политика времени жизни.
Получается любопытная конструкция:атакующий сам приносит данные, которые потом можно использовать против следующих атак.
А что с фишингом?
Здесь работает тот же принцип.
В рамках сервиса можно создать отдельный почтовый ящик в корпоративном домене и превратить его в труднодостижимую антифишинговую ловушку.
Письма, которые туда приходят, анализирует SOC. Из них можно получать данные для блокировки отправителей, IP-адресов, вредоносных ссылок и хешей вложений.
То есть ложной целью может быть не только сервер или сервис.
Иногда достаточно правильно расположенного почтового ящика.
А дальше появляется еще одна проблема — скорость.
Атакующие все активнее используют автоматизацию и ИИ. Новые CVE появляются быстро, инструменты меняются быстро, а статичная инфраструктура защиты рискует постоянно догонять.
Поэтому в концепции «Цифровой западни» отдельно предусмотрено использование ИИ для генерации и модификации ловушек, сбор полной телеметрии и автоматическое реагирование.
И здесь меняется сама логика защиты.
Мы уже не только пытаемся распознать известную атаку.
Мы создаем среду, в которой злоумышленнику дают возможность проявить себя.
Он сканирует.
Проверяет.
Подключается.
Пробует подобрать пароль.
Открывает ложный ресурс.
И все это время оставляет следы.
Почему «Цифровая западня»?
Потому что задача здесь не просто поставить несколько honeypot.
Это связка:
ловушки → телеметрия → SOC-аналитика → IoC → превентивная защита.
Причем подключить сервис можно по-разному: через брокеры для трансляции трафика, собственные IP или URL заказчика либо Docker в его инфраструктуре.
В обычной инфраструктуре атакующий ищет дорогу к настоящим активам.
В «Цифровой западне» часть этих дорог заранее ведет не туда.
И чем дольше он уверен, что движется правильно, тем больше информации о себе успевает оставить.
Забирайте презентацию в нашем Телеграм-канале: https://t.me/honeycorn_cyber
