22 Июля, 2019

ИБ. Канарейки на службе ИБ

Сергей Борисов

Идея использовать “канареек” в информационной безопасности – не новая, но в РФ все ещё редко применяется, поэтому решил напомнить читателям про эту идею.
Эксперты по ИБ предупреждают что защититься от 100% кибератак невозможно – всегда может найтись слишком доверчивый пользователь, непубличная уязвимость или целевая атака. Основной смысл решения с “канарейками” в том, чтобы вместо поиска вторжений в миллионах событий (иголки в стоге сена), мы получили уведомление, когда злоумышленнику всё-таки удалось добраться до нашей ценной информации.

Размещать “канареек” имеет смысл в наиболее ценных активах – как только нарушитель доберется до них, вы получите уведомление и возможно оперативно заблокировать его, провести расследование инцидента, устранить уязвимости, которыми пользовался нарушитель и возможно собрать информацию, полезную для правоохранительных органов.

В целом идея похожа на honeypot, но только размещение “канареек” должно происходить максимально просто – в пару кликов. С https://canarytokens.org буквально за пару часов мы можете создать и пристроить птичек – а потом целый год пожинать плоды. Посмотрим на несколько примеров:
·        Если у вас активно используется обмен ценной информацией через сетевые папки, то вы аналогично можете создать новую папку с похожим привлекательным названием, запретить к ней доступ обычных пользователей, оставить доступ административных или системных учетных записей.
Далее создаем канарейку / токен типа Windowsfolder (работает с использованием desktop.ini) и размещаем его в целевой папке.


После того как кто-то заходит в папку, получаем подобное уведомление

·        Если ценные данные ИС размещаются в базах данных, будем селить “канарейку” в БД.
Создаем токен типа SQLServer – для него придумаем новый VIEWс привлекательным названием, который не используется в реальной работе, но к которому будет доступ у любой учетной записи.
 
Применяем полученный скрипт в SQLсервере

Как только злоумышленник проберется в базу и посмотрит наш view, мы получим уведомление

·        Ценная информация отправляется контрагенту в формате word и pdf, но нужно проконтролировать чтобы она не распространялась слишком широко, или не использовалась дольше чем указано в договоре (как это работает обсуждалось тут )
Создаем токен типа Microsoft Word Document или Adobe Reader PDF document

Вставляем в него нашу информацию – отправляем.
Получаем следующие уведомления.


·        У нас есть ценный сайт, который может быть склонирован злоумышленником, и использован для фишинговой атаки на пользователей.
Создаем канарейку типа Clonedweb site

Размещаем java-скрипт на странице с авторизацией или там где пользователь вводит данные
При появлении клона сайта получаем уведомления

·        У нас есть ценное web приложение. В каком-то из закрытых разделов, где нет доступа пользователей размещаем привлекательный файл – канарейка типа Adobe Reader PDFdocument, либо на закрытой web странице размещаем специальные картинки, ссылки либо редиректы – канареки типа URL token, DNS token, CustomImage token, FastRedirect.  
Пользователи, а этот раздел не ходят, а злоумышленник проберется через уязвимость и посмотрит.

Кому понравилась данная тема и хочется большего, смотрите полноценные honeypotпроекты где нужно самим создавать и настраивать приманки; также можно развернуть у себя “канареечный” сервер с кастомным именем – ведь злоумышленики могут блокировать стандартное canarytokens.org; также можно приобретать многофункциональных “канареек” , которые из коробки могут прикидываться АРМ на windwos, маршрутизатором или Linuxсервером.

Ps: Для эксперимента по точности обнаружения можете скачать и открыть у себя pdf файл