隨著黑客攻擊技術(shù)不斷的提升，防御技術(shù)也不斷的創(chuàng)新。近幾年也出現(xiàn)了很多的新技術(shù)新名詞，如威脅情報、態(tài)勢感知等。欺騙技術(shù)也是攻防升級后的新技術(shù)，被評為Gartner2016年十大信息安全技術(shù)之一。

 

什么是欺騙技術(shù)?

 

        孫子的《孫子兵法》中說的： “ 一切戰(zhàn)爭都是建立在欺騙的基礎(chǔ)上的?！?/span>

        “欺騙”是戰(zhàn)爭中使用的經(jīng)典戰(zhàn)術(shù)，無論是作為己方保護(hù)還是作為攻擊敵人的機(jī)制。在第二次世界大戰(zhàn)期間進(jìn)行的最著名的欺騙行動之一，是英國人在入侵西西里之前的戰(zhàn)役中欺騙了德國人。這是一個典型的策略性錯誤信息的行動，目的是欺騙敵人，轉(zhuǎn)移他們的注意力，使他們脫離真正的攻擊發(fā)生地。

        網(wǎng)絡(luò)欺騙策略背后的想法是類似的。企業(yè)通常在不同程度上了解攻擊者正在尋找什么，他們期望找到什么，以及他們?nèi)绾喂艉褪褂盟麄冋业降男畔?/span>?

欺騙技術(shù)原理

 

        欺騙技術(shù)是通過使用欺騙手段阻止或者擺脫攻擊者的認(rèn)知過程，擾亂攻擊者的自動化工具，延遲攻擊者的行為或者擾亂破壞計劃。例如，欺騙功能會制造假的漏洞、系統(tǒng)、分享和緩存。如果攻擊者試圖攻擊這些假的資源，那么這就是一個強(qiáng)烈的信號說明攻擊正在進(jìn)行中，因為合法用戶是不應(yīng)該看到或者試圖訪問這些資源的。

與傳統(tǒng)蜜罐技術(shù)的差異

 

        有些人認(rèn)為欺騙技術(shù)概念或多或少指的就是現(xiàn)代動態(tài)蜜罐和蜜網(wǎng)，基本上，他們的理解是正確的。欺騙技術(shù)則是一個新的術(shù)語，其定義尚未定型，基本指的就是一系列更高級的蜜罐和蜜網(wǎng)產(chǎn)品。

        欺騙技術(shù)和傳統(tǒng)蜜罐欺騙技術(shù)在檢測網(wǎng)絡(luò)攻擊者方法上是存在一定的差異性，以下是它們的不同之處：

01 完全相反的基本前提

 

        蜜罐技術(shù)是使用組織基礎(chǔ)設(shè)施的邏輯視圖設(shè)計的。這些蜜罐被部署在有價值的目標(biāo)周圍，以試圖轉(zhuǎn)移攻擊者。然而，當(dāng)攻擊者遇到蜜罐時，它已經(jīng)在網(wǎng)絡(luò)最深處了。

        攻擊者將基礎(chǔ)設(shè)施視為社交地圖。一旦他們確定了在網(wǎng)絡(luò)中的位置，他們就會看到相鄰的資源和資源之間的關(guān)系來決定他們下一步的行動，欺騙技術(shù)是從攻擊者的角度設(shè)計的，并提前識別攻擊。這種視角的轉(zhuǎn)變給了你在威脅情況下的巨大優(yōu)勢，這些威脅總是壓倒性地支持攻擊者。

02 誘騙與糾纏

 

        蜜罐的成功依賴于捕獲攻擊者的注意力并激勵他們轉(zhuǎn)移到蜜罐目的地。這意味著你必須首先讓攻擊者在蜜罐之前阻止他們。與此同時，他們可能會在網(wǎng)絡(luò)中存在數(shù)月，會泄露數(shù)據(jù)并造成損害。

         欺騙技術(shù)模擬實際的基礎(chǔ)設(shè)施及網(wǎng)絡(luò)中的實際資產(chǎn)信息，來欺騙攻擊者進(jìn)行攻擊，而攻擊者不會意識到這一點。

 03 有限的可伸縮性與自動化的可伸縮性

 

        部署時通常采用增加在整個基礎(chǔ)架構(gòu)中的蜜罐數(shù)量，以增加捕獲攻擊者的可能性。然而，這種方法很快就會變得昂貴而復(fù)雜。如果你有500臺機(jī)器并且需要50%的覆蓋率，則需要添加250臺新機(jī)器和IP地址，更不用說許可證和人力資源來管理這些機(jī)器。

        而欺騙技術(shù)的組織網(wǎng)絡(luò)本質(zhì)上是動態(tài)的，部署的欺騙層上的基礎(chǔ)設(shè)施及網(wǎng)絡(luò)中的實際資產(chǎn)信息也是動態(tài)的，一旦檢測到變化，欺騙層上的信息會主動并自動適應(yīng)，通過添加、更新或重新分配基礎(chǔ)設(shè)施及網(wǎng)絡(luò)中的實際資產(chǎn)信息，來達(dá)到欺騙攻擊者的目的。

 

04 增加誤報與近零的誤報

 

        一個攻擊者必須選擇蜜罐作為目的地，當(dāng)它們存在于網(wǎng)絡(luò)中時，終端用戶經(jīng)常會與誘餌進(jìn)行交互，從而增加誤報。

        欺騙技術(shù)使每個終端上的數(shù)據(jù)都被100%覆蓋，但卻隱藏在用戶中。因為他們只能暴露在攻擊者的面前，誤報被消除，每一次警報都是真實的威脅。

05 模仿與真實性

 

        蜜罐上放置的誘餌是用組織認(rèn)為會吸引攻擊者的數(shù)據(jù)或?qū)傩?，但其根本是靜態(tài)的。攻擊者會尋找蜜罐誘餌特定的特征，使自己能夠成功地避免使用蜜罐。

        然而，誘餌應(yīng)該既有趣又能證明與攻擊者的真實互動。

        欺騙技術(shù)的誘餌是真實的，隨著時間的推移而變化。它們具有相同的屬性和實際的終端、服務(wù)器、數(shù)據(jù)、應(yīng)用程序和周圍的網(wǎng)絡(luò)環(huán)境。即使是在相同的環(huán)境中，也沒有兩臺計算機(jī)或用戶的欺騙行為是相同的，造成攻擊者無法確定什么是真實的，什么是虛假的。

 

06 延遲威脅響應(yīng)與即時威脅響應(yīng)

 

        通過蜜罐技術(shù)，組織的安全團(tuán)隊必須希望攻擊者能夠與蜜罐交互足夠長的時間，以解決來自多臺機(jī)器的大量錯誤的警報。這明顯推遲了有效的反應(yīng)。

        此外，由于攻擊者在組織網(wǎng)絡(luò)中已經(jīng)深入，因此安全團(tuán)隊在這一點上往往非常警惕，經(jīng)常會導(dǎo)致錯誤的決策。

        有了欺騙技術(shù)，安全團(tuán)隊知道攻擊者在攻擊的早期就會欺騙。這給了他們更多的響應(yīng)選擇和一個清晰的修復(fù)路徑。

 

07 有用的取證和即時取證的來源攻擊

 

        蜜罐的取證只能聚集在蜜罐誘餌本身，它不提供對源機(jī)器或先前行為的洞察。

        而欺騙技術(shù)可以為組織提供關(guān)于試獲取攻擊機(jī)器的完整取證報告，以及攻擊的全部過程，包括攻擊者的內(nèi)部“過程”，以及嘗試與命令和控制服務(wù)器來泄露數(shù)據(jù)等等。

08 強(qiáng)調(diào)技術(shù)與轉(zhuǎn)變

 

        蜜罐技術(shù)已經(jīng)存在了很長時間，并且是基于對機(jī)器和技術(shù)能力的假設(shè)而設(shè)計的。

        欺騙技術(shù)可以幫助攻擊者擺脫困境，因為它是圍繞著人類對新環(huán)境或新環(huán)境的反應(yīng)而設(shè)計的。當(dāng)攻擊者登陸網(wǎng)絡(luò)時，他會問兩個問題：

    下一步我應(yīng)該去哪里?

    我怎么去呢?

        只有在回答了這些問題之后，它才會進(jìn)行下一個橫向移動。當(dāng)真實欺騙被部署到這些問題的答案時，就會產(chǎn)生一個欺騙的現(xiàn)實。這將會導(dǎo)致攻擊者在一個陷阱服務(wù)器上，而不是它理想的目標(biāo)。在它身邊有許多欺騙手段，攻擊者通常會做出不正確的決定 ， 使它陷入欺騙和迷失方向，這一點是它沒有意識到的。與此同時，它被發(fā)現(xiàn)卻不知道。自動的取證反應(yīng)跟蹤他的路徑和活動，為組織提供有價值的數(shù)據(jù)來阻止和糾正攻擊。

        欺騙技術(shù)作為新興的網(wǎng)絡(luò)安全技術(shù)，在國內(nèi)還未得到用戶的普遍認(rèn)識。然而，欺騙技術(shù)已經(jīng)超越了今天的蜜罐概念。通過誘餌積極的引誘攻擊者到欺騙環(huán)境中，從而達(dá)到防御的效果。

文章引用：http://netsecurity.51cto.com/art/201810/585827.htm?mobile