توکن های عسل به عنوان دفاعی در برابر حملات زنجیره تامین در سال 2023

Honeytokens مانند سیم های مسافرتی عمل می کنند و به سازمان ها در مورد تهدیدات سایبری مخربی که در کمین داده های حساس آنها هستند هشدار می دهند.

آنها یک سیستم تشخیص نفوذ بسیار موثر هستند. در واقع، آنقدر موثر است که آژانس امنیت سایبری اتحادیه اروپا (ENISA) به شدت استفاده از آنها را در امنیت شبکه توصیه می کند.

اگر به صورت استراتژیک یک اکوسیستم توزیع شود، توکن های عسل می توانند از حملات زنجیره تامین جلوگیری کنند و انطباق با دستور اجرایی امنیت سایبری جو بایدن را بهبود بخشند.

Honeytokens چیست؟

Honeytokens که به عنوان honeypots نیز شناخته می شوند، منابع فناوری اطلاعات جعلی هستند که برای شناسایی فعالیت های مجرمان سایبری استفاده می شوند.

مجرمان سایبری فکر می کنند این منابع فریبنده قانونی هستند و سعی می کنند از آنها سوء استفاده کنند. این تلاش های اضافی شناسایی می شوند و به سازمان ها در مورد فعالیت های مخرب در سیستم های رایانه ای هشدار می دهند.

Honeytokens یک روش پیشگیرانه برای دفاع سایبری است. به جای پاسخگویی به حملات سایبری پس از وقوع آنها، توکن های عسل به سازمان ها اجازه می دهند تا تلاش های نقض داده ها را شناسایی کنند تا بتوان از منابع هدفمند به طور موثر دفاع کرد.

علاوه بر افشای استراتژی های حمله احتمالی، توکن های عسل همچنین می توانند هویت مهاجمان را کشف کنند و امکان ردیابی و متهم کردن آنها را فراهم کنند.

Honeytokens سطح حمله را علیه عوامل تهدید تبدیل می کند و مجرمان سایبری را قربانی طرح های مخرب خود می کند.

آیا Honeytokens می تواند از حملات زنجیره تامین جلوگیری کند؟

هیچ روش دفاع سایبری برای جلوگیری از حملات زنجیره تامین تضمین نمی شود. با این حال، Honeytokens هشدارهای پیشرفته ای در مورد فعالیت های مخرب در شبکه ای ارائه می دهد که اگر به سرعت با تلاش های اصلاحی مناسب پاسخ داده شود، می تواند تأثیر حمله زنجیره تامین را به میزان قابل توجهی محدود کند.

از آنجایی که مهاجمان زنجیره تامین اهداف را از طریق فروشندگان در معرض خطر نقض می کنند، Honeytoken بهترین حفاظت از زنجیره تامین دیجیتال را در صورتی که فروشندگان آنها را در امنیت اطلاعات خود بگنجانند، ارائه می دهد.

هر سازمانی که خدمات شخص ثالث ارائه می دهد باید با احاطه کردن منابع حساس خود با توکن های عسل، دقت لازم را انجام دهد.

Honeytokens همچنین می تواند به ذینفعان در مورد تهدیدات داخلی که حمله زنجیره تامین را تسهیل می کند، هشدار دهد.

انواع Honeytokens

اشکال مختلفی از Honeytokens وجود دارد که اشکال مختلف منابع حساس را که مجرمان سایبری را جذب می کند، منعکس می کند. برخی از نمونه های رایج در زیر ذکر شده است:

توکن های قناری

Canarytokens می تواند انواع مختلفی از توکن های عسل را از طریق یک برنامه وب منبع باز رایگان تولید کند. این ساده ترین روش برای ایجاد توکن های عسل است.

برای تولید Canarytokens، به canarytokens.org بروید، نوع honeytoken خود را انتخاب کنید و آدرس ایمیلی را که باید هنگام فعال شدن هر توکن عسل با آن تماس بگیرید، مشخص کنید.

اما مانند همه راه حل های سریع امنیت کامپیوتر، استفاده از Canarytokens محدودیت هایی دارد.

دامنه ردیابی Canarytokens را نمی توان تغییر داد و شامل URL Canarytokens.org است. مجرمان سایبری ادراکی متوجه این موضوع می شوند و متوجه می شوند که با منابع باگ شده تعامل دارند.

اشکال عمده دیگر این است که نمی توانید داده هایی را که honeytokens تولید می کنند مشخص کنید.

برای غلبه بر این محدودیت ها، Canarytokens را می توان از یک سرویس دهنده اختصاصی، مانند یک ماشین مجازی در یک ابر عمومی اجرا کرد.

محدودیت جدی دیگر توکن های قناری این است که نمی توان آنها را در مقیاس تولید، استقرار و مدیریت کرد.

اکوسیستم های کوچک می توانند نقاط دسترسی خود را با Canarytokens لکه دار کنند، اما زیرساخت های چند بعدی که به هزاران توکن عسل نیاز دارند، نمی توانند.

اکوسیستم های پیچیده باید توکن های عسلی خود را در مقیاس با پیکربندی کلیدهای AWS تولید کنند.

کلیدهای وب سرویس های آمازون (AWS)

AWS دسترسی را در سراسر زیرساخت خود از طریق یک سری کلیدها کنترل می کند. در یک کمپین شناسایی، کلیدهای امتیاز پایین تر می توانند اطلاعات مورد نیاز برای نقض دسترسی های دارای امتیاز بالاتر را در اختیار مهاجمان قرار دهند.

بنابراین تمام سطوح دسترسی AWS باید در حالت ایده آل دارای توکن های عسلی باشند که در طول تلاش برای نقض فعال می شوند.

کلیدهای AWS را می توان به عنوان توکن های عسلی پیکربندی کرد که در امتداد سطوح حمله قرار می گیرند که می توانند توسط مجرمان سایبری عبور کنند. این می تواند شامل زنجیره تامین، مخازن GitHub، دسکتاپ ها یا فایل های متنی باشد.

چگونه AWS Honeytokens را ایجاد کنیم؟

برای ایجاد توکن های عبری AWS، تمرین خوبی است که با ایجاد یک حساب خالی AWS شروع کنید. این امر تنظیم دستورالعمل ها را بسیار آسان تر می کند و عملکرد نادرست ناشی از خطاها را کاهش می دهد.

به طور پیش فرض، همه کاربران IAM دارای امتیازات صفر هستند، با این حال، برای اطمینان از اینکه همیشه اینطور است، یک سیاست انکار همه باید اجرا شود.

در اینجا یک مثال آورده شده است:

{ "نسخه": "2021-02-12",
"بیانیه":
{ "اثر": "انکار",
"اقدام": "*",
"منبع": "*", } }

AWS CloudTrail باید فعال شود تا تمام فعالیت های دسترسی به توکن را ثبت کند. برای ادغام یک سیستم هشدار برای همه توکن های راه اندازی، می توان از ابزار منبع باز SteamAlert استفاده کرد.

هر حساب AWS دارای محدودیت 5000 کاربر است و هر کاربر می تواند حداکثر 2 توکن داشته باشد. 10,000 توکن عسل باید برای اکثر زیرساخت های AWS کافی باشد.

اما AWS قابلیت پیکربندی توکن های عسل را در مقیاس ندارد. برای برآورده کردن این نیاز ضروری، پروژه Spacecrab توسعه یافت.

Project Spacecrab چیست؟

پروژه Spacecrab در سال 2018 توسط دانیل گرزلاک، رئیس امنیت Atlassian توسعه یافت. Grzelak ابزاری را برای کمک به سازمان ها در مقیاس سریع تلاش های امنیت سایبری خود توسعه داده است.

ابزار منبع باز قادر به تولید چندین هزار توکن عسل AWS در هر نقطه پایانی در یک اکوسیستم است.

پس از ایجاد، Spacecrab مکان هر توکن، زمان تولید آنها و اینکه چه کسی هر یک از آنها را ایجاد کرده است، ردیابی می کند.

خط لوله هشدار همچنین می تواند پیکربندی شود تا مشخص کند که چگونه هشدار هر توکن عسل باید فعال شود.

Project Spacecrab چگونه کار می کند؟

به طور پیش فرض، تمام کلیدهای AWS تولید شده توسط Project Spacecrab دارای یک خط مشی انکار همه هستند، بنابراین نمی توان از آنها برای دسترسی به منابع حساس استفاده کرد. اگر مهاجمی بخواهد از یک توکن عسل Spacecrab استفاده کند، اقدامات در یک سطل S3 بارگذاری می شوند، سپس یک تابع لامبادا برای تجزیه و تحلیل.

رویدادهای Honeytoken به یک موضوع AWS SNS ارسال می شوند که لامباداهای بیشتری را برای هر یک از روش های هشدار پیکربندی شده راه اندازی می کند.

دو اقدام هشدار استاندارد شامل سرویس ایمیل ساده آمازون و PagerDuty Events API v2 است. توابع هشدار سفارشی اضافی را می توان توسعه داد و پیاده سازی کرد.

رکوردهای جعلی پایگاه داده

تزریق SQL یک روش حمله رایج است که در آن عوامل تهدید دستورات SQL را به فیلدهای متنی تزریق می کنند تا به پایگاه داده های back-end دسترسی داشته باشند و آنها را دستکاری کنند.

سوابق جعلی پایگاه داده حواس عوامل تهدید را از سوابق حساس واقعی منحرف می کند و به خطر افتادن این سوابق جعلی حفره های موجود در امنیت پایگاه داده را آشکار می کند.

سوابق جعلی باید برای مجرمان سایبری بسیار جذاب باشد. اطلاعات حساس مانند سوابق مالی و سوابق حاوی نام های ممتاز، برای عوامل تهدید غیرقابل مقاومت است.

فایل های اجرایی جعلی

این یک شکل پیشرفته از honeytoken است. فایل های اجرایی جعلی برنامه های نرم افزاری فریبنده کاملا عملیاتی هستند. هنگامی که به آنها دسترسی پیدا می شود، یک سیگنال مخفی از نرم افزار ارسال می شود که زمان استفاده از آنها را مشخص می کند.

این سیگنال ها آدرس IP مهاجم و هر نامی را که به سیستم های آنها مرتبط است شناسایی می کنند.

فایل های اجرایی جعلی می توانند در شناسایی تلاش های حمله زنجیره تامین شامل دستکاری نرم افزار بسیار موثر باشند. حمله زنجیره تامین SolarWinds ناشی از به روز رسانی به خطر افتاده محصول Orion آن بود.

اما نرم افزار honeytoken تنها در صورتی جزئیات مجرمانه را فاش می کند که پورت های خارجی مهاجم در هنگام اجرای برنامه های فریبنده مسدود شوند.

بعید است که مجرمان سایبری پیچیده ماشین های خود را بدون محافظت رها کنند، اما جرایم سایبری فقط توسط هکرهای تند انجام نمی شود.

مجرمان سوفومورفیک اغلب حملات سایبری را انجام می دهند که می توانند با فایل های اجرایی جعلی خنثی شوند.

اگر از توکن های نرم افزاری فریبنده استفاده می شود، باید مراقب بود که قوانین امنیت سایبری نقض نمی شود.

پیوندهای تعبیه شده مخفی

این نوع هانی توکن همچنین تنها در صورتی کار می کند که دستگاه مهاجم محافظت نشده باشد. پیوندهای تعبیه شده در فایل های منابع، هنگامی که روی آنها کلیک می شود، یک سیگنال کلاستین را با جزئیات روش های شناسایی و حمله مهاجم به سازمان مورد هدف ارسال می کنند.

چراغ های وب

نشانه های عسل چراغ وب از مکانیسم ردیابی مشابه ابزارهای بازاریابی استفاده می کنند. وب بیکن پیوندی به یک شی تعبیه شده پنهان است. این می تواند یک تصویر شفاف یا یک پیکسل باشد.

وب بیکن ها را می توان به هر نوع سندی اضافه کرد که می تواند برای مهاجمان سایبری یک منبع حساس به نظر برسد.

هنگامی که روی پیوند وب در وب بیکن کلیک می شود، رایانه مهاجم به طور مخفیانه اطلاعات شناسایی خود را به سازمان مورد هدف واگذار می کند.

وب بیکن ها می توانند اطلاعات زیر را در مورد یک مهاجم کشف کنند:

• نسخه های مرورگر
• آدرس های ایمیل
• آدرس IP
• جزئیات سیستم عامل
• محل

مانند پیوندهای تعبیه شده و فایل های اجرایی جعلی، وب بیکن ها تنها در صورتی کار می کنند که مهاجم در پشت فایروال محافظت نشود.

کوکی های مرورگر

کوکی های مرورگر بسته هایی از داده ها هستند که جزئیات کاربران در حال مرور وب سایت ها را فاش می کنند. از آنجایی که آنها حاوی اطلاعات قابل شناسایی هستند، استفاده از آنها در اروپا به شدت تنظیم می شود.

کوکی های مرورگر شکل بسیار موثری از توکن عسل هستند زیرا می توانند نقاط پایانی مسدود شده را دور بزنند. هنوز یک عامل خطای انسانی برای کار کردن این توکن های عسل مورد نیاز است.

کوکی های مرورگر فقط اطلاعات جرایم سایبری مفیدی را ارائه می دهند مجرمان به طور منظم اطلاعات مرورگر خود را پاک نمی کنند. اما چنین تعمیر و نگهداری معمولی معمولا نادیده گرفته می شود، حتی توسط مجرمان سایبری باتجربه.

آدرس های ایمیل جعلی

این یک نوع بسیار ابتدایی از Honeytoken است. اگر یک آدرس ایمیل جعلی در یک منبع سازمانی ایمیل های فیشینگ دریافت کند، نشان دهنده نقض منبع سازمانی است.

ایمیل های فیشینگ تنها شاخص های به خطر افتادن نیستند، ایمیل های نقض شده نیز می توانند در وب تاریک فاش شوند. کشف چنین رویدادهایی بدون یک راه حل پیچیده تشخیص نشت داده دشوار است.

برای اینکه یک ایمیل جعلی honeytoken قانع کننده باشد، باید به نظر برسد که متعلق به یک کارمند ممتاز در سازمان مورد نظر است.

نحوه استقرار Honeytokens

Honeytokens باید به صورت استراتژیک مستقر شوند تا تمام منابعی را که مهاجم ممکن است سعی در به خطر انداختن آنها داشته باشد، پوشش دهد.

3 مرحله استقرار هانی توکن کارآمد وجود دارد.

فاز 1: شناسایی تمام نقاط استقرار Honeytoken

اول، تمام منابع و نقاط پایانی حیاتی باید شناسایی و ثبت شوند تا بتوان آنها را توسط توکن های عسل محافظت کرد.

نقاط مهم استقرار می تواند شامل موارد زیر باشد:

• لپ تاپ
• سرورهای VPN
• میزبان Bastion
• پایگاه داده
• سرورهای تولید

یک گزارش از هر نقطه استقرار honeytoken باید نگهداری شود. اکوسیستم های پیچیده باید از یک راه حل مدیریت توکن مانند Project Spacecrab استفاده کنند.

به جای ارسال توکن عسل تولید شده به تیم های مختلف برای استقرار، هر تیم باید توکن عسل خود را به صورت محلی تولید کند. در غیر این صورت، هر مرحله از مسیر تحویل می تواند باعث مثبت کاذب شود.

فاز 2: یکپارچه سازی رویدادهای Honeytoken در برنامه واکنش به حادثه

برای اینکه تلاش های استقرار honeytoken مقیاس پذیر باشد، به جای اینکه فقط از طریق ایمیل اطلاع داده شود، رویدادهای راه اندازی شده باید به طور مستقل در برنامه های واکنش به حادثه وارد شوند.

این می تواند شامل فشار دادن رویدادهای ماشه به Slack، PageDuty یا Jira باشد. اگر از Canarytokens استفاده می کنید، این کار با مشخص کردن وب هوک ها به جای ایمیل هنگام تولید توکن انجام می شود.

چگونه وب هوک های ورودی را برای Slack راه اندازی کنیم؟

چگونه وب هوک های ورودی را برای PageDuty راه اندازی کنیم؟

چگونه وب هوک های ورودی را برای Jira راه اندازی کنیم؟

اما هشدارهای ماشه تنها در صورتی مفید هستند که مکان های هر رویداد را شناسایی کنند. برای دستیابی به این هدف، جداول جستجو باید در قوانین تشخیص ادغام شوند.

جداول جستجو باید بسیار توصیفی باشند تا منابع هدفمند را بتوان به سرعت جدا کرد و از آنها دفاع کرد.

مثلا:

"Honeytoken <درج شناسه کلید> در مایکروسافت سرفیس پرو 7 آنا با شماره سریال <درج شماره سریال> در ~/.aws/credentials قرار دارد"

فاز 3: مقیاس استقرار Honeytokens

اکنون که تمام نقاط استقرار احتمالی شناسایی شده و رویدادهای ماشه توکن پیکربندی شده اند، زمان استقرار همه توکن های عسل فرا رسیده است.

در حالت ایده آل، این باید یک فرآیند خودکار باشد، در غیر این صورت، پروژه باید به صورت دستی مدیریت شود تا اطمینان حاصل شود که همه بخش ها توکن های عسل خود را به درستی مدیریت می کنند.

هرچه توکن های عسلی بیشتری مستقر شوند، تأییدیه های بیشتری برای هر رویداد ایجاد شده وجود دارد. این امر موارد مثبت کاذب را که باعث واکنش های اضافی به حوادث می شود و منابع امنیتی را هدر می دهد، به حداقل می رساند.

چگونه به تریگرهای Honeytoken پاسخ دهیم؟

پس از تأیید اینکه یک رویداد ایجاد شده مثبت کاذب نیست، یک سازمان باید بلافاصله طرح واکنش به حادثه (IRP) خود را دنبال کند.

IRP اطمینان حاصل می کند که همه اعضای تیم امنیتی در طول یک رویداد حمله سایبری با فشار بالا متمرکز و تحت کنترل باقی می مانند.

یک IRP باید نحوه مکان یابی سریع هر سیستم تشکیل شده از طریق اطلاعات ماشه honeytoken را تشریح کند.

پس از محدود شدن، منابع باید فورا جدا شوند. این می تواند شامل غیرفعال کردن دسترسی کاربر، ارسال ارزیابی ریسک شخص ثالث یا قطع اتصال سرورها باشد.