Cyfrowa przynęta – wstęp do honeypotów i monitorowania zagrożeń

Myślisz, że Twoja sieć domowa jest twierdzą nie do zdobycia? Masz porządny router, skomplikowane hasło do Wi-Fi i antywirusa, który co tydzień przypomina o swoim istnieniu. Siedzisz więc spokojnie, przekonany o swoim bezpieczeństwie. Tymczasem prawdziwy wróg może już być w środku. To niekoniecznie musi być haker z drugiego końca świata. Równie dobrze może to być nowiutki inteligentny odkurzacz, który właśnie przyjechał z Chin, laptop znajomego podpięty do Twojej sieci gościnnej albo oprogramowanie, które Twoje dziecko zainstalowało razem z darmową grą. Wewnętrzne zagrożenia są realne i często trudniejsze do wykrycia niż frontalny atak z zewnątrz.

Pora przestać być tylko biernym obrońcą i przejść do aktywnego polowania. Potrzebujesz cyfrowego szpiega, którego sam zatrudnisz. Szpiega, który usiądzie cichutko w kącie Twojej sieci i będzie nadstawiał ucha, czekając, aż coś lub ktoś zbytnio się nią zainteresuje. Tym szpiegiem jest właśnie honeypot – słodko brzmiący „słoik z miodem”, który w rzeczywistości jest cyfrową pułapką. Zaprojektujemy go tak, by był apetycznym celem dla wszystkiego, co węszy po Twojej sieci, szukając łatwego łupu. Kiedy intruz połknie haczyk, Ty dostaniesz sygnał – i będziesz wiedział, że czas zacząć zadawać pytania.

Czym jest honeypot i dlaczego chcesz go w swoim domu?

Honeypot to w gruncie rzeczy system-wabik. To celowo wystawiony na odstrzał, fałszywy cel, który udaje prawdziwą, wartościową usługę. Może to być fałszywy serwer plików, otwarta (pozornie) drukarka sieciowa albo nawet atrapa panelu do zarządzania inteligentnym domem. Kluczowe jest to, że żaden praworządny użytkownik ani urządzenie w Twojej sieci nie ma najmniejszego powodu, by się z tym honeypotem łączyć. Jakakolwiek próba interakcji z nim jest więc z definicji podejrzana i stanowi natychmiastowy, czerwony alarm.

Celem nie jest blokowanie ataków w czasie rzeczywistym, jak to robi klasyczna zapora sieciowa (zapora). Prawdziwa wartość leży w czymś innym. Po pierwsze, honeypot do wykrywania zagrożeń daje Ci bezcenną informację, że coś niedobrego dzieje się wewnątrz Twoich murów. To mechanizm wczesnego ostrzegania. Zamiast czekać, aż Twój smart TV dołączy do botnetu i zacznie rozsyłać spam, dowiesz się o tym, gdy tylko zacznie skanować sieć w poszukiwaniu słabych punktów i natknie się na Twoją pułapkę. Po drugie, pozwala gromadzić dane o napastniku i jego metodach. Dowiesz się, jakich portów szuka, jakich haseł próbuje używać i jakie komendy wykonuje. To wiedza, która pozwoli Ci lepiej zabezpieczać resztę Twojej prawdziwej infrastruktury.

Możesz myśleć, że to przerost formy nad treścią w warunkach domowych. Spójrzmy jednak na twarde dane. Według raportu Bitdefender z 2021 roku, w przeciętnym domu znajduje się około 17 urządzeń podłączonych do internetu, a liczba ta stale rośnie. Wiele z tych urządzeń (szczególnie z kategorii IoT – Internetu Rzeczy) ma fatalne zabezpieczenia lub nie ma ich wcale. CERT Polska w swoich raportach rocznych regularnie wskazuje na zagrożenia wynikające z niezałatanych urządzeń sieciowych. Twoja nowa inteligentna żarówka, która zna hasło do Wi-Fi, ma prawdopodobnie gorsze zabezpieczenia niż drzwi od stodoły i może stać się furtką do całej sieci. Monitorowanie tego, co takie urządzenia robią „po godzinach”, przestaje być paranoją, a staje się rozsądną przezornością.

Rodzaje honeypotów – który wybrać na domowe łowy?

Musisz wiedzieć, że honeypoty dzielą się na dwie główne kategorie, a wybór jednej z nich ma kluczowe znaczenie dla Twojego celu, czasu i poziomu zaawansowania. Pierwsza kategoria to honeypoty niskiej interakcji (low-interaction). Są proste, emulują tylko podstawowe usługi i nie pozwalają napastnikowi na wiele. Ich zadaniem jest jedynie zarejestrowanie próby połączenia, ewentualnie zebranie kilku podstawowych informacji, jak adres IP czy próbowane hasło. Są bezpieczne, łatwe w konfiguracji i idealne dla początkujących oraz do zastosowań domowych. Nie ryzykujesz, że napastnik przejmie kontrolę nad honeypotem i użyje go do atakowania innych.

Druga kategoria to honeypoty wysokiej interakcji (high-interaction). To już zupełnie inna bajka. Taki system to w pełni działający, ale odizolowany, prawdziwy system operacyjny (np. Linux lub Windows), na którym działają realne aplikacje i usługi. Pozwala to napastnikowi na pełną swobodę działania, a Tobie na analizowanie jego każdego ruchu w kontrolowanym środowisku. Możesz zobaczyć, jakie narzędzia pobiera, jakie luki wykorzystuje i co jest jego ostatecznym celem. To potężne narzędzie badawcze, ale jego konfiguracja i utrzymanie są skomplikowane i ryzykowne. Błąd w izolacji może sprawić, że Twój honeypot stanie się prawdziwym przyczółkiem dla cyberprzestępców.

Dla naszych, domowych celów, trzymamy się z daleka od wysokiej interakcji. Naszym celem nie jest pisanie pracy naukowej o najnowszych technikach hakerskich. Chcemy prostego i skutecznego dzwonka alarmowego. Dlatego skupimy się wyłącznie na honeypotach niskiej interakcji, które zapewnią nam idealny balans między użytecznością a prostotą wdrożenia. To praktyczny wybór dla każdego, kto chce zacząć swoją przygodę z aktywnym monitorowaniem sieci.

Twój pierwszy honeypot – stawiamy pułapkę krok po kroku z Cowrie

Czas przejść od teorii do praktyki. Zbudujemy prosty, ale bardzo skuteczny honeypot o nazwie Cowrie. Specjalizuje się on w emulowaniu usług SSH i Telnet. Dlaczego akurat tych? Ponieważ są to ulubione cele zautomatyzowanych skryptów i botów, które bez przerwy skanują internet (a także sieci lokalne) w poszukiwaniu urządzeń ze słabymi lub domyślnymi hasłami. Nasz honeypot do wykrywania właśnie takich prób będzie idealny. Do tego zadania świetnie nada się Raspberry Pi (nawet starszy model) albo jakikolwiek stary laptop, na którym zainstalujesz Linuxa. Ważne, by była to maszyna dedykowana tylko do tego celu.

Krok 1: Przygotowanie środowiska i instalacja zależności

Zakładam, że masz już pod ręką maszynę z zainstalowanym systemem opartym na Debianie (np. Ubuntu lub Raspberry Pi OS). Pierwsze, co musisz zrobić, to zaktualizować system i zainstalować pakiety potrzebne do działania Cowrie. Uruchom terminal i wpisz następujące polecenia:

sudo apt update
sudo apt upgrade -y
sudo apt install -y git python3-virtualenv libssl-dev libffi-dev build-essential libpython3-dev python3-pip

Instalujemy tutaj git do pobrania kodu źródłowego, narzędzia do tworzenia wirtualnego środowiska dla Pythona (to ważna najlepsza praktyka, by izolować aplikacje), a także biblioteki niezbędne do kompilacji niektórych zależności.

Krok 2: Instalacja i podstawowa konfiguracja Cowrie

Teraz stworzymy dedykowanego użytkownika dla naszego honeypota. Nie uruchamiaj takich narzędzi z konta root – to proszenie się o kłopoty.

sudo adduser --disabled-password cowrie
sudo su - cowrie

git clone http://github.com/cowrie/cowrie
cd cowrie
python3 -m venv cowrie-env
source cowrie-env/bin/activate
pip install --upgrade pip
pip install -r requirements.txt

cp cowrie.cfg.dist cowrie.cfg

bin/cowrie start

ssh root@adres-ip-honeypota