सिंगापुर में डिजिटल महासागर स्थल पर हनीपॉट स्थापित करने के 24 घंटे बाद के आंकड़े

पू पू! चलो एक हमले के नक्शे के साथ तुरंत शुरू करते हैं।

हमारा सुपरक्लास कार्ड अद्वितीय ASN दिखाता है जो 24 घंटों में हमारे काउरी हनीपोट से जुड़ा होता है। पीला एसएसएच कनेक्शन से मेल खाती है, और लाल टेलनेट से मेल खाती है। इस तरह के एनिमेशन अक्सर कंपनी के निदेशक मंडल को प्रभावित करते हैं, जो आपको सुरक्षा और संसाधनों के लिए अधिक धन प्राप्त करने की अनुमति देता है। फिर भी, मानचित्र का कुछ मूल्य है, जो स्पष्ट रूप से हमारे मेजबान पर हमलों के स्रोतों के भौगोलिक और संगठनात्मक वितरण को केवल 24 घंटों में प्रदर्शित करता है। एनीमेशन प्रत्येक स्रोत से यातायात की मात्रा को प्रतिबिंबित नहीं करता है।

प्यू प्यू कार्ड क्या है?

प्यू मैप प्यू साइबरबैक्स का एक दृश्य है , जो आमतौर पर एनिमेटेड और बहुत सुंदर है। यह आपके उत्पाद को बेचने का एक फैशनेबल तरीका है, नॉर्स कॉर्प द्वारा उपयोग किए जाने के लिए कुख्यात है। कंपनी बुरी तरह से समाप्त हो गई: यह पता चला कि सुंदर एनिमेशन उनका एकमात्र लाभ था, और उन्होंने विश्लेषण के लिए खंड डेटा का उपयोग किया।

USCjs के साथ बनाया गया

उन लोगों के लिए जो ऑपरेशन सेंटर में बड़े स्क्रीन के लिए एक हमले का नक्शा विकसित करना चाहते हैं (आपका बॉस इसे पसंद करेगा), एक लीफलेट लाइब्रेरी है। इसे लीफलेट माइग्रेशन लेयर प्लगइन, मैक्समाइंड जियोआईपी सर्विस के साथ मिलाएं और आपका काम हो गया ।

डब्ल्यूटीएफ: काउरी हनीपोट क्या है?

खानिपॉट एक ऐसी प्रणाली है जो विशेष रूप से हमलावरों को लुभाने के लिए नेटवर्क पर रखी जाती है। सिस्टम से कनेक्शन आमतौर पर अवैध होते हैं और आपको विस्तृत लॉग का उपयोग करके हमलावर का पता लगाने की अनुमति देते हैं। लॉग न केवल सामान्य कनेक्शन जानकारी संग्रहीत करते हैं, बल्कि सत्र की जानकारी भी देते हैं जो हमलावर की तकनीक, रणनीति और प्रक्रियाओं (टीटीपी) को प्रकट करता है।

काउरी हैनिपोट एसएसएच और टेलनेट कनेक्शन रिकॉर्ड करने के लिए है। हमलावरों के उपकरण, स्क्रिप्ट और मेजबानों को ट्रैक करने के लिए इंटरनेट पर ऐसे हैंपोट को अक्सर प्रदर्शित किया जाता है।

उन कंपनियों को मेरा संदेश जो सोचते हैं कि उन पर हमला नहीं किया जा रहा है: "आप बुरी तरह से देख रहे हैं।"
- जेम्स स्नुक

लॉग में क्या है?

कुल कनेक्शन की संख्या

कई मेजबानों को बार-बार कनेक्शन के प्रयास मिले हैं। यह सामान्य है, क्योंकि क्रेडेंशियल्स की सूची हमलावर लिपियों में अवरुद्ध है और वे कई संयोजनों का प्रयास करते हैं। काउरी हैनिपोट को कुछ उपयोगकर्ता नाम और पासवर्ड संयोजनों को स्वीकार करने के लिए कॉन्फ़िगर किया गया है। यह user.db फ़ाइल में कॉन्फ़िगर किया गया है।

हमलों का भूगोल

मैक्समाइंड जियोलोकेशन डेटा के अनुसार, मैंने प्रत्येक देश से कनेक्शन की संख्या की गणना की। ब्राजील और चीन एक व्यापक अंतर से नेतृत्व करते हैं, इन देशों से अक्सर स्कैनर से बहुत शोर होता है।

नेटवर्क ब्लॉक मालिक

नेटवर्क यूनिट मालिकों (एएसएन) का एक अध्ययन बड़ी संख्या में हमलावर मेजबानों के साथ संगठनों की पहचान कर सकता है। बेशक, और ऐसे मामलों में, आपको हमेशा याद रखना चाहिए कि कई हमले संक्रमित मेजबानों से आते हैं। यह मान लेना उचित है कि अधिकांश घुसपैठिए इतने मूर्ख नहीं होते जितना कि घर के कंप्यूटर से वेब को स्कैन करना।

हमलावर प्रणालियों पर खुले बंदरगाह (Shodan.io डेटा)

उत्कृष्ट Shodan एपीआई के माध्यम से आईपी सूची चलाने से खुले पोर्ट सिस्टम और किस तरह के पोर्ट की पहचान होती है। नीचे दिया गया आंकड़ा देश और संगठन द्वारा खुले बंदरगाहों की एकाग्रता को दर्शाता है। समझौता प्रणालियों के ब्लॉकों की पहचान करना संभव होगा, लेकिन चीन में बड़ी संख्या में 500 खुले बंदरगाहों को छोड़कर, छोटे नमूने के भीतर कुछ भी बकाया नहीं देखा जा सकता है।

Censys और Shodan के अनुसार, एक दिलचस्प खोज ब्राज़ील में सिस्टम की बड़ी संख्या है , जिसमें 22, 23 या अन्य पोर्ट नहीं हैं । जाहिर है, ये एंड-यूज़र कंप्यूटर से कनेक्शन हैं।

बॉट? जरूरी नहीं है

पोर्ट 22 और 23 के लिए उस दिन के लिए डेटा अजीब दिखा। मैंने मान लिया कि अधिकांश स्कैन और पासवर्ड हमले बॉट से आते हैं। स्क्रिप्ट खुले बंदरगाहों पर वितरित की जाती है, पासवर्ड उठाती है, और नई प्रणाली से खुद को कॉपी करती है और उसी पद्धति का उपयोग करके वितरित किया जाना जारी रखता है।

लेकिन यहां आप देख सकते हैं कि टेलनेट को स्कैन करने वाले केवल कुछ होस्ट्स में पोर्ट 23 खुले हैं। इसका मतलब है कि सिस्टम या तो किसी अन्य तरीके से समझौता कर रहे हैं, या हमलावर मैन्युअल रूप से स्क्रिप्ट चलाते हैं।

घर कनेक्शन

एक और दिलचस्प नमूना में घर उपयोगकर्ताओं की बड़ी संख्या थी। रिवर्स लुकअप का उपयोग करते हुए , मैंने विशिष्ट होम कंप्यूटर से 105 कनेक्शन की पहचान की। कई घर कनेक्शनों के लिए, जब डीएनएस को वापस देखते हैं, तो होस्ट नाम को डीएसएल, होम, केबल, फाइबर और इतने पर शब्दों के साथ प्रदर्शित किया जाता है।

जानें और अन्वेषण करें: अपनी खुद की हनीपोट को उठाएं

हाल ही में, मैंने आपके सिस्टम पर कौड़ी को स्थापित करने के तरीके के बारे में एक छोटी पुस्तिका लिखी थी। जैसा कि पहले ही उल्लेख किया गया है, हमारे मामले में, सिंगापुर में डिजिटल महासागर वीपीएस का उपयोग किया गया था। विश्लेषण के 24 घंटे के लिए, लागत का शाब्दिक रूप से कुछ सेंट था, और सिस्टम बनाने का समय 30 मिनट था।

इंटरनेट पर कौड़ी चलाने और सभी शोर को पकड़ने के बजाय, आप स्थानीय नेटवर्क पर हैंपोट से लाभ उठा सकते हैं। यदि कुछ बंदरगाहों पर अनुरोध भेजे जाते हैं तो एक सूचना पोस्ट करें। यह या तो नेटवर्क के अंदर एक घुसपैठिया है, या एक जिज्ञासु कर्मचारी है, या एक भेद्यता स्कैन है।

निष्कर्ष

प्रति दिन हमलावरों के कार्यों को देखने के बाद, यह स्पष्ट हो जाता है कि किसी भी संगठन, देश या यहां तक ​​कि ऑपरेटिंग सिस्टम में हमलों के एक स्पष्ट स्रोत को एकल करना असंभव है।

व्यापक स्रोत बताते हैं कि स्कैनिंग शोर स्थिर है और किसी विशिष्ट स्रोत से जुड़ा नहीं है। जो कोई भी इंटरनेट पर काम करता है, उसे यह सुनिश्चित करना चाहिए कि उसकी प्रणाली में सुरक्षा के कई स्तर हैं । SSH के लिए एक सामान्य और प्रभावी समाधान सेवा को यादृच्छिक उच्च बंदरगाह पर ले जाना है। यह सख्त पासवर्ड सुरक्षा और निगरानी की आवश्यकता को समाप्त नहीं करता है, लेकिन कम से कम यह सुनिश्चित करता है कि लॉग लगातार स्कैनिंग से भरा नहीं है। उच्च बंदरगाह कनेक्शन उन हमलों को लक्षित करने की अधिक संभावना रखते हैं जो आपको रुचि दे सकते हैं।

अक्सर खुले टेलनेट पोर्ट राउटर या अन्य उपकरणों पर होते हैं, इसलिए उन्हें आसानी से एक उच्च पोर्ट में नहीं ले जाया जा सकता है। सभी खुले बंदरगाहों और हमले की सतह के बारे में जानकारी यह सुनिश्चित करने का एकमात्र तरीका है कि ये सेवाएं फ़ायरवॉल द्वारा सुरक्षित हैं या अक्षम हैं। यदि संभव हो, तो आपको टेलनेट का उपयोग बिल्कुल नहीं करना चाहिए, यह प्रोटोकॉल एन्क्रिप्ट नहीं किया गया है। यदि आपको इसके बिना इसकी आवश्यकता है, तो इसे सावधानीपूर्वक मॉनिटर करें और मजबूत पासवर्ड का उपयोग करें।