DevOps Expert General Group

در حوزه امنیت سایبری خیلی مفاهیم جالبی وجود داره، یکی از این موارد HoneyPot ها هستن. تعریف کلیش یک طعمه برای گیر انداختن مهاجم هاست، یچیزی که از عمد و به صورت کنترل شده آسیب پذیر طراحی شده. فرض کنید یه گاو صندوق خالی تو خونتون دارید که به دزدگیر وصله و وقتی باز بشه آژیر به صدا در میاد، شما میدونید خالیه پس سراغش نمیرید و اونی که اون گاوصندوق رو باز کنه مشخصه نیت خوبی نداره. معمولا کسایی که اسمش رو شنیدن فکر میکنن Honeypot فقط یک سرور جعلیه ولی توی Software Development هم میتونیم پیاده سازیش کنیم. یکسری اسکنرهای آسیب پذیری وب و بات ها به صورت خودکار مسیرهای شناخته شده ای مثل: /admin /admin/login /phpmyadmin /wp-admin رو تست میکنن تا ببینن روی هدف وجود دارن یا نه. اگر چنین Route هایی در برنامه واقعی شما وجود نداشته باشن اما به عنوان Honeypot تعریف شده باشن، هر درخواستی که به اونها ارسال بشه میتونه یک Indicator از رفتار مشکوک باشه. برای مثال یک کاربر عادی یا کلاینت رسمی هیچوقت نباید به مسیر "/admin/login" درخواست بزنه، چون نه در مستندات وجود داره و نه در فرانت‌اند بهش اشاره شده. بنابراین هر برخورد با این Route ارزش امنیتی داره. این ایده فقط به Route محدود نمیشه. فرض کنید در API یک Query Parameter یا Header تعریف کنید که هیچ بخش پروژه از اون استفاده نمیکنه: ?debug=true ?id=50 X-Debug-Mode: true اگر چنین مقادیری در درخواست مشاهده بشن، احتمالاً درخواست توسط اسکنر، فازر یا شخصی که در حال آزمون و خطاست تولید شده. حتی میشه Honeypot رو داخل فرم های فرانت پیاده سازی کرد. یک فیلد مخفی که توسط CSS یا JavaScript از دید کاربر پنهان شده اما در ساختار HTML وجود داره. کاربر واقعی هرگز این فیلد رو نمیبینه که پر کنه اما بسیاری از ربات ها یا اسکنر های ساده تمام Input ها رو مقداردهی میکنن. در نتیجه ارسال مقدار برای این فیلد میتونه نشونه فعالیت خودکار باشه. نکته مهم اینجاست که Honeypot لزوماً برای Block کردن طراحی نشده. در بسیاری از پیاده سازی ها، Honeypot فقط یک Event تولید میکنه و به سیستم امتیازدهی ریسک متصل میشه. مثلاً: • دسترسی به Route جعلی: +10 امتیاز • استفاده از Parameter جعلی: +20 امتیاز • تلاش برای SQL Injection کردن: +30 امتیاز و ... و زمانی که مجموع امتیازات از یک حدی رد شد rate limit یا captcha اعمال میشه، ip بلاک میشه یا یک event برای SIEM ارسال میشه. @Ahura_Rahmani | #Ahur4 #CyberSecurity #Security #HoneyPot