Honeypot
Páginas: 5 (1095 palabras)
Publicado: 3 de junio de 2012
www.ProtegeTuOrdenador.com
Montando un honeypot
Copyright (c) 2010 www.ProtegeTuOrdenador.com. Se otorga permiso para copiar,distribuir y/o modificar este documento bajo los términos de la Licencia de Documentación Libre de GNU, Versión 3 o Licencia de Documentación Libre de GNU o cualquier otra versión posterior publicada por la Free Software Foundation; sin Secciones Invariantes niTextos de Cubierta Delantera ni Textos de Cubierta Trasera. Una copia de la licencia está incluida en la sección titulada GNU Free Documentation License. Página 1
www.ProtegeTuOrdenador.com
¿Qué es un honeypot?
Lo primero que hemos de hacer es definir qué es un honeypot. Podríamos definir un honeypot como un recurso de red destinado a ser atacado y comprometido, que nos proporciona informaciónsobre el atacante y los métodos que emplea. Gracias a los honeypots, se puede estudiar el comportamiento de los atacantes, deducir las prácticas más habituales, descubrir nuevos exploits, rastrear sus movimientos, etc.
•
•
Qué no hace un honeypot No corrige las vulnerabilidades existentes en los sistemas. No soluciona los problemas de seguridad de nuestra red. No evita que nuestrossistemas sean atacados. Características
Genera un volumen pequeño de datos. No existen los falsos positivos. Necesitan recursos informáticos mínimos. Son elementos pasivos. Son fuentes potenciales de riesgo para la red. Tienen un limitado carácter preventivo. Son programables en cuanto a la reacción contra el atacante. • Posibles utilidades Son muy útiles para realizar investigaciones forensesporque permiten analizar la actividad del atacante. En sistemas en producción brindan (algo de) protección, prevención y respuesta a cierto tipo de ataques. Permiten recoger numerosa y valiosa información sobre las actividades y tendencias del atacante. • Honeynets Se define una Honeynet como un conjunto de Honeypots altamente interactivos diseñados para la investigación y la obtención de informaciónsobre atacantes. Una Honeynet es una arquitectura, no un producto o un software determinado. El objetivo es el de hacer creer al atacante que está ante una red “real”, por lo que se deben añadir los distintos elementos que conforman una arquitectura de red.
Diagrama de red
Aunque vamos a montar el entorno en nuestro ordenador, podemos extrapolar la arquitectura a cualquier sistema enproducción, colocándolo en distintas ubicaciones según nuestras necesidades:
Página 2
www.ProtegeTuOrdenador.com
En nuestro caso, nuestra arquitectura sería la siguiente:
Importante: El siguiente esquema de red representa un entorno real, utilizando como base nuestro equipo. Cualquier configuración errónea podría acarrear una brecha de seguridad. Si tenéis dudas, utilizad un entorno localcomo paso previo. Además de montar el honeypot, vamos a incluir en la máquina un sistema de detección de intrusos basado en Snort (podéis encontrar cómo instalar/configurar Snort en el curso “Detección de intrusiones con Snort”). En nuestro router, abriremos los puertos hacia los servicios que ofrezca nuestro honeypot, redirigiendo las peticiones al honeypot.
Entorno y productos necesarios
Paracrear nuestro entorno necesitamos una máquina Linux (he usado Ubuntu), los paquetes “honeyd” y “farpd” y la utilidad “Nmap”.
•
Honeyd: Honeyd es un pequeño demonio que crea hosts virtuales en una red. Éstos Página 3
www.ProtegeTuOrdenador.com pueden configurarse para correr servicios arbitrarios y adaptarse de forma que parezca que corren bajo ciertos sistemas operativos. Además, puedeconfigurar una sola máquina para que simule múltiples direcciones de una LAN e incorpora seguridad añadiendo mecanismos para la detección de amenazas y su evaluación. También engaña a los usuarios escondiendo los sistemas reales en medio de los sistemas virtuales. Entre sus características, podemos destacar: • Simulación de cientos de hosts virtuales al mismo tiempo. • Configuración de servicios...
Montando un honeypot
Copyright (c) 2010 www.ProtegeTuOrdenador.com. Se otorga permiso para copiar,distribuir y/o modificar este documento bajo los términos de la Licencia de Documentación Libre de GNU, Versión 3 o Licencia de Documentación Libre de GNU o cualquier otra versión posterior publicada por la Free Software Foundation; sin Secciones Invariantes niTextos de Cubierta Delantera ni Textos de Cubierta Trasera. Una copia de la licencia está incluida en la sección titulada GNU Free Documentation License. Página 1
www.ProtegeTuOrdenador.com
¿Qué es un honeypot?
Lo primero que hemos de hacer es definir qué es un honeypot. Podríamos definir un honeypot como un recurso de red destinado a ser atacado y comprometido, que nos proporciona informaciónsobre el atacante y los métodos que emplea. Gracias a los honeypots, se puede estudiar el comportamiento de los atacantes, deducir las prácticas más habituales, descubrir nuevos exploits, rastrear sus movimientos, etc.
•
•
Qué no hace un honeypot No corrige las vulnerabilidades existentes en los sistemas. No soluciona los problemas de seguridad de nuestra red. No evita que nuestrossistemas sean atacados. Características
Genera un volumen pequeño de datos. No existen los falsos positivos. Necesitan recursos informáticos mínimos. Son elementos pasivos. Son fuentes potenciales de riesgo para la red. Tienen un limitado carácter preventivo. Son programables en cuanto a la reacción contra el atacante. • Posibles utilidades Son muy útiles para realizar investigaciones forensesporque permiten analizar la actividad del atacante. En sistemas en producción brindan (algo de) protección, prevención y respuesta a cierto tipo de ataques. Permiten recoger numerosa y valiosa información sobre las actividades y tendencias del atacante. • Honeynets Se define una Honeynet como un conjunto de Honeypots altamente interactivos diseñados para la investigación y la obtención de informaciónsobre atacantes. Una Honeynet es una arquitectura, no un producto o un software determinado. El objetivo es el de hacer creer al atacante que está ante una red “real”, por lo que se deben añadir los distintos elementos que conforman una arquitectura de red.
Diagrama de red
Aunque vamos a montar el entorno en nuestro ordenador, podemos extrapolar la arquitectura a cualquier sistema enproducción, colocándolo en distintas ubicaciones según nuestras necesidades:
Página 2
www.ProtegeTuOrdenador.com
En nuestro caso, nuestra arquitectura sería la siguiente:
Importante: El siguiente esquema de red representa un entorno real, utilizando como base nuestro equipo. Cualquier configuración errónea podría acarrear una brecha de seguridad. Si tenéis dudas, utilizad un entorno localcomo paso previo. Además de montar el honeypot, vamos a incluir en la máquina un sistema de detección de intrusos basado en Snort (podéis encontrar cómo instalar/configurar Snort en el curso “Detección de intrusiones con Snort”). En nuestro router, abriremos los puertos hacia los servicios que ofrezca nuestro honeypot, redirigiendo las peticiones al honeypot.
Entorno y productos necesarios
Paracrear nuestro entorno necesitamos una máquina Linux (he usado Ubuntu), los paquetes “honeyd” y “farpd” y la utilidad “Nmap”.
•
Honeyd: Honeyd es un pequeño demonio que crea hosts virtuales en una red. Éstos Página 3
www.ProtegeTuOrdenador.com pueden configurarse para correr servicios arbitrarios y adaptarse de forma que parezca que corren bajo ciertos sistemas operativos. Además, puedeconfigurar una sola máquina para que simule múltiples direcciones de una LAN e incorpora seguridad añadiendo mecanismos para la detección de amenazas y su evaluación. También engaña a los usuarios escondiendo los sistemas reales en medio de los sistemas virtuales. Entre sus características, podemos destacar: • Simulación de cientos de hosts virtuales al mismo tiempo. • Configuración de servicios...
Leer documento completo
Regístrate para leer el documento completo.