Развертывание honeynet на FreeBSD
 

Развертывание honeynet на FreeBSD

Если переводить дословно, то honeypot - это «горшочек с медом», система ловушка, "обманная система". Его единственная задача – привлечь к себе внимание и заинтересовать злоумышленника, быть атакованным и даже взломанным. В последствии, собранные данные будут проанализированы и могут использоваться в разных целях: от получения ранее ни где не публикуемых уязвимостей, эксплоитов или руткитов до возможности обеспечить правопорядок, используя собранные данные в качестве доказательств злонамеренных действий. Honeynet – это сеть, состоящая из нескольких honeypot, объединенная в единое целое.

До сих пор, honeypots получили свое распространение преимущественно в Интернете. Например, антивирусные компании, на сколько мне известно, используют сети honeynet для получения свежих компьютерных вирусов, по большей части сетевых и почтовых червей. Также, honeynet хорошо зарекомендовали себя в качестве инструмента при борьбе со спамом. Но до сих пор ни кто не решается использовать honeynet для борьбы с угрозами внутри корпоративной сети.

Так уж сложилось, что большинство систем защиты информации, применяемые в компаниях, в первую очередь решают проблемы угроз со стороны Интернета. При этом мало кто устанавливает системы IDS/IPS на промышленные сервера, не доступные со стороны глобальной сети. И причины тому могут быть различны. Это и экономия средств, и экономия ресурсов самого сервера, а также целесообразность в применяемых средствах. Собственно, в сетях, где внутренняя защищенность с технической стороны оставляет желать лучшего, для пресечения возможных сетевых инцидентов, может успешно использоваться искусственная сеть honeynet, которая позволит:

• выявить компьютеры, с которых происходит сканирование сети
• выявить компьютеры, с которых происходит несанкционированная отправка пакетов IP к несуществующим ресурсам сети
• выявить компьютеры, с которых происходят попытки или предпосылки для проведения DOS атаки
• выявить компьютеры, с которых происходит атака типа brute-force
• выявить компьютеры, с которых происходят попытки несанкционированной отправки писем
• выявить компьютеры, с которых происходят несанкционированные обращения к ресурсам сети
• выявить компьютеры, с которых происходит целенаправленная атака на ресурсы сети

Cтатья полностью на _http://www.securitylab.ru/contest/266417.php

прочел эту статью и подумал, что без эмуляции tcp/ip стека дела не будет.
fingerprints никто не отменял.

Там в конце статьи