Honeypot Cowrie

Do niedawna nie wiedziałem, że honeypoty, na które trafiam, są oparte na Cowrie. Szczerze mówiąc, niewiele to zmienia. Widziałem już prawie 100 takich systemów, przypadkowo eksplorując różne rzeczy w internecie. Na początku czysto intuicyjnie uznałem, że to honeypoty. Wchodzisz do systemu, uruchamiasz ps, żeby wyświetlić listę procesów, i widzisz szeroki wachlarz rzeczy, takich jak:

• ejabberd (erlang)
• nginx worker process
• VBoxService
• mysqld

Z drugiej strony nie możesz uruchomić polecenia top ani żadnego innego, które normalnie jest dostępne w prawdziwych systemach. Wtedy przychodzi Ci do głowy, że coś jest z tym nie tak. Jakże naiwne jest myślenie, że ktoś lub coś będzie na tyle głupie, żeby nie zorientować się, że to podróbka…

Tak czy inaczej, zacząłem się zastanawiać, po co ktoś miałby w ogóle wdrażać Cowrie albo jakikolwiek inny honeypot. W teorii, używając honeypotów, zachęcasz atakującego, żeby wszedł i się pobawił. Możesz przechwytywać hasła, pliki ze złośliwym oprogramowaniem i polecenia, których próbuje użyć. W ten sposób możesz budować swoje rozwiązania antymalware. Wymagałoby to jednak wdrożenia wielu takich systemów i na pewno tak właśnie jest.

Drugi przypadek użycia to sytuacja, w której taki honeypot jest wdrożony w sieci prywatnej i byłby pierwszym wyborem osoby lub systemu wchodzącego w Twój perymetr. Poświęci on czas i wysiłek na hakowanie fałszywego systemu, tracąc zainteresowanie innymi rzeczami, co daje czas na zidentyfikowanie zagrożenia i odpowiednie jego ograniczenie przez zastosowanie poprawek i rekonfigurację systemów.

Dalsza lektura:

https://github.com/cowrie/cowrie