Segnali dei sensori come sistema di allarme precoce

Gli honeypot e i sensori sono preziosi perché rivelano il comportamento degli aggressori prima che una singola organizzazione debba vederlo da sola. Mostrano scanner, tentativi di exploit, attività di botnet e attacchi automatizzati contro servizi che sembrano raggiungibili da Internet.

Allo stesso tempo, gli honeypot non sono una rappresentazione perfetta degli ambienti aziendali reali. Molti sensori vengono eseguiti in data center, reti cloud, regioni specifiche o con servizi intenzionalmente esposti. Gli aggressori possono trattare tali ambienti in modo diverso rispetto ai perimetri aziendali reali: alcuni scansionano solo superficialmente, altri trattengono i carichi utili o evitano obiettivi chiaramente artificiali.

Quali sensori funzionano bene

I sensori sono particolarmente utili per:

• rilevamento precoce della scansione di massa
• osservando le ondate di exploit contro servizi noti
• visibilità sull’infrastruttura botnet e malware
• identificare strumenti ricorrenti, modelli e reti di origine
• confronto dell’attività tra regioni e tempi

Questi segnali sono particolarmente adatti per generare candidati per un’ulteriore valutazione.

Quali sensori non dovrebbero decidere da soli

Il solo rilevamento del sensore non significa automaticamente che un indicatore appartenga a un feed di blocchi di produzione. Cybora controlla inoltre se il segnale è attuale, ripetuto, plausibile e applicabile con un rischio accettabile.

È necessaria particolare cautela per le reti cloud, hosting e provider. Il rumore dei data center non deve trasformarsi in un impatto aziendale incontrollato per i clienti.

Perché i segnali firewall reali rimangono importanti

Gli honeypot mostrano le prime attività che si svolgono ampiamente su Internet. I firewall di produzione mostrano inoltre quali fonti colpiscono servizi reali, ambienti utente reali e perimetri aziendali reali. Questa seconda prospettiva è importante perché è più vicina a ciò che gli amministratori vorranno proteggere in seguito con il feed.

I sensori quindi non sostituiscono i segnali di produzione di Cybora. Si tratta di un sistema di allarme rapido che può essere supportato da osservazioni reali di firewall, segnali di identità e fonti aggiuntive.

Interazione con altre fonti

I dati provenienti da honeypot e sensori sono più efficaci quando si sovrappongono a ulteriori prove: OSINT, feed commerciali, segnali firewall reali, segnali di identità o comportamenti ripetuti nel tempo. Quindi un primo suggerimento diventa un indicatore più affidabile.