2023'te Tedarik Zinciri Saldırılarına Karşı Bir Savunma Olarak Honeytokens

Honeytoken'lar, kuruluşları hassas verilerinin ayak izlerinde gizlenen kötü niyetli siber tehditlere karşı uyaran tripwire gibi davranır.

Çok etkili bir saldırı tespit sistemidir. Aslında o kadar etkili ki, Avrupa Birliği Siber Güvenlik Ajansı (ENISA), ağ güvenliğinde kullanılmalarını şiddetle tavsiye ediyor.

Stratejik olarak dağıtılan bir ekosistem düşünülürse, honeytoken'lar tedarik zinciri saldırılarını önleyebilir ve Joe Biden'ın Siber Güvenlik İcra Emri'ne uyumu artırabilir.

Honeytoken nedir?

Bal küpü olarak da bilinen bal belirteçleri, siber suç faaliyetlerini tespit etmek için kullanılan sahte BT kaynaklarıdır.

Siber suçlular bu sahte kaynakların meşru olduğunu düşünür ve bunlardan yararlanmaya çalışır. Bu gereksiz girişimler tespit edilir ve kuruluşları bilgisayar sistemlerindeki kötü amaçlı faaliyetlere karşı uyarır.

Honeytoken'lar proaktif bir siber savunma yöntemidir. Honeytoken'lar, siber saldırılara gerçekleştikten sonra yanıt vermek yerine, kuruluşların veri ihlali girişimlerini tespit etmesine olanak tanır, böylece hedeflenen kaynaklar en etkili şekilde savunulabilir.

Honeytoken'lar, olası saldırı stratejilerini ortaya çıkarmanın yanı sıra, saldırganların kimliğini de ortaya çıkararak onları takip etmeyi ve suçlamayı mümkün kılabilir.

Honeytoken'lar, tehdit aktörlerine karşı bir saldırı yüzeyi oluşturarak siber suçluları kendi kötü niyetli planlarının kurbanı haline getirir.

Honeytokens Tedarik Zinciri Saldırılarını Önleyebilir mi?

Tedarik zinciri saldırılarını önlemek için hiçbir siber savunma yöntemi garanti edilmez. Bununla birlikte, Honeytoken'lar, uygun iyileştirme çabalarıyla hızlı bir şekilde yanıt verilirse, bir tedarik zinciri saldırısının etkisini önemli ölçüde sınırlayabilecek bir ağdaki kötü niyetli faaliyetlere ilişkin gelişmiş uyarılar sağlar.

Tedarik zinciri saldırganları, güvenliği ihlal edilmiş satıcılar aracılığıyla hedefleri ihlal ettiğinden, satıcılar bunları bilgi güvenliklerine dahil ederse honeytoken, en iyi dijital tedarik zinciri korumasını sunar.

Üçüncü taraf hizmetleri sunan herhangi bir kuruluş, hassas kaynaklarını honeytoken'lerle çevreleyerek gerekli özeni göstermelidir.

Honeytoken'lar ayrıca paydaşları içeriden gelen tehditlere karşı uyararak bir tedarik zinciri saldırısını kolaylaştırabilir.

Honeytoken Türleri

Siber suçluları cezbeden birçok farklı hassas kaynak biçimini yansıtmak için farklı Honeytoken biçimleri vardır. Bazı yaygın örnekler aşağıda listelenmiştir:

Kanarya jetonları

Canarytokens, ücretsiz bir açık kaynaklı web uygulaması aracılığıyla farklı türde honeytoken'lar üretebilir. Bu, honeytoken oluşturmanın en basit yöntemidir.

Canarytoken oluşturmak için canarytokens.org'a gidin, honeytoken türünüzü seçin ve her honeytoken etkinleştirildiğinde iletişime geçilmesi gereken e-posta adresini belirtin.

Ancak tüm hızlı bilgisayar güvenlik çözümlerinde olduğu gibi, Canarytokens'ı kullanmanın da sınırlamaları vardır.

Canarytokens'ı izlemek için alan adı değiştirilemez ve Canarytokens.org URL'yi içerir. Algısal siber suçlular bunu fark edecek ve hatalı kaynaklarla etkileşime girdiklerini fark edeceklerdir.

Diğer önemli dezavantaj, honeytoken'ların ürettiği verileri belirleyememenizdir.

Bu sınırlamaların üstesinden gelmek için Canarytokens, genel buluttaki bir Sanal Makine gibi özel bir hizmet sağlayıcıdan çalıştırılabilir.

Canarytoken'ların diğer ciddi sınırlaması, geniş ölçekte oluşturulamamaları, dağıtılamamaları ve yönetilememeleridir.

Küçük ekosistemler, erişim noktalarını Canarytokens ile lekeleyebilir, ancak binlerce bal jetonu gerektiren çok boyutlu altyapılar bunu yapamazdı.

Karmaşık ekosistemler, AWS anahtarlarını yapılandırarak kendi honeytoken'larını büyük ölçekte oluşturmalıdır.

Amazon Web Services (AWS) anahtarları

AWS, bir dizi anahtar aracılığıyla altyapısının tamamına erişimi kontrol eder. Bir keşif kampanyasında, daha düşük ayrıcalık anahtarları, saldırganlara daha yüksek ayrıcalıklı erişimleri ihlal etmek için gereken istihbaratı sağlayabilir.

Bu nedenle, ideal olarak tüm AWS erişim düzeyleri, ihlal girişimleri sırasında tetiklenen honeytoken'lara sahip olmalıdır.

AWS anahtarları, siber suçlular tarafından geçilebilecek saldırı yüzeylerine yerleştirilen bal belirteçleri olarak yapılandırılabilir. Bu, tedarik zincirini, GitHub depolarını, masaüstlerini veya metin dosyalarını içerebilir.

AWS Honeytokens nasıl oluşturulur?

AWS honeytoken'ları oluşturmak için boş bir AWS hesabı oluşturarak başlamak iyi bir uygulamadır. Bu, yönergelerin ayarlanmasını çok daha kolay hale getirecek ve hatalardan kaynaklanan yanlış performansı azaltacaktır.

Varsayılan olarak, tüm IAM kullanıcılarının sıfır ayrıcalığı vardır, ancak bunun her zaman böyle olduğundan emin olmak için tümünü reddet politikası uygulanmalıdır.

İşte bir örnek:

{ "Sürüm": "2021-02-12",
"Bildirim":
{ "Efekt": "Reddet", "Eylem":
"*",
"Kaynak": "*", } }

Tüm belirteç erişim etkinliklerini günlüğe kaydetmek için AWS CloudTrail'ın etkinleştirilmesi gerekir. Tetiklenen tüm tokenler için bir uyarı sistemi entegre etmek için açık kaynaklı bir araç olan SteamAlert kullanılabilir.

Her AWS hesabının 5.000 kullanıcı sınırı vardır ve her kullanıcı en fazla 2 jetona sahip olabilir. Çoğu AWS altyapısı için 10.000 honeytoken yeterli olacaktır.

Ancak AWS, honeytoken'ları uygun ölçekte yapılandırma işlevine sahip değildir. Bu temel gereksinimi karşılamak için Project Spacecrab geliştirildi.

Project Spacecrab nedir?

Project Spacecrab, 2018 yılında Atlassian'ın güvenlik şefi Daniel Grzelak tarafından geliştirildi. Grzelak, kuruluşların siber güvenlik çabalarını hızla ölçeklendirmelerine yardımcı olmak için bu aracı geliştirdi.

Açık kaynaklı araç, bir ekosistemdeki her uç noktada birkaç bin AWS honeytoken üretme yeteneğine sahiptir.

Oluşturulduktan sonra Spacecrab, her bir tokenin konumunu, ne zaman oluşturulduklarını ve her birini kimin oluşturduğunu izler.

Uyarı işlem hattı, her bir honeytoken'ın alarmının nasıl tetiklenmesi gerektiğini belirtecek şekilde de yapılandırılabilir.

Project Spacecrab nasıl çalışır?

Varsayılan olarak, Project Spacecrab tarafından oluşturulan tüm AWS anahtarlarının tümünü reddetme politikası vardır, bu nedenle hassas kaynaklara erişmek için kullanılamazlar. Bir saldırgan bir Spacecrab honeytoken kullanmaya çalışırsa, eylemler bir S3 kovasına yüklenir ve ardından analiz için bir Lambada işlevine yüklenir.

Honeytoken olayları, yapılandırılan uyarı yöntemlerinin her biri için daha fazla Lambada'yı tetikleyen bir AWS SNS konusuna gönderilir.

İki standart uyarı eylemi, Amazon'un Basit E-posta Hizmeti ve PagerDuty Events API v2'yi içerir. Ek özel uyarı işlevleri geliştirilebilir ve uygulanabilir.

Sahte veritabanı kayıtları

SQL enjeksiyonu, tehdit aktörlerinin arka uç veritabanlarına erişmek ve bunları değiştirmek için metin alanlarına SQL komutları enjekte ettiği yaygın bir saldırı yöntemidir.

Sahte veritabanı kayıtları, tehdit aktörlerinin dikkatini gerçek hassas kayıtlardan uzaklaştıracak ve bu sahte kayıtların ele geçirilmesi, veritabanı güvenliğindeki boşlukları ortaya çıkaracaktır.

Sahte kayıtların siber suçlular için çok çekici olması gerekir. Finansal kayıtlar ve ayrıcalıklı adlar içeren kayıtlar gibi hassas bilgiler, tehdit aktörleri için karşı konulamaz.

Sahte yürütülebilir dosyalar

Bu, honeytoken'ın gelişmiş bir şeklidir. Sahte yürütülebilir dosyalar, tamamen işlevsel sahte yazılım programlarıdır. Erişildiklerinde, yazılımdan ne zaman kullanımda olduklarını belirleyen gizli bir sinyal gönderilir.

Bu sinyaller, saldırganın IP adresini ve sistemlerine bağlı tüm adları tanımlar.

Sahte yürütülebilir dosyalar, yazılım manipülasyonu içeren tedarik zinciri saldırı girişimlerini belirlemede çok etkili olabilir. SolarWinds tedarik zinciri saldırısı, Orion Ürününde güvenliği ihlal edilmiş bir güncellemeden kaynaklandı.

Ancak honeytoken yazılımı, yalnızca sahte programlar çalışırken saldırganın harici bağlantı noktaları engellenirse suçlayıcı ayrıntıları ortaya çıkaracaktır.

Gelişmiş siber suçluların makinelerini korumasız bırakmaları pek olası değildir, ancak siber suçlar yalnızca acerbic bilgisayar korsanları tarafından uygulanmaz.

Sophomorphic suçlular sıklıkla sahte yürütülebilir dosyalarla engellenebilecek siber saldırılara teşebbüs eder.

Tuzak yazılım bal belirteçleri kullanılıyorsa, siber güvenlik yasalarının ihlal edilmemesini sağlamak için özen gösterilmelidir.

Gizli gömülü bağlantılar

Bu tür bir honeytoken, yalnızca bir saldırganın makinesi korumasızsa da çalışır. Kaynak dosyalarındaki gömülü bağlantılar, tıklandığında, hedeflenen kuruluşa saldırganın kimliği ve saldırı yöntemlerinin ayrıntılarıyla birlikte bir sınıf sinyali gönderir.

Web işaretleri

Web işaretçisi bal belirteçleri, pazarlama araçlarıyla aynı izleme mekanizmasını benimser. Web işaretçisi, gizli bir gömülü nesneye giden bir bağlantıdır. Bu saydam bir resim veya bir piksel olabilir.

Web işaretçileri, siber saldırganlar için hassas bir kaynak gibi görünebilecek herhangi bir belge türüne eklenebilir.

Web işaretçisi içindeki web bağlantısına tıklandığında, saldırganın bilgisayarı, tanımlayıcı bilgilerini gizlice hedeflenen kuruluşa bırakacaktır.

Web işaretleri, bir saldırgan hakkında aşağıdaki bilgileri ortaya çıkarabilir:

Tarayıcı sürümleri
E-posta adresleri
IP adresi
İşletim sistemi ayrıntıları
Yer

Gömülü bağlantılar ve sahte yürütülebilir dosyalar gibi, web işaretçileri de yalnızca bir saldırgan bir güvenlik duvarının arkasında korunmuyorsa çalışır.

Tarayıcı çerezleri

Tarayıcı çerezleri, web sitelerine göz atan kullanıcıların ayrıntılarını ifşa eden veri paketleridir. Tanımlanabilir bilgiler içerdiklerinden, kullanımları Avrupa'da sıkı bir şekilde düzenlenmektedir.

Tarayıcı çerezleri, engellenen uç noktaları atlatabilecekleri için oldukça etkili bir honeytoken biçimidir. Bu honeytoken'ların çalışması için hala bir insan hatası faktörü gerekiyor.

Tarayıcı çerezleri yalnızca yararlı siber suç istihbaratı sağlar, suçlular tarayıcı chache bilgilerini düzenli olarak temizlemezler. Ancak bu tür rutin bakımlar, deneyimli siber suçlular tarafından bile genellikle göz ardı edilir.

Sahte e-posta adresleri

Bu çok temel bir Honeytoken türüdür. Bir kurumsal kaynaktaki sahte bir e-posta adresi kimlik avı e-postaları alırsa, bu, kurumsal kaynağın ihlal edildiğinin bir göstergesidir.

Kimlik avı e-postaları, uzlaşmanın tek göstergesi değildir, ihlal edilen e-postalar da karanlık ağda sızdırılabilir. Gelişmiş bir veri sızıntısı algılama çözümü olmadan bu tür olayları keşfetmek zordur.

Sahte bir e-posta honeytoken'ın inandırıcı olması için, hedeflenen kuruluştaki ayrıcalıklı bir personele aitmiş gibi görünmesi gerekir.

Honeytokens Nasıl Dağıtılır?

Honeytoken'lar, bir saldırganın tehlikeye atmaya çalışabileceği tüm kaynakları kapsayacak şekilde stratejik olarak konuşlandırılmalıdır.

Verimli honeytoken dağıtımının 3 aşaması vardır.

1. Aşama: Tüm Honeytoken dağıtım noktalarını tanımlayın

İlk olarak, tüm kritik kaynakların ve uç noktaların honeytoken'lar tarafından korunabilmeleri için tanımlanması ve günlüğe kaydedilmesi gerekir.

Kritik dağıtım noktaları şunları içerebilir:

Dizüstü
VPN sunucuları
Bastion ev sahipleri
Veritaban -ları
Üretim sunucuları

Her honeytoken dağıtım noktasının bir günlüğü tutulmalıdır. Karmaşık ekosistemler, Project Spacecrab gibi bir belirteç yönetimi çözümü kullanmalıdır.

Oluşturulan honeytoken'ı dağıtım için farklı ekiplere göndermek yerine, her ekip yerel olarak kendi honeytoken'ını oluşturmalıdır. Aksi takdirde, teslim yolunun her aşaması yanlış pozitifleri tetikleyebilir.

2. Aşama: Honeytoken olaylarını Olay Müdahale Planına entegre edin

Honeytoken dağıtım çabalarının ölçeklenebilir olması için, yalnızca e-posta yoluyla bildirim almak yerine, tetiklenen olayların Olay Müdahale Planlarına özerk bir şekilde beslenmesi gerekir.

Bu, tetikleyici olayları Slack, PageDuty veya Jira'ya göndermeyi içerebilir. Canarytokens kullanıyorsanız, bu, jeton oluştururken bir e-posta yerine web kancaları belirterek yapılır.

Slack için gelen web kancaları nasıl kurulur?

PageDuty için gelen web kancaları nasıl ayarlanır?

Jira için gelen web kancaları nasıl kurulur?

Ancak tetikleyici uyarılar, yalnızca her olayın konumlarını tanımladıklarında yararlıdır. Bunu başarmak için, arama tabloları algılama kurallarıyla tümleştirilmelidir.

Arama tabloları, hedeflenen kaynakların hızlı bir şekilde yalıtılabilmesi ve savunulabilmesi için yüksek düzeyde açıklayıcı olmalıdır.

Mesela:

"Honeytoken <insert key ID>, Anna'nın Microsoft Surface Pro 7'sinde ~/.aws/credentials içinde seri numarasıyla <seri numarasını girin> ile bulunur"

3. Aşama: Honeytokens dağıtımlarını ölçeklendirin

Artık tüm olası dağıtım noktaları tanımlandığına ve token tetikleme olayları yapılandırıldığına göre, tüm honeytoken'leri dağıtmanın zamanı geldi.

İdeal olarak, bu otomatik bir süreç olmalıdır, aksi takdirde, tüm departmanların bal belirteçlerini doğru bir şekilde yönetmesini sağlamak için projenin manuel olarak yönetilmesi gerekecektir.

Ne kadar çok honeytoken dağıtılırsa, tetiklenen her olay için o kadar fazla doğrulama bulunur. Bu, gereksiz olay müdahalelerine ve güvenlik kaynaklarının boşa harcanmasına neden olan yanlış pozitifleri en aza indirir.

Honeytoken Tetikleyicilerine Nasıl Yanıt Verilir?

Tetiklenen bir olayın yanlış pozitif olmadığını onayladıktan sonra, bir kuruluş derhal Olay Müdahale Planını (IRP) takip etmelidir.

IRP'ler, yüksek zorlamalı bir siber saldırı olayı sırasında tüm güvenlik ekibi üyelerinin odaklanmasını ve kontrol altında kalmasını sağlar.

Bir IRP, honeytoken tetikleme bilgileri aracılığıyla oluşan her bir sistemin nasıl hızlı bir şekilde bulunacağını ana hatlarıyla belirtmelidir.

Bir kez daraltıldıktan sonra, kaynaklar derhal izole edilmelidir. Bu, kullanıcı erişiminin devre dışı bırakılmasını, üçüncü taraf risk değerlendirmelerinin gönderilmesini veya sunucuların bağlantısının kesilmesini içerebilir.