远程控制：如何用欺骗技术操纵攻击者的行动 – 作者:黑豹cyd0

当我们听说网络安全事件时，大部分情况下攻击者已经控制了局面——也许他们已经入侵了一家公司并泄露了数据，或者放入了勒索软件或其他类型的恶意软件。相比之下，我们通常不会听说有组织成功击退了攻击者。

在信息安全领域，人们进行长期的努力和投入以期改变当前的局势，试图将一场网络对抗的主动权重新交到防御者手中。这就引出了一个问题：防守者可以多大程度上的完全引导一一甚至控制攻击者的行动?

要回答这个问题，首先必须了解攻击者是如何接近目标的。

MITRE ATT&CK框架是一种基于理解攻击战术和攻击手段的方法。它的矩阵提供了一种方法来确定一个特定的攻击可能采取的步骤以及它通常可能导致的结果。

勒索软件这样的攻击正变得越来越有针对性和可操作性。攻击者对索取少量赎金不感兴趣，他们更想知道你最好的东西在哪里。他们会通过网络隐秘而缓慢的探查，他们会建立几个跳板，反复来回，在获得更多的信息的同时迷惑对手，只有当做好了充分的准备才会进行正式攻击。

在这样的背景下，欺骗技术已经变成了一种有效的对抗手段。

在MITRE ATT&CK框架中，攻击者启动和升级攻击需要12个步骤，而一套完整的全结构欺骗可以最多破坏其中11个。

因为欺骗技术有很多种类型，我们有必要为它做一个定义。

安全研究人员在80年代首次引入蜜罐，作为一种了解是谁从网络外部攻击组织的有效手段，但欺骗技术不仅仅是一个花哨的蜜罐。

• 商业欺骗技术已经走了很长一段路，它包括各种类型的诱饵、陷阱和标记。企业可能会在真实文件中放置一些欺骗文件，比如金丝雀文件。这些假文件就像煤矿里的金丝雀一样，为地下瓦斯的积累程度提供了一个早期预警系统。同样，攻击者与金丝雀文件的交互也可以为公司提供足够的警告，来提醒及时检查未经授权的数据访问。

• 另一种形式的欺骗发生在网络的外围。这样的欺骗可以在攻击者试图获取证书时，推进攻击以暴露他们的存在。它们还可以将攻击者的痕迹记录传送回中央服务器，中央服务器从而发出警报提出预警。

• 第三种类型的欺骗发生在网络内部，目的是检测绕过其他安全控制的攻击。这种形式的欺骗通常使用诱饵来吸引侦察和横向移动中的攻击者。

• 第四种类型的欺骗针对特定应用程序的风险，如Active Directory。这种方法包括采用未经授权的Active Directory查询并将其误导到一个欺骗环境中。虽然这类攻击有点超出了传统上被归类为欺骗的范围，但它仍然是关于诱导攻击者行为，因此我们将它归类于第四类欺骗类型。

欺骗技术可以解决安全领域中的多个问题。全结构欺骗平台允许组织充分利用攻击者，收集情报然后获取信息，并在后台自动化、响应事件。

欺骗技术为各类机构提供了对攻击者的控制机会，可以很大程度上操纵他们的行动。

与80年代的蜜罐相比，当代欺骗平台可以实现不间断的管理和操作。蜜罐需要程序员在遭遇攻击后重新配置和重建它们，确保攻击者不能使用它们作为跳板。蜜罐也需要定时更新换代，保持它们对攻击者的吸引力。

而在最新的平台上，机器学习可以对环境进行分析，从而减少部署的困难，并使诱饵更加真实。这种能力大大降低了安全团队部署和维护的需求。同时，高度的真实性使诱饵更加可信，可以充分融入周边环境，成为一个让攻击者深信不疑的目标。

动态部署诱饵能响应未监视子网上的攻击者活动，使每个端点充当诱饵，将攻击者重定向到欺骗环境。这也是影响攻击者活动的一项特征。

欺骗技术现在可以应用于本地和基于云的环境。欺骗技术的架构经过改进，可适应不同的攻击。这一发展也使它真正的做到了——能够让防御者指导和控制攻击者的行动。

来源：freebuf.com 2020-10-30 10:48:26 by: 黑豹cyd0