تقنيات الخداع
ما هذا
الخداع ممارسة وضع أنظمة وخدمات وحسابات في الشبكة لا وجود لها إلا لتُلمس. لا تحمل عملا، ولا سبب لدى أي مستخدم لفتحها، وهي بالنسبة لأي شيء يفحص الشبكة لا تُميَّز عن الأنظمة التي تحمل عملا.
لماذا يهم
كل مصدر كشف آخر ينتج احتمالا. وكيل نقطة النهاية يقرر إن كانت العملية تبدو خبيثة. ومستشعر الشبكة يقرر إن كانت الحركة تبدو غير معتادة. والـSIEM يربط الاثنين وينتج شيئا ما زال على المحلل أن يحكم عليه.
أما الفخ فينتج نوعا آخر من الأحداث. لا مستخدمين شرعيين له، ولا خدمة تعتمد عليه، ولا سبب للوصول إليه، فالتفاعل معه ليس دليلا على اختراق. هو الاختراق. وهذا ما يجعله مفيدا لفريق متأخر أصلا عن طابور تنبيهاته. مصدر واحد لا يكلّف فرزه شيئا.
وهو أيضا من طرق الكشف القليلة التي تعمل حيث لا يمكن تركيب وكيل، وهو الحال الاعتيادي لشبكة تشغيلية أو إنتاجية.
ما الذي يحله
- حركة جانبية تبدو عادية على كل مضيف تمر به على حدة
- طوابير تنبيهات لا تُميَّز فيها النتيجة الحقيقية عن الكم المحيط بها
- برامج فدية تُرى في مرحلة الاستطلاع لا في مرحلة التشفير
- شرائح لا يمكن نشر وكيل فيها ولا نسخ حركة مرورها
في محفظتنا
المجال المجاور
أكثر ما يستحق فيه الفخ ثمنه هو أمن الهوية. فالحساب الوهمي من الطرق القليلة لرؤية مهاجم وصل إلى الدليل بالفعل.