침해대응 & CERT. Honeypot

Shodan 키워드 검색을 수행하면 결과 중 일부에 아래와 같은 tag가 붙어 있는 것을 쉽게 확인할 수 있다.

 

Shodan 검색 결과 중 "honeypot" tag가 부착된 개체

 

Honeypot? 그게 뭘까?

그래서 이번 주차에는 추가적으로 honeypot에 대한 공부를 추가했다.

 

Honeypot 이란?

출처 : WAF.NINJA

 

Honeypot 은 그럴듯한 사이버 공격의 목표물을 가장하는 컴퓨터 또는 컴퓨터 시스템으로, 공격자 관점에서 더 매력적인, 또는 확실한 목표물을 가장하기 위해 의도적으로 알려진 취약점을 사용해서 설계된다.

 

Honeypot 은 실질적인 데이터를 데이터를 포함하지 않고, 네트워크의 정상적인 트래픽에도 참여하지 않는다.

즉, honeypot 안에서 발생하는 모든 일은 오로지 공격에 따른 결과인 것이다.

 

Honeypot 은 위의 사항들을 모두 log로 저장하며 공격 방법론에 대한 세부 견해를 제공한다.

 

유형

Honeypot 의 범주는 상호작용 수준으로 분류된다.

• Low-interaction honeypots
  • 주로 다루고자 하는 공격 vector를 대표하는 제한된 서비스 모음만을 실행하는 VM.
  • 만들고 유지하기가 쉽고, 자원도 덜 들어가지만 '가짜'임을 알아챌 확률이 높다.
• High-interaction honeypots
  • 침해 가능성이 있는 시스템을 격리하기 위해 여러 개의 가상 VM 을 하나의 물리적 device에서 실행한다.
  • 손쉽게 확장하고, 복원이 가능하지만 각 VM 자체가 완전히 기능하는 서버이기 때문에 추가적인 구성 작업도 요구된다.