Honeypot nedir?
Honeypot (bal küpü), saldırganları çekmek ve davranışlarını gözlemlemek amacıyla bilerek savunmasız gibi gösterilen yem sistemdir. Meşru kullanıcıların bu sisteme erişmesi için bir neden olmadığından, ona gelen her bağlantı şüpheli kabul edilir.
Honeypot gerçek verileri korumaz; bilgi toplar ve erken uyarı verir. Saldırganın yöntemlerini, kullandığı araçları ve kaynak adreslerini görmek, gerçek sistemlerin daha iyi savunulmasına katkı sağlar.
Nasıl çalışır?
Honeypot, gerçek bir servis gibi davranır: örneğin sahte bir SSH sunucusu, zayıf parolalı bir web paneli ya da açık görünen bir veritabanı portu. Saldırgan bu yeme bağlandığında tüm etkinliği kayıt altına alınır. Etkileşim düzeyine göre ikiye ayrılır: düşük etkileşimli olanlar servisi sınırlı biçimde taklit eder ve güvenlidir; yüksek etkileşimli olanlar gerçek bir sisteme benzer, daha çok bilgi verir ama daha fazla risk taşır.
Honeynet ise birden fazla honeypot’tan oluşan bir ağdır. Ayrıca “bal belgesi” gibi yöntemler, sahte dosya ve kimlik bilgilerini yem olarak kullanıp kullanıldıklarında uyarı verir.
Sunucu ve hosting ortamında
Sunucu ortamında düşük etkileşimli SSH honeypot’ları, internete açık tarayıcı ve bot trafiğini görmek için sıkça kullanılır. Örneğin sahte bir yönetim giriş sayfası ya da kullanılmayan bir port, tarama ve kaba kuvvet girişimlerini kayıt altına alabilir.
Honeypot’u üretim sistemlerinden tamamen ayrı ve izole bir ortamda çalıştırmak şarttır. Ele geçirilirse saldırganın gerçek ağınıza sıçrama için bir basamak olarak kullanılmaması gerekir. Toplanan IP adresleri güvenlik duvarı veya engelleme listelerine beslenebilir.
Nelere dikkat edilmeli?
- Honeypot’u üretim ağından ağ düzeyinde izole edin