Che cos'è un honeypot? Scopriamo insieme le trappole per i criminali informatici

Che cos’è un honeypot?

Un honeypot è un sistema informatico intenzionalmente compromesso che viene utilizzato come esca per attirare hacker e altri criminali informatici all’interno di un ambiente controllato in modo da consentire ai professionisti della sicurezza informatica di studiare il loro modus operandi. In informatica, gli honeypot utilizzano reti e dati falsi come esca per attirare gli hacker. Gli esperti di sicurezza informatica monitorano gli attacchi per raccogliere informazioni sul modo in cui i criminali informatici accedono e utilizzano i dati online.

Attirando gli hacker in un honeypot, gli esperti possono identificare le minacce, raccogliere informazioni sui metodi di hacking e sviluppare politiche e infrastrutture di sicurezza più efficaci. Le trappole honeypot offrono l’ulteriore vantaggio di tenere gli hacker alla larga da sistemi e reti reali.

A cosa servono gli honeypot nel campo della sicurezza informatica?

Lo scopo principale degli honeypot nel campo della sicurezza informatica è monitorare e analizzare gli attacchi per migliorare la protezione contro i tentativi di hacking. Gli honeypot raccolgono informazioni sugli hacker, che possono essere utilizzate per analizzare il metodo di attacco, studiare il modo in cui gli intrusi interagiscono con la rete e aiutare i professionisti della sicurezza informatica a correggere le vulnerabilità dei loro sistemi.

Sebbene la loro natura e il loro scopo specifico possano variare, gli honeypot si suddividono generalmente in due categorie principali:

• Gli honeypot di produzione sono utilizzati come difesa attiva dalle grandi aziende per ingannare gli hacker e tenerli alla larga dalla rete principale. Le aziende utilizzano i dati raccolti durante questa violazione “controllata” per eliminare eventuali punti deboli presenti nei loro sistemi di difesa e proteggere meglio la rete reale dai tentativi di hacking.

• Gli honeypot di ricerca sono trappole complesse utilizzate solitamente dai governi o dalle grandi società di sicurezza informatica per monitorare lo sviluppo delle minacce persistenti avanzate e rimanere al passo con l’evoluzione delle tecniche di hacking.

Come funziona un honeypot?

Gli honeypot isolano dati o altre risorse digitali all’interno di un sistema o di un ambiente intenzionalmente compromesso e separato dalla rete reale di un’azienda. Gli specialisti della sicurezza informatica possono quindi monitorare tutto il traffico non autorizzato verso l’honeypot e studiare le tattiche degli hacker in un ambiente controllato, proteggendo al contempo la rete principale.

Quando configurano un honeypot, oltre a renderlo un bersaglio irresistibile per diversi tipi di hacker, gli analisti inseriscono solitamente anche dati facilmente tracciabili in modo da riuscire a monitorare le violazioni dei dati (in genere in tempo reale) e trovare un collegamento tra più partecipanti a un attacco.

Gli honeypot attirano gli hacker in una trappola, contribuendo a tenerli lontani dalle reti reali.

Che cos'è una honeynet?

Una honeynet è costituita da una rete di honeypot usata come esca. Mentre un honeypot consiste in un singolo dispositivo esca installato all’interno di una rete, una honeynet è configurata in modo da sembrare una rete reale e spesso comprende più server o dispositivi e include funzionalità aggiuntive come i firewall. La funzione delle honeynet è analoga a quella degli honeypot: consentire agli esperti di analizzare il modo in cui gli hacker accedono e interagiscono con le risorse al loro interno, ma su scala più ampia.

Honeypot per livello di interazione

Le honeynet e gli altri sistemi di sicurezza basati sugli honeypot possono essere ulteriormente classificati in base a tre diversi livelli di interazione:

• Honeypot puri: consistono in sistemi operativi completi e sono i più complessi e difficili da manutenere. Contengono documenti sensibili e dati utente simulati e sembrano più realistici agli occhi dei potenziali intrusi rispetto agli altri tipi di honeypot.

• Honeypot ad alta interazione: honeypot complessi che permettono agli hacker di muoversi liberamente all’interno dell’infrastruttura, offrendo agli analisti una grande quantità di dati sulle attività dei criminali informatici. Gli honeypot ad alta interazione richiedono una maggiore manutenzione e possono rappresentare un rischio più elevato.

• Honeypot a bassa interazione: anziché emulare un intero sistema, questi honeypot emulano le parti dei sistemi e dei servizi di un’azienda che sono più interessanti per gli hacker. Pertanto, forniscono informazioni più limitate sugli hacker, ma possono essere configurati più facilmente utilizzando i protocolli TCP/IP.

Quali sono i diversi tipi di honeypot?

È possibile utilizzare diversi tipi di honeypot per studiare e neutralizzare diversi tipi di minacce. Ecco alcuni dei tipi più comuni di honeypot e come funzionano nella pratica:

Honeypot di posta elettronica

Gli honeypot di posta elettronica utilizzano un indirizzo di posta elettronica fittizio che può essere rilevato solo con metodi discutibili, come un raccoglitore automatico di indirizzi, il che significa che nessun utente legittimo può trovare l’indirizzo. Tutti i messaggi inviati a questo indirizzo vengono quindi classificati come spam e ai mittenti di queste e-mail viene immediatamente bloccato l’accesso alla rete. Questo consente ai provider di servizi Internet di bloccare lo spam via e-mail.

Honeypot di dati

Le organizzazioni spesso creano database esca con contenuti falsi per identificare ed eliminare le vulnerabilità del sistema. Gli honeypot di dati possono raccogliere informazioni sugli attacchi SQL injection e su altri metodi utilizzati dagli hacker per ottenere l’accesso al database fittizio, e possono anche essere utilizzati per analizzare la diffusione e l’utilizzo dei dati fasulli rubati durante l’attacco.

Honeypot per i malware

Gli honeypot per i malware sono una tecnica volta ad attirare i malware emulando un’applicazione software o un’API attraverso la creazione di un ambiente controllato in cui sia possibile analizzare in sicurezza gli attacchi malware. Queste informazioni possono essere utilizzate per sviluppare sistemi di difesa più sofisticati contro i malware.

Spider honeypot

I webcrawler, o “spider”, sono l’obiettivo di questo tipo di trappola. Uno spider honeypot crea pagine web e link accessibili solo a webcrawler o bot automatizzati e fornisce alle aziende informazioni sul loro funzionamento e sui potenziali problemi che possono causare.

Client honeypot

Gli honeypot convenzionali sono honeypot lato server che attendono passivamente un attacco. Ma i client honeypot (o computer honeypot) sono meccanismi di sicurezza proattivi che cercano di individuare i server che lanciano attacchi. Il client honeypot impersona un dispositivo client, interagisce con il server e controlla se si è verificato un attacco.

Quali sono i vantaggi derivanti dall’utilizzo degli honeypot?

I vantaggi dell’utilizzo di un honeypot per attirare in trappola i potenziali criminali informatici sono molteplici. Ecco alcuni dei principali casi d’uso e vantaggi associati all’utilizzo di una rete di honeypot:

Monitoraggio delle minacce in continua evoluzione

Gli attacchi informatici rappresentano una minaccia in costante crescita per le reti, e gli honeypot sono uno dei migliori strumenti disponibili per il monitoraggio del panorama in continua evoluzione delle minacce. Una volta attivo, l’honeypot continua a raccogliere dati ogni volta che viene attaccato, consentendo agli amministratori di rete di identificare gli schemi degli attacchi (come gli indirizzi IP in un luogo specifico) e di aggiornare le misure di sicurezza per proteggere il sistema da attività simili.

Individuazione delle vulnerabilità

Gli honeypot rappresentano uno strumento molto prezioso per rilevare le vulnerabilità nella sicurezza delle aziende riducendo al minimo qualsiasi rischio. Analizzando gli exploit utilizzati dagli aggressori per accedere ai dati dell’honeypot, le aziende possono aggiornare i propri sistemi di sicurezza per bloccare questi metodi di attacco.

Identificazione delle minacce interne

Gli honeypot possono anche essere utilizzati per identificare e bloccare le minacce interne prima che possano causare danni reali. Le minacce provenienti da utenti interni malintenzionati possono rappresentare un problema serio in presenza di punti deboli a livello delle autorizzazioni all’interno dell’azienda, offrendo ai dipendenti insoddisfatti la possibilità di sfruttare per i propri scopi i dati dell’azienda. Gli honeypot consentono di identificare preventivamente le vulnerabilità e le minacce interne con la stessa efficacia di quelle esterne.

Bassa incidenza di falsi positivi

Altri tipi di tecnologie che identificano le minacce alla sicurezza presentano spesso un’elevata incidenza di falsi positivi, con avvisi che segnalano minacce inesistenti. L’incidenza di falsi positivi è invece molto bassa nel caso degli honeypot, a cui è possibile accedere solo con mezzi non legittimi.

Convenienza

Grazie alla scarsa manutenzione richiesta e al fatto che i team di sicurezza non hanno bisogno di esaminare grandi quantità di dati per individuare eventuali attività sospette, gli honeypot rappresentano uno strumento di difesa economicamente vantaggioso contro gli attacchi online. Presentano un traffico limitato e un numero di richieste al server ridotto, soprattutto nel caso dei sistemi a bassa interazione. Inoltre, i software honeypot sono spesso open source, e dunque economici e facili da implementare.

Strumento di formazione indispensabile

Il personale addetto alla sicurezza informatica può utilizzare gli honeypot come strumento di formazione all’avanguardia analizzando i dati raccolti sugli attacchi online. Nulla meglio degli honeypot consente agli addetti alla sicurezza di tenersi sempre aggiornati sulle minacce online in continua evoluzione.

Nel campo della sicurezza informatica, gli honeypot rappresentano un valido aiuto alla formazione su una vasta gamma di minacce.

Quali sono i rischi associati all’uso degli honeypot

Nonostante i numerosi utilizzi possibili, gli honeypot non rappresentano una soluzione miracolosa ai problemi legati alla sicurezza informatica, e presentano diversi svantaggi. Ecco alcuni dei limiti e degli svantaggi legati all’utilizzo degli honeypot:

Rischio di sabotaggio

Sebbene solitamente gli honeypot siano isolati rispetto alla rete principale di un’azienda, c’è il rischio che un hacker possa utilizzare un honeypot come gateway secondario per accedere e attaccare i sistemi reali dell’azienda. Oppure, se un hacker particolarmente bravo e pericoloso riesce a identificare un honeypot, o a rilevarne l’impronta digitale, utilizzando un sistema per il rilevamento degli honeypot, potrebbe sfruttarlo a proprio favore lanciando falsi attacchi contro il sistema esca per distogliere l’attenzione dal vero tentativo di hacking.

Dati limitati

Poiché gli honeypot possono raccogliere dati solo in caso di un tentativo di attacco, i dati da analizzare saranno limitati se l’honeypot non riesce ad attirare i potenziali hacker. Fare troppo affidamento sui dati raccolti da un honeypot può rappresentare di per sé un pericolo, in quanto concentrandosi solo sui rischi identificati tramite l’honeypot, i team di sicurezza delle aziende rischiano di trascurare il rischio rappresentato da hacker più esperti e minacce più complesse.

Gli honeypot sono illegali?

Gli honeypot non sono illegali, ma sussistono problemi di natura legale associati alla raccolta dei dati personali degli utenti. Negli Stati Uniti esiste un’esenzione alla legge federale sulla privacy, finalizzata alla protezione dei provider di servizi, che in genere consente alle aziende di raccogliere informazioni sugli utenti nel contesto della protezione e della tutela della sicurezza della propria rete.

Altri importanti atti legislativi che regolamentano l’uso degli honeypot sono l’Electronic Communications Privacy Act degli Stati Uniti e il regolamento generale sulla protezione dei dati (RGPD)dell'Unione europea.

Le aziende che vogliono utilizzare un finto sito Web come honeypot o un’altra forma di trappola informatica devono innanzitutto prendere visione delle norme sulla privacy vigenti nella propria giurisdizione specifica per assicurarsi che l’uso di un honeypot non violi alcuna legge o regolamento.

Protezione a prova di bomba con AVG

Quando si parla di sicurezza informatica, gli honeypot rappresentano un pezzo importante del puzzle. Ma la maggior parte degli utenti non dispone delle risorse necessarie per configurare honeypot a casa propria. È per questo che è fondamentale utilizzare un software anti-malware affidabile.

AVG AntiVirus FREE utilizza il rilevamento avanzato delle minacce mediante analisi euristica basato sull’intelligenza artificiale per proteggere il dispositivo da virus e malware, difenderti dalle minacce emergenti, avvisarti se rileva link e siti Web non sicuri e bloccare i tentativi di hacking. Ottieni subito una protezione all’avanguardia.