Rapid7使用Heisenberg Honeypot发现某些云风险

2019-10-18 16:48:15

根据安全公司Rapid7的最新研究,黑客正在积极扫描和攻击云。在一项类似的研究中,Rapid7在全球六大云(Amazon Web Services,Microsoft Azure,Digital Ocean,Rackspace,Google Cloud Platform和IBM SoftLayer)上部署了自己的蜜罐网络。攻击实际上正在发生。

Rapid7将其蜜罐工作称为“海森堡云计划”。该公司首席数据科学家鲍勃·鲁迪斯(Bob Rudis)告诉eWEEK,该公司开发了整个代理框架,包括部署,管理,监视和数据收集组件。

Rudis说:“在框架内使用了定制的Rapid7开发的低和中交互性蜜罐,以及开源软件,如牛仔帽。” “该框架支持将任何类型的蜜罐部署到任何Heisenberg节点,并且在每个代理下面是一个完整的PCAP监视和捕获框架,该框架以Go语言编写,以增强可移植性。

海森堡”这个名字是对德国理论物理学家维尔纳·海森堡的致敬,他著名地提出了海森堡不确定性原理。尽管海森堡以不确定性着称,但鲁迪斯表示,Rapid7可以肯定海森堡网络的存在,因为它由一个称为Sommerfield的管理框架进行监督(Arnold Sommerfield是Heisenberg的博士生顾问)。

海森堡蜜罐不扫描云供应商的漏洞。而是部署它们,等待正在积极扫描云以寻找潜在漏洞的其他人对其进行扫描。Rudis强调说,Rapid7研究的关键要素是该公司遵守云提供商的服务条款,并且不会从蜜罐中生成外部通信。

Rapid7研究团队的早期假设是,对各种云供应商的攻击将是随机分布的。事实证明,事实并非如此,例如,与其他任何云提供商相比,更多的攻击者在Google上扫描端口443(HTTPS)。

“由于Google在面向客户的云环境中增加容量的方式,某些以前称为“ Google”的子网可以标记为“ Google Cloud”,并且可能是攻击者将更多精力放在了Google IPv4空间上,而不一定面向客户的目标云。” Rudis说。

此外,鲁迪斯(Rudis)指出,包括Google在内的许多提供商确实对其环境进行了主动侦察。另外,谷歌拥有自己的网络抓取机器人。

Mirai物联网(IoT)僵尸网络似乎在所有云提供商之间都非常一致,这是云扫描的一个领域。据称,Mirai是僵尸网络,它是针对欧洲互联网服务提供商OVH的1T-bps攻击以及最近针对DNS提供商Dyn的分布式拒绝服务(DDoS)攻击的背后的僵尸网络。

Rudis说:“我们看到在每个云提供商的每个区域进行Mirai扫描。”

据Rudis称,自10月8日以来,海森堡云计划僵尸网络项目捕获了100,000个与Mirai相似的IPv4地址。但是,这并不意味着Mirai僵尸网络仅由100,000个设备组成,因为Rapid7仅捕获了六个云提供商中的Mirai活动。

“尽管我们知道Mirai僵尸网络代码并未排除云空间,但我们并不希望看到我们能够实现的Mirai数量,” Rudis说。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。