Honeycorn | Система кибериллюзий

Архитектура распределенной инфраструктуры киберловушек HoneyCorn для крупных сетей Для крупных распределенных сетей оптимальным подходом к построению инфраструктуры киберловушек на базе HoneyCorn является создание единой централизованно управляемой системы с распределенными сенсорами, размещенными в ключевых сегментах корпоративной инфраструктуры. Такая архитектура позволяет выявлять действия злоумышленников на ранних этапах атаки, контролировать попытки горизонтального перемещения и формировать индикаторы компрометации (IoC) для оперативного реагирования. В некоторых случаях используются о…

Что сеть киберловушек дает SOC Главная ценность HoneyPot — не просто в том, что атакующий взаимодействует с ложным ресурсом. Важно, что SOC может получить из этого взаимодействия. HoneyCorn позволяет размещать ловушки и приманки в разных сегментах инфраструктуры и фиксировать попытки разведки, несанкционированного доступа и перемещения злоумышленника внутри сети. В результате SOC получает дополнительные данные о том: 🔸 какие сервисы исследует атакующий 🔸 к каким ресурсам он обращается 🔸 какие способы доступа использует 🔸 какие учетные данные пытается применить 🔸 какие действия выполн…

HoneyPot vs EDR: в чем принципиальная разница Современные киберугрозы требуют от компаний не только предотвращения атак, но и своевременного выявления злоумышленников, которые уже проникли в инфраструктуру. EDR и HoneyPot решают эту задачу по-разному. EDR анализирует активность рабочих станций и серверов: запуск процессов, обращения к файлам, сетевые соединения и другие события. На основе правил, аналитики и поведенческих моделей система выявляет признаки вредоносной активности и помогает специалистам реагировать на инциденты. При этом EDR работает с большим объемом событий и требует посто…

Ловушка и приманка — не одно и то же. В deception часто используют два понятия — ловушки и приманки. Их нередко смешивают, хотя задачи у них разные. Ловушка — это ложный ресурс, с которым взаимодействует атакующий: сервер, сервис, база данных, веб-приложение, сетевое оборудование и т. д. Но есть проблема: злоумышленник еще должен эту ловушку найти. И здесь появляются приманки. Это ложные артефакты, которые располагаются в инфраструктуре и выглядят для атакующего как потенциально полезные: учетные данные, сведения о сетевых ресурсах, ссылки на сервисы и другие следы. Их задача — не собир…

От обнаружения — к автономной реакции Следующий этап развития deception — сделать так, чтобы система не только фиксировала действия атакующего, но и могла автоматически перестраивать среду и запускать реакцию. Ответные действия непосредственно на ловушке С учетом автоматизации атак Honeypot и Deception-системам тоже приходится реагировать быстрее. Помимо стандартного IRP-процесса, в HoneyCorn уже предусмотрена возможность задать реакцию непосредственно для ловушки. Среди типовых вариантов — автоматическое переразвертывание ловушки или сканирование IP-адреса, с которого была зафиксирована…

Ловушка, которая умеет адаптироваться Создать ловушку недостаточно. Следующая задача — сделать так, чтобы атакующему было сложно понять, что перед ним не реальная система. И здесь все большую роль играет ИИ. LLM для адаптивного взаимодействия Одна из проблем классических ловушек — статичные ответы. Большие языковые модели позволяют генерировать контекстно-зависимое поведение в реальном времени, имитируя работу реальной ОС или сервиса. Например, злоумышленник, попавший в SSH-ловушку, вместо заранее прописанных строк может получать правдоподобные ответы даже на нестандартные команды. Ч…

Какие технологии должны быть «под капотом» современной deception-системы? Давайте пофантазируем на эту тему. А заодно посмотрим, что уже сейчас реализовано в HoneyCorn, а что находится в разработке и планах. Контейнеризация как основа deception-инфраструктуры Ловушки в виде Docker/Kubernetes-контейнеров — это не просто удобство развертывания, а архитектурный сдвиг. Контейнер запускается за секунды, изолирован на уровне процессов и позволяет размещать десятки ловушек на одном хосте без риска для production-среды. В HoneyCorn этот подход уже реализован: образы хранятся централизованно, у…

Когда проблема уже не в количестве алертов, а в их качестве SOC может получать тысячи событий в день. SIEM, EDR, NDR, межсетевые экраны — каждый источник добавляет свою телеметрию. Но чем больше событий, тем сложнее быстро понять, где действительно началась атака. Особенно если злоумышленник использует легитимные инструменты, учетные записи и привычные сетевые протоколы. Именно здесь deception работает иначе. Ловушки HoneyCorn создаются так, чтобы легитимные пользователи и приложения с ними не взаимодействовали. Поэтому обращение к такой точке само по себе становится событием с высоким пр…

IP засветился на ловушке. Что дальше? Само по себе событие на киберловушке уже полезно. Но максимальная ценность появляется, когда его можно использовать дальше в контуре SOC. Например, HoneyCorn фиксирует обращение к ловушке с определенного IP-адреса. Дальше этот адрес можно превратить в индикатор компрометации и передать в SIEM, SOAR, EDR/XDR, системы сетевого мониторинга и другие средства защиты. Что это дает на практике? SOC может сразу проверить: — встречался ли этот IP раньше в журналах — обращался ли он к рабочим станциям или серверам — были ли с ним связаны другие события — есть…

Как HoneyCorn помогает SOC формировать собственные IoC SOC постоянно работает с большим потоком событий, и далеко не каждое из них действительно связано с атакой. При этом внешние базы Threat Intelligence полезны, но они не всегда дают ответ на главный вопрос: что прямо сейчас происходит именно в вашей инфраструктуре? Здесь хорошо работает сеть киберловушек. HoneyCorn позволяет развернуть распределенную инфраструктуру ловушек, которые имитируют реальные сервисы и информационные ресурсы. Любое обращение к такой ловушке, попытка аутентификации, выполнение подозрительной команды или эксплуата…