首页 > 原创 > 正文

远程控制：如何用欺骗技术操纵攻击者的行动

最后更新 ：2022.03.07

当我们听说网络安全事件时，大部分情况下攻击者已经控制了局面——也许他们已经入侵了一家公司并泄露了数据，或者放入了勒索软件或其他类型的恶意软件。相比之下，我们通常不会听说有组织成功击退了攻击者。

在信息安全领域，人们进行长期的努力和投入以期改变当前的局势，试图将一场网络对抗的主动权重新交到防御者手中。这就引出了一个问题：防守者可以多大程度上的完全引导一一甚至控制攻击者的行动?

要回答这个问题，首先必须了解攻击者是如何接近目标的。

MITRE ATT&CK框架是一种基于理解攻击战术和攻击手段的方法。它的矩阵提供了一种方法来确定一个特定的攻击可能采取的步骤以及它通常可能导致的结果。

勒索软件这样的攻击正变得越来越有针对性和可操作性。攻击者对索取少量赎金不感兴趣，他们更想知道你最好的东西在哪里。他们会通过网络隐秘而缓慢的探查，他们会建立几个跳板，反复来回，在获得更多的信息的同时迷惑对手，只有当做好了充分的准备才会进行正式攻击。

在这样的背景下，欺骗技术已经变成了一种有效的对抗手段。

在MITRE ATT&CK框架中，攻击者启动和升级攻击需要12个步骤，而一套完整的全结构欺骗可以最多破坏其中11个。

因为欺骗技术有很多种类型

安全研究人员在80年代首次引入蜜罐，作为一种了解是谁从网络外部攻击组织的有效手段，但欺骗技术不仅仅是一个花哨的蜜罐。






欺骗技术可以解决安全领域中的多个问题。全结构欺骗平台允许组织充分利用攻击者，收集情报然后获取信息，并在后台自动化、响应事件。

欺骗技术为各类机构提供了对攻击者的控制机会，可以很大程度上操纵他们的行动。

与80年代的蜜罐相比，当代欺骗平台可以实现不间断的管理和操作。蜜罐需要程序员在遭遇攻击后重新配置和重建它们，确保攻击者不能使用它们作为跳板。蜜罐也需要定时更新换代，保持它们对攻击者的吸引力。

而在最新的平台上，机器学习可以对环境进行分析，从而减少部署的困难，并使诱饵更加真实。这种能力大大降低了安全团队部署和维护的需求。同时，高度的真实性使诱饵更加可信，可以充分融入周边环境，成为一个让攻击者深信不疑的目标。

动态部署诱饵能响应未监视子网上的攻击者活动，使每个端点充当诱饵，将攻击者重定向到欺骗环境。这也是影响攻击者活动的一项特征。

欺骗技术现在可以应用于本地和基于云的环境。欺骗技术的架构经过改进，可适应不同的攻击。这一发展也使它真正的做到了——能够让防御者指导和控制攻击者的行动。

- END -

看更多