Traducción
del texto: Know your enemy (Defining Virtual Honeynets), disponible en
Honeynet Project
http://project.honeynet.org
Última modificación: 04 September, 2002
En los últimos años las Honeynets han demostrado su valor como mecanismos de seguridad, sobre todo para
aprender sobre las herramientas, tácticas, y motivos de la comunidad blackhat. Esta
información es crítica para las organizaciones para entender mejor y protegerse
de las amenazas que tienen. Uno de los problemas de las Honeynets es que necesitan muchos
recursos, son difíciles de construir, y complejas de mantener. Las Honeynets requieren
una variedad de sistemas físicos y mecanismos de seguridad para implantarlas correctamente.
Sin embargo, el Honeynet Project ha estado investigando sobre una nueva posibilidad, las Honeynets
virtuales. Estos sistemas comparten muchos de los valores de las Honeynets tradicionales, pero tienen
la ventaja de que ejecutan todos los sistemas en un sólo sistema. Esto hace que las Honeynets
virtuales sean más baratas de crear, más fáciles de implantar, y más
simples de mantener.
Qué es una Honeynet
Honeynets Virtuales
Hemos dividido las Honeynets Virtuales en dos categorías, Auto-Contenidas e Híbridas.
Primero definiremos estos dos diferentes tipos, para luego ver como se implantan los diferentes
tipos de Honeynets Virtuales.
Honeynet Virtual Auto-Contenida
Honeynet Virtual Híbrida
La Estación VMware
Los productos VMware también tienen algunas buenas características, como la
posibilidad de
suspender una Máquina Virtual. Puedes pausar la MV, y cuando la activas
de nuevo, todos los
procesos continúan como si nada hubiera sucedido. Una vez un sistema fue comprometido y el intruso empezó un
ataque de fragmentación ICMP. El intruso estaba también en servidores IRC. No
queríamos cortar
la conexión porque perderíamos información valiosa. Así que suspendimos la MV,
ajustamos el cortafuegos para que bloqueara el ataque, y entonces reanudamos la MV.
Un uso interesante de VMware, y también de otros softwares virtuales, es la facilidad y rapidez
de montar MVs. Una vez que la honeynet sea comprometida, y aprendamos tanto como podamos de ella, queremos
empezar de nuevo. Con una Honeynet Virtual, lo que tenemos que hacer es copiar ficheros o usar el disco deshacer
o la característica no-persistente para descartar todos los cambios hechos.
Otra característica de VMware es la capacidad de ejecutar varias redes detrás del HostOS. Si
sólo tienes una máquina, puedes tener tu honeynet y tu computador personal en una máquina
sin preocuparte en la contaminación de datos de cada lado. Si quieres aprender más sobre
VMware y sus posibilidades para la tecnología honeypot, visita el excelente artículo de
Kurt Seifried Haciendo Honeypots
con VMware - Conceptos Básicos. También Monitorizando Honeypots de VMware de Ryan Barnett.
Servidor VMware GSX
Las Honeynets son un tipo de
honeypot.
Un honeypot es un recurso cuyo valor se basa en ser analizado, atacado o comprometido. Una
Honeynet es un honeypot con gran interacción, lo que significa que ofrece sistemas operativos reales
para que los atacantes interactúan con él. Esta gran interacción puede enseñarnos mucho
sobre intrusos, desde a cómo entran en los sistemas a cómo se comunican y por qué atacan
sistemas. Las Honeynets consiguen esto creando una red de sistemas. Esta red está muy controlada,
y todo el tráfico entrante y saliente es controlado y capturado. Cada sistema de la red es
realmente un honeypot, un sistema diseñado para ser atacado. Sin embargo, estas honeypots
son sistemas completamente funcionales, lo mismo que hoy se encuentra en la mayoría de las
organizaciones. Cuando estos sistemas son atacados, las Honeynets capturan toda la actividad del
atacante. Entonces esta información enseña mucho sobre las amenazas a las que nos
enfrentamos diariamente.
Sobre los detalles técnicos de las Honeynets, es recomendable leer
Conoce a Tu Enemigo: Honeynets.
Este artículo describe las diferentes maneras de construir Honeynets Virtuales. No pretende ser un
HOWTO en crear Honeynets Virtuales. HOWTO's más detallados vendrán a continuación.
Desde ahora, se asume que conoce las tecnologías sobre Honeynets y sus requisitos, sobre todo Control
de Datos y Captura de Datos.
Las Honeynets Virtuales toman el concepto de las tecnologías de las Honeynets, y las implementan en un
único sistema. Las Honeynets Virtuales no son un nuevo concepto, de hecho toman el concepto actual de
Honeynet y las implementan de una forma diferente. Esta implementación tiene sus
únicas ventajas y desventajas comparadas con las Honeynets tradicionales. Las ventajas
son coste reducido y más fácil manejo, ya que todo está; combinado en un
único sistema. Sin embargo, esta simplicidad también nos cuesta. Primero,
estás limitado a qué tipos de sistemas operativos puedes implantar debido al
hardware y al programa virtual. Segundo, las Honeynets virtuales traen un riesgo, específicamente
que un atacante puede salirse del programa virtual y tomar el sistema Honeynet, saltándose
el mecanismos de Control de Datos y de Captura de Datos.
Una Honeynet Virtual Auto-Contenida es una red entera Honeynet condensada en un sólo computador.
La red entera está virtualmente contenida en un único y físico sistema. Una red
Honeynet típicamente consiste de un cortafuegos para Control de Datos y Captura de Datos, y los honeypots
dentro de la Honeynet. Puedes ver un Diagrama de esa configuración
aquí.
Algunas ventas de este tipo de Honeynet(s) virtual(es) son:
Hay algunas desventajas:
Una Honeynet Híbrida es una combinación de la clásica Honeynet y del software virtual. Captura de Datos,
como por ejemplo cortafuegos, y Control de Datos, como por ejemplo sensores IDS y almacenamiento de
logs, están en un
sistema separado y aislado. Este aislamiento reduce el riesgo de compromiso. Sin embargo, todas las honeynets son virtualmente
ejecutadas en una única máquina. Puedes ver un diagrama de esta configuración aquí.
Las ventajas de esta configuración son:
Algunas desventajas son:
Las Honeynets Híbridas Virtuales pueden permitirte alcanzar la flexibilidad de las honeynets
clásicas y permitirte incrementar la cantidad de honeypots usando el software virtual. Ahora que hemos definido
las dos categorías generales Honeynets virtuales, resaltemos algunas de las formas posibles de implementar una
Honeynet virtual. Aquí comentamos tres diferentes tecnologías que te permitirán implantarlas a ti
mismo. Indudablemente hay otras opciones, como Bochs, sin embargo el
Honeynet Project ha usado y probado los tres métodos. Ninguna solución
es mejor que las otras. Al contrario,
cada una tiene sus únicas ventajas y desventajas, depende de ti decidir cual solución es mejor. Las tres
opciones que relataremos son la Estación VMware, el Servidor GSX VMware y User Mode Linux.
La Estación VMware es una opción de virtualización muy usada y establecida. Está
diseñada para el usuario de escritorio y disponible para plataformas Linux y Windows. Las ventajas
de usar la Estación VMware como una Honeynet Virtual son:
Algunas desventajas son:
Puedes aprender más sobre implantar una Honeynet Virtual Auto-Contenida usando la
estación VMware en http://online.securityfocus.com/infocus/1506.
El Servidor VMware GSX es una versión resistente de la Estación VMware. Su objetivo es ejecutar muchos
sistemas finales. Como veremos, es perfecto para uso como una Honeynet. El Servidor GSX actualmente ejecuta Linux y Windows
como HostOS. Ventajas:
Algunas desventajas son:
VMware también tiene un Servidor VMware ESX
. En vez de ser una solución software, el Servidor ESX se ejecuta en el hardware de la interfaz. El Servidor ESX tiene su
propio monitor de la máquina virtual del SO que controla el hardware de la máquina. Esto permite un control más
granular de los recursos asignados a las máquinas virtuales, como tiempo de CPU, ancho
de banda, y disco, y permite que esos recursos sean cambiados dinámicamente. Es un producto es incluso
para un final más alto que el Servidor GSX. Algunas de sus características son: Puede soportar múltiples
procesadores, más máquinas virtuales concurrentes (hasta 64 MV), máS memoria (hasta 64GB), y más
memoria por máquina virtual (hasta 3.6GB) que el Servidor GSX.
User Mode linux es un módulo especial del kernel que te permite ejecutar muchas versiones de linux
virtuales a la vez. Desarrollado por Jeff Dike, UML te da la capacidad de tener múltiples instancias de Linux,
ejecutándose en el mismo sistema a la vez. Es una herramienta relativamente nueva con mucho potencial.
Algunas ventajas de usar User Mode Linux son:
Conclusión
El propósito de este artículo era definir que es una Honeynet Virtual, los diferentes tipos,
y opciones para implantarlas. Una Honeynet Virtual coge la tecnología de una Honeynet y la combina
en un único sistema. Esto las hace más baratas de construir, más
fáciles de implantar,
y más simples de mantener. Sin embargo, también tienen desventajas comunes, incluyendo un
único punto de fallo y limitaciones con el hardware y el software virtual. Depende de ti decidir
que solución es mejor para tu entorno. En el futuro, intentaremos crear documentación detallando
cómo implantar estas tecnologías.