Tester Jobs Requirements (VIDEO GAME)

Los Honeypots son una gran herramienta para un IDS (Intrusion Detection System), ya que nos ayuda a detectar y estudiar con antelaci�n posibles ataques a nuestra infraestructura real. Todos los que hemos sido administradores de sistemas o estamos en el mundo de la seguridad hemos tenido que trabajar alguna vez con ellos de alguna u otra forma. Existen multitud de honeypots adaptados a funcionar simulando todo tipo de entornos.

Figura 1: T-Pot: Una colmena de Honeypots para atraparlos a todos

Por ejemplo, si necesitas un honeypot para monitoriza tu red de ordenadores, puedes elegir por ejemplo Cowrie (un fork de Kippo y uno de los m�s utilizados) y si necesitas monitorizar los ataques a una infraestructura industrial (ICS) puedes elegir, por ejemplo, Compot (ICS/SCADA).

Cada instalaci�n de un Honeypot requiere configurarlo y adaptarlo para que parezca lo m�ximo posible un entorno real (una de las claves del �xito del Honeypot). Adem�s, una vez hemos obtenido y recopilado todos los datos de los posibles ataques, ser� necesario procesarlos y analizarlos para sacar conclusiones sobre los mismos. Existen muchas herramientas que ayudan a este proceso, como por ejemplo Kippo-Graph (que funciona perfectamente con Cowrie).

T-Pot: Una colmena de Honeypots para atraparlos a todos

Pero existe una soluci�n magn�fica que nos permite tener varios Honeypots (incluidos los dise�ados para simular ICS) dentro de una sola m�quina virtual (o f�sica, seg�n sea necesario) y tambi�n nos permite visualizar la informaci�n de forma espectacular utilizando ELK.

Figura 2: Dashboard de T-Pot

T-Pot es una plataforma de Honeypots que tiene como base una distribuci�n Linux Ubuntu Server 14.04.4 LTS. Esta plataforma incluye una gran variedad de honeypots ya preparados, configurados y listos para entrar en funcionamiento. Algunos de estos honeypots y herramientas que incluye son:

� Conpot: es un honeypot para ICS el cual permite simular un entorno industrial completo, capaz de hacer ver al atacante de que est� accediendo a un entorno industrial. 

� Cowrie: es un honeypot que simula un servidor con SSH y Telnet dise�ado para monitorizar los ataques de acceso, as� como la iteraci�n con la Shell. 

� Dionaea: otro honeypot de caracter general dise�ado para simular vulnerabilidades de red y servicios como SMB, http, FTP, MSSQL e incluso VoIP. 

� Elasticpot: es un honeypot basado en una versi�n simplificada de ElasticSearch. 

� EMobility: otro honeypot de infraestructuras ICS que simula un centro de carga el�ctrica de veh�culos (incluso simula usuarios que est�n cargando los veh�culos).

Tiene una web central de gesti�n desde la cual el posible atacante tendr�a acceso a todos los nodos de carga de la falsa infraestructura.

� Glastopf: es un honeypot orietando a aplicaciones web como, por ejemplo, webmail, wikis, etc, cualquier aplicaci�n en la que el cliente la ejecute desde su navegador web. 

� Honeytrap: este honeypot se centra especialmente en observar ataques contra servicios TCP y UDP. 

� Suricata: un monitor de seguridad de red para detectar intrusiones en tiempo real inspeccionando el tr�fico de red. 

� ELK: son tres herramientas en una, Elasticsearch (servidor de b�squedas), Logstash (administraci�n de logs) y Kibana (visualizaci�n y gesti�n de los datos almacenados).

La gran ventaja de esta distribuci�n T-Pot es que los integra todo es una misma instalaci�n (en el mismo servidor) y todos virtualizados con Docker. Esto permite tener en ejecuci�n varios demonios actuando sobre la misma tarjeta de red sin problemas. Adem�s, al tener cada Honeypot su entorno dockerizado, es muy sencillo su mantenimiento (actualizaciones, por ejemplo), gesti�n y personalizaci�n.

Figura 3: Arquitectura de T-Pot

Los puertos que ser�n utilizados por los Honeypot instalados en T-Pot tendremos que redireccionarlos hacia el Honeypot desde nuestro firewall o router si fuera necesario:

Figura 4: Lista de puertos a utilizar por los diferentes servicios

La instalaci�n de T-Pot es bastante sencilla, simplemente se puede descargar la imagen ISO y montarla en un sistema virtual o uno f�sico. Tambi�n crear la imagen ISO desde este enlace.

Figura 5: Arranque de la ISO de T-Pot

Las recomendaciones de hardware var�an en funci�n de si quieres activar todos los Honeypots y herramientas. En esta captura puedes ver las diferentes opciones que aparecer�n durante el proceso de instalaci�n. En nuestro caso hemos optado por la opci�n �E� (todo) en una m�quina virtual:

Figura 6: Opciones para elegir tipo de instalaci�n

Durante el proceso de instalaci�n (el equipo se reiniciar� dos veces) no se realizan apenas preguntas m�s all� de la configuraci�n del teclado y el usuario y contrase�a para el acceso v�a web al panel del control (el usuario para acceder al servidor Linux con T-Pot es �tsec� y la contrase�a �tsec�):

Figura 7: Datos de inicio de sesi�n en T-Pot con el usuario "tsec"

Para acceder al Honeypot de forma segura tendremos que hacerlo desde SSH. Desde Windows podemos utilizar OpenSSH y Putty como puedes ver en este video. Desde Linux o macOS podemos abrir un terminal y ejecutar:

ssh -p 64295 -l tsec -N -L8080:127.0.0.1:64296 192.168.56.100

Ya solo tenemos que abrir el navegador utilizando http://127.0.0.1:64296

Figura 8: Dashboard de T-Pot en la primera ejecuci�n con todos los marcadores a cero

Para comprobar el estado de los contenedores Docker podemos utilizar el plugin ya instalado �UI-For-Docker� el cual nos permite de forma f�cil, controlar todos los par�metros de los contenedores como reiniciarlos, pararlos, configuraci�n de red, puertos, etc�tera:

Figura 9: Control de todos los contenedores Docker desde T-Pot, "UI-For-Docker"

Para ver el funcionamiento de T-Pot y tambi�n como organiza y muestra los resultados, vamos a realizar simular algunos intentos de acceso desde la red interna donde hemos ubicado el Honeypot (no est� conectado a Internet para esta demostraci�n) utilizando Kali Linux 2. Antes de continuar es importante decir que toda la informaci�n contenida en los Honeypot (contenedores Docker) se pierde cada vez que la aplicaci�n falla o se produce un reinicio del servidor. Es posible activar la persistencia de esta informaci�n accediendo a la carpeta /etc/systemd y ajustar los par�metros individualmente de cada servicio para que mantenga la informaci�n.

Figura 10: Ficheros con todos los servicios de cada Honeypot para su configuraci�n individual

Vamos a realizar un ataque por fuerza bruta utilizando Metasploit, en concreto utilizaremos el m�dulo ssh_login. De esta forma veremos c�mo es la estructura del Honeypot una vez se ha conseguido acceso (Cowrie). Posteriormente accederemos al dashboard de T-Pot para ver c�mo ha registrado el ataque:

En el siguiente v�deo muestra la informaci�n que ha recopilado T-Pot en su Dashboard despu�s de nuestro acceso. Hemos omitido algunos paneles que no tienen informaci�n como por ejemplo la ubicaci�n geogr�fica (en este enlace puedes ver c�mo ser�a un ejemplo real de T-Pot):

Para probar los Honeypot orientados a ICS, vamos a realizar un acceso al Honeypot Conpot. Este Honeypot simula un contador de consumo el�ctrico modelo Kamstrup 382 con conexi�n Telnet y sin contrase�a de acceso.


Otro ejemplo ser�a la web del Honeypot eMobility, que simula centros de carga para veh�culos el�ctricos (s�lo tendr�amos que poner la IP del Honeypot con el puerto 8080):

Figura 15: Acceso al Honeypot eMobility

Los Honeypot en entornos ICS y IoT (hay que empezar a crear honeypots que simulen el hardware de los ordenadores de placa simple como Raspberry Pi por ejemplo) son una herramienta imprescindible para las instalaciones industriales. En este enlace encontrar�is una estupenda selecci�n de recursos para Honeypot que podr�amos a�adir a�adir a T-Pot. Seguro que volveremos a hablar pronto de los Honeypot como parte de la Seguridad de los sistemas de control industriales y las infraestructuras cr�ticas.

Autor: Fran Ramirez (@cyberhadesblog) escritor de libro "Microhistorias: an�cdotas y curiosidades de la historia de la inform�tica" e investigador en ElevenPaths.