   ______   ______   ______   ______   ______   ______   ______   ______
  |  ____| |  ____| |  ____| |  ____| |  ____| |  ____| |  ____| |  ____|      
__| |______| |______| |______| |______| |______| |______| |______| |________
----------------------------------------------------------------------------
Codigo     Titulo                                                Autor
SWP05-09   HoneyPot                                              HaCKsPy
----------------------------------------------------------------------------


Un  honeypot...  mmmm...  si  buscamos  en el  diccionario  encontraremos  la
traduccion del ingles  la cual seria algo como tarro o  pote de miel, sigamos
buscando... yo  cometi el  error de consultarle  a algunas personas  sobre el
tema y  me hablaron de  winie pooh  o algo similar  jeje... (eso me  dijo una
amiga  la cual  mantendre su  nick en  secreto, jajaja  winie pooh),  pero no
divaguemos  y   pensemos, Que  es  un honeypot?  Un  dulce,  un se~uelo,  una
trampa. Dentro  de las muchas definiciones  tecnicas creo que esta  es la que
mas me convence:    

   Un  honeypot es un recurso o  dispositivo de seguridad que pretende ser un
   objetivo real, cuyo valor consiste en ser probado, atacado o comprometido.

A  diferencia  de otros  equipos  puestos  en  produccion los  honeypots  sin
importar su "presentacin" (un router, scripts emulando servicios, una jaula,
un sistema puesto en produccion) lo  importante del honeypot es que este  sea
probado, atacado o comprometido. 



Como funciona un honeypot
====================

Los honeypots  son recursos  de seguridad que  no poseen ninguna  utilidad en
produccion,  ninguna   persona  deberia  utilizarlos.   Por  ende,  cualquier
actividad a los mismos es  considerada sospechosa. Cualquier trafico hacia el
mismo a  el mismo es  seguramente una prueba,  escaneo o ataque.  Y cualquier
trafico generado  desde el honeypot puede  significar que el  recurso ha sido
comprometido y el atacante esta intentando realizar conexiones desde el. 

Con un  honeypot no sabes que  esperar. En lo  personal creo que ahi  esta el
gusto de  este tipo  de tecnologias. No  todo en  informatica o en  este caso
seguridad es necesariamente 1's y 0's. 



Tipos de Honeypots
===============

Ya que tenemos definido el concepto  de honeypot y su funcionamiento, vamos a
clasificarlo en 2 grandes categorias: 

 -  Honeypots de Produccion
 -  Honeypots de Investigacion

HoneyPot de Produccion:
	Un  honeypot en  produccion  es lo  que  la mayoria  de las  personas
	entienden  por honeypot.  Un  equipo que  cumple  una unica  funcion,
	tratar  directamente  con los  atacantes  externos  protegiendo a  la
	organizacion mini mizando el riesgo, lo que podriamos traducir en que
	su funcion  es simular ser  un objetivo real sirviendo  de distractor
	ante un atacante.  Debido a su simpleza, por lo  general su riesgo es
	bajisimo, es muy raro que alguien comprometa un honeypot y lo utilize
	para  comprometer otros sistemas  en comparacion  con un  honeypot de
	investigacion. 

HoneyPot de Investigacion:
	Un honeypot de investigacion  ha sido creado para obtener informacion
	acerca de lo que se conoce como blackhat comunity. Estos honeypots no
	ofrecen un  valor directo a  la organizacion, su mision  principal es
	conocer las  amenazas por las  que una organizacion  puede atravezar,
	quienes son  los atacantes, como estan  organizados, que herramientas
	usan  para   atacar  otros  sistemas,  y  de   donde  obtienen  estas
	herramientas. Armados de este conocimiento podemos reaccionar mejor a
	los eventos que pudiesen presentarse. 



Ventajas y Desventajas de un HoneyPot 
=============================
A diferencia  de los  firewalls y  los sistemas de  deteccion de  intrusos un
honeypot no ataca unicamente un solo problema, un honeypot es una herramienta
que contribuye a  lo largo de toda la arquitectura de  seguridad. Creo que es
por  esta  razon  que  un  honeypot  incurre  en  una  serie  de  ventajas  y
desventajas. Brevemente mostramos algunas de ellas: 

Ventajas de un HoneyPot
--------------------------------------

Valor  de  los  datos:   Las  organizaciones   diariamente  capturan  grandes
cantidades de  informacion, logs  de firewalls, logs  de sistema,  alertas de
deteccion de intrusos, etc.  Las cantidades de informacion pueden convertirse
en una tarea titanica en caso se desee analizar esta informacion, peor aun si
consideramos los tiempos  comparados entre la generacion de  la informacion y
el analisis de  la misma. La informacion generada o  capturada de un honeypot
por lo general sera de un alto valor para los temas de seguridad. 

Recursos:  Otro gran reto de la mayoria de los mecanismos de seguridad es las
limitaciones de recursos, un firewall o un detector de intrusos se satura con
altos  niveles  de trafico  de  red que  terminan  saturando  los sensores  y
perdiendo paquetes que son seguramente ataques de seguridad potenciales, Otra
historia son los  servidores de centralizacion de alarmas.  Los honeypots por
lo general son implementados en equipos peque~os sin una gran configuracion o
un equipo de alta performance, o un gran disco duro. 

Simplicidad: Es  considerada  como una de  las ventajas de  los honeypots, no
hay  que desarrollar complicados  algoritmos, no  es necesario  mantener base
datos,  no hay  reglas  que  debido a  sus  constantes modificaciones  puedan
generar fallas de seguridad. Tan solo tienes que agarrar tu honeypot buscarle
algun lugar donde colocarlo y a esperar. Sin importar el tipo de honeypot sea
de produccion  o de investigacion todos  funcionan bajo la  misma premisa: Si
hay actividad de  algun tipo en el honeypot,  revizalo. Como mencionan muchos
expertos en  seguridad, mientras mas  sencillo sea el concepto,  mas efectivo
este habra de ser. 

Retorno de la Inversion:  Cuando los firewalls  aparecieron manteniendo a los
atacantes  fuera dede  las  "redes  seguras", ellos  se  convirtieron en  las
victimas de su propio exito. La gerencia empieza a cuestionarse de cual es la
ventaja  de tener  un  firewall si  nunca  tuvieron un  hackeo, la  respuesta
probablemente  es  que si  existieron  intentos  de  hacking, seguramente  no
tuvieron  hackeos por  que el  firewall  redujo el  riesgo, tecnologias  como
fuerte  autenticacion o  encripcion deben  sufrir los  mismos  problemas, son
inversiones  de alto  costo,  recursos  y tiempo  de  implementacion pero  se
convierten a la larga en victimas de su propio exito. 

En contraste,  los honeypots demuestran su valor  constantemente cuando estos
son atacados dan  muestras de la existencia de  hackers en nuestros sistemas,
capturando actividad no  autorizada. Cuando los gerentes perciben  que no hay
amenazas, los honeypots facilmente  pueden dar fe de lo contrario. 


Desventajas de los HoneyPots
--------------------------------------------
Campo  visual  limitado:  Un  HoneyPot  solo  percibe  los  ataques  que  son
dirigidos directamente hacia  el. Si un atacante ingresa  al sistema atacando
una serie de equipos el honeypot no  estara al tanto de las actividades en el
sistema a  no ser que sea  victima del atacante directamente.  Si el atacante
detecta  el honeypot  por lo  que realmente  es, es  posible que  el atacante
busque  evadir este  sistema e  infiltrarse a  la organizacion,  sin levantar
sospecha alguna. 

Fingerprinting: Otra  desventaja especialmente en  las  versiones comerciales
es las "huellas digitales" o  fingerprints que puede dejar un honeypot, desde
errores sencillos en la respuesta de  las solicitudes hechas a un servidor de
correo, asi como  comportamientos de la emulacion hecha  por nuestro honeypot
que hacen  sospechar al atacante  que algo no esta  funcionando correctamente
convirtiendose en un riesgo potencial para la organizacion. 

Riesgo: Un honeypot  puede introducir riesgo al entorno,  al decir introducir
riesgo nos referimos  a que nuestro honeypot puede  verse comprometida, y una
vez atacada ser usada para atacar a otros sistemas u organizaciones. Asi como
mencionabamos  dependiento del  tipo de  honeypot  puede variar  el grado  de
riesgo que este presente a la organizacion. 

Debido  a  sus  desventajas,  los  honeypots no  pueden  reemplazar  a  otros
mecanismos  de seguridad  tales como  firewalls  y sistemas  de deteccion  de
intrusos.  Sin embargo, a~aden  valor trabajando  junto con  estos mecanismos
jugando un papel importante dentro de nuestras defensas. 



Algunos Honeypots en el mercado:
=========================

Para  que ustedes  puedan  ver un  poco mas  de  lo que  son actualmente  los
honeypot en el mercado, aqui algunas muestras de los mismos: 

BackOfficer Friendly
-----------------------------
Tambien conocido  como BOF, de  NFR Network Flight Recorder,  quienes tambien
venden un potente  IDS basado en un linux hardened,  es una solucion sencilla
pero interesante, un ejecutable, se activa en el tray y podemos simular tener
levantados ciertos servicios en la red. 
Aunque la simpleza trae un costo, sus capacidades son bastante limitadas.

Specter
-----------
Es un  honeypot de  soporte comercial desarrollado  por NetSec. Asi  como BOF
Specter  es un honeypot  de baja  interaccion. Sin  embargo a  diferencia del
anterior, emula mas  servicios, y una mayor cantidad  de sistemas operativos,
debido  a que  specter  emula servicios  con  poca interaccion,  es de  facil
implementacion,  mantenimiento  y bajo  riesgo.  Podriamos  decir  que es  un
honeypot de produccion. 

Honeyd
-----------
Honeyd es  un honeypot  de codigo abierto  de baja interaccion.  Su proposito
principal  es  detectar,  capturar  y  alertar  de  actividades  sospechosas.
Desarrollado  en  Abril del  2002  por Niels  Provos,  honeyd  trae un  nuevo
concepto  a  los honeypots,  ya  que  primero  monitorea contra  millones  de 
sistemas, cuando encuentra  un sistema que no existe,  asume la identidad del
mismo para luego poder interactuar con el atacante creciendo exponencialmente
las capacidades de  deteccion y captura de un ataque.  Puede emular 100tos de
sistemas operativos,  y por ser de  codigo abierto es  una tecnologia abierta
para poder revizar el codigo y  modificarlo a nuestro antojo para adaptarlo a
nuestras necesidades. 

ManTrap (al parecer Symantec Decoy Server)
------------
ManTrap era una  solucion comercial de la empresa Recouse,  no tengo bien los
datos, pero  aparentemente actualmente es el Symantec  Decoy Server (Adivinen
quien  creo que lo  compro?), un  producto mas  en la  lista de  productos de
seguridad de  symantec... bueno, mientras sea  para bien... A  lo que ibamos,
Mantrap  o Decoy  Server,  es un  tool  que emula  un  sistema operativo  por
completo,  este podria  ser incluso  usado para  comprometer  otros sistemas,
ofreciendo  al atacante  la  funcionalidad que  ofrece  cualquier sistema  en
produccion, interesante no? denle una chequeada al demo que hay en symantec. 

HoneyNets
----------------
Un Honeynet, vendria  a ser un conjunto de honeypots  de investigacion con un
alto grado de  interaccion con el atacante, y por lo  mismo un ALTISIMO grado
de  riesgo  de  que  estos  servidores sean  usados  para  comprometer  otros
sistemas. La dificultad aqui  no es el honeypot en si (el  cual podria ser un
servidor instalado por  default y listo) si no que  se complica la estructura
y  las reglas  que  se deben  de  implementar en  los  servidores para  poder
controlar y capturar toda la actividad  que sucede hacia y desde la honeynet,
de esta  manera se evita que  los equipos comprometidos  sean utilizados para
realizar  algun  ataque  a  otros  sistemas.  Los  honeynets  son  utilizados
principalmente para temas de investigacion por todo el detalle de informacion
que  es posible obtener,  a parte  tendrian como  desventaja, el  alto riesgo
involucrado  y el  increible tiempo  y trabajo  involucrado para  su correcta
implementacion. Este tema tiene mucho por delante, ya les contare un poco mas
adelante en otro magazine. 


Un saludo a mis colegas de SWP, y aunque ya lo saben nunca esta demas
recordarlo: "El Pisco es Peruano" 

Saludos
HaCKsPy


   ______   ______   ______   ______   ______   ______   ______   ______
  |  ____| |  ____| |  ____| |  ____| |  ____| |  ____| |  ____| |  ____|      
__| |______| |______| |______| |______| |______| |______| |______| |______
--------------------------------------------------------------------------

                      --                             --
			 Security Wari Projects / SWP  |
		      (c) Todos los Derechos Reservados
		     |     PERU / 2002 - 2004           
                      --                              --
