Crece el uso de ordenadores trampa (por Mercè Molist)

Crece el uso de ordenadores trampa (por Mercè Molist)
	VSantivirus No. 1317 Año 8, sábado 14 de febrero de 2004 Crece el uso de ordenadores trampa (por Mercè Molist) http://www.vsantivirus.com/mm-honeypots.htm Crece el uso de ordenadores trampa para espiar a los intrusos informáticos. Su propósito es la defensa e investigación en seguridad Por Mercè Molist () colaboradores@videosoft.net.uy En los últimos 18 meses, han aumentado de forma destacada las tecnologías para crear "honeypots" (máquinas trampa o, literalmente, tarros de miel), según informa "SecurityFocus". Son ordenadores que los investigadores conectan a Internet, expresamente sin proteger, para que atraigan a los intrusos y poder monitorizar sus movimientos, con el fin de estudiar sus herramientas y formas de ataque. Los "honeypots" se basan en una vieja táctica de seguridad informática que consiste en no desconectar un ordenador que ha sido atacado, a la espera de que el intruso vuelva otra vez y espiar sus pasos. Cliff Stoll relata en "El huevo del cuco", publicado en 1989, como usó esta técnica para descubrir a un grupo de alemanes que robaba secretos de ordenadores militares norteamericanos y los vendía al KGB. La vieja técnica se redefinía a partir del año 2000, con la aparición del proyecto "Honeynet": un red permanente de máquinas trampa coordinada por voluntarios. Actualmente, hay un buen número de soluciones para crear "honeypots": comerciales, como KFSensor, y libres, como Honeyd y Honeynets. Un sistema trampa es, básicamente, un equipo aislado, conectado a la red, con algunas puertas abiertas a sabiendas, para atraer a los intrusos y estudiar su forma de actuación, a fin de detectar nuevas tendencias en los ataques. Recientemente, Rediris convocaba un reto de análisis forense que consistía en diseccionar uno de estos ordenadores trampa. Rediris cuenta, desde 2001, con un proyecto aún incipiente de red de máquinas trampa, donde participa Francisco Monserrat, de IRIS-CERT: "Para montar una buena red hacen falta máquinas, tiempo para analizar los resultados y cómo aplicarlos. Una máquina trampa no tiene mucho sentido para un usuario o una empresa pequeña, ya que por ahora no van a tener ataques en su contra sinó ataques aleatorios, dirigidos a cualquiera que tenga funcionando el programa que emplea una vulnerabilidad". Pero, en redes grandes y grupos de seguridad, estas trampas son útiles, dice Monserrat, "para analizar si un determinado problema de seguridad en un programa de uso común es muy atacado y así avisar a los usuarios, o como señuelo, dejando la máquina protegida ante ataques externos per no ante los ataques desde dentro de la organización. Además, sirven como laboratorio en el que probar nuestros conocimientos de análisis forense digital, para después aplicarlos en situaciones reales". Un riesgo importante es que, una vez comprometida la máquina, los intrusos la usen para atacar a otras. Según Monserrat, puede evitarse: "Hay métodos como limitar el tráfico que puede salir del equipo o instalar detectores que avisan cuando el intruso empieza a lanzar ataques y los cortan. Otras máquinas trampa se bloquean cuando el atacante intenta ejecutar determinadas operaciones. Adicionalmente, todo el tráfico con destino y origen a esta máquina es monitorizado, por lo que se puede seguir el rastro del atacante". El interés por los "honeypots" es tal que la policía británica ha puesto en marcha uno específico para pedófilos. Pero, según Monserrat, también tienen inconvenientes: "Requieren una monitorización exhaustiva y sólo permiten capturar ataques aleatorios". Lance Spitzner, del proyecto Honeynet, explica que otro peligro creciente radica en que se descubra que es una trampa: "Mientras crece el uso de "honeypots", hemos empezado a ver nuevas herramientas y técnicas para detectarlos. Un ejemplo es el programa comercial "Honeypot Hunter", usado por la industria del correo basura para identificar "honeypots" especializados en pescar "spam . Relacionados:* Red de máquinas trampa de Rediris http://www.rediris.es/cert/ped Reto de análisis forense http://www.rediris.es/cert/ped/reto Honeynet http://www.honeynet.org Honeypots. Definitions and Value http://www.tracking-hackers.com/papers/honeypots.html Problems and Challenges with Honeypots http://www.securityfocus.com/infocus/1757 (*) Copyright (C) 2004 Mercè Molist. Verbatim copying, translation and distribution of this entire article is permitted in any medium, provided this notice is preserved. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com