Security Center:Configurar o Cloud Honeypot

Antes de começar

O recurso de cloud honeypot deve estar ativado. Para mais informações, consulte {{XREF_0}}.

Processo de configuração

Etapa 1: (Opcional) Criar um servidor proxy na cloud para um IDC on-premises

Caso pretenda implantar cloud honeypots em servidores sem endereços IP públicos em um IDC on-premises, é necessário criar um servidor proxy de cloud honeypot nesse IDC. Em seguida, configure o endereço IP do proxy ao criar uma sonda no Security Center para habilitar o acesso via proxy do honeypot.

1. Prepare pelo menos um servidor para o proxy do honeypot e garanta que o GCC e o zlib-devel estejam instalados nele.

2. Baixe uma versão do NGINX com suporte a proxy reverso.

   Os cloud honeypots utilizam conexões HTTPS e exigem proxy de camada 4. Adicione o parâmetro --with-stream durante a compilação e instalação do NGINX.

   tar -xvf nginx-1.9.0.tar.gz
   cd nginx-1.9.0
   ./configure --without-http_rewrite_module --with-stream
   make
   make install

3. No diretório /usr/local/nginx/conf/ da aplicação NGINX, modifique o arquivo de configuração nginx.conf.

   #user nobody;
   worker_processes auto;
   error_log logs/error.log;
   
   #error_log logs/error.log notice;
   error_log logs/error.log info;
   pid logs/nginx.pid;
   
   events {
       use epoll;
       worker_connections 60000;
   }
   
   stream {
           server {
               listen 1337;
               proxy_timeout 10m;
               proxy_connect_timeout 60s;
               proxy_pass proxy1337;
           }
           upstream proxy1337 {
              #You can view the management node IP on the Management Node tab of Cloud Honeypot > Configuration Management
              server #management-node-IP#:1337; 
           }
   
           server {
               listen 1338;
               proxy_timeout 10m;
               proxy_connect_timeout 60s;
               proxy_pass proxy1338;
           }
           upstream proxy1338 {
             #You can view the management node IP on the Management Node tab of Cloud Honeypot > Configuration Management
              server #management-node-IP#:1338; 
           }
   }
   				

4. Após modificar o arquivo de configuração, execute o comando abaixo para iniciar o NGINX.

   /usr/local/nginx/sbin/nginx

Etapa 2: Adicionar um nó de gerenciamento

Um nó de gerenciamento fornece os serviços de honeypot. O tráfego encaminhado pelas sondas é enviado, em última instância, para os diversos serviços de honeypot configurados nesse nó. Ele representa o núcleo e a base de todo o sistema.

1. Faça login no console do Security Center.

2. No painel de navegação à esquerda, escolha Risk Governance > Cloud Honeypot > Configuration Management.

3. Na página Configuration Management, clique na aba Manage Nodes e, em seguida, clique em Create Management Node. Configure os parâmetros para criar um nó de gerenciamento e clique em OK.

   Parâmetro	Descrição
   Management Node Name	Defina o nome do nó de gerenciamento.
   Assigned Probes	Especifique a quantidade de sondas para o nó de gerenciamento. O valor deve ser no mínimo 20 e no máximo 100. Caso ultrapasse 100, o sistema ajustará automaticamente para esse limite. Recomendamos instalar de 2 a 3 sondas de host por bloco CIDR e 1 sonda de black hole de VPC por VPC. As sondas servem para redirecionar o tráfego. Os cloud honeypots suportam sondas de host e sondas de black hole de VPC. Sonda de host: instala um cliente no host para encaminhar o tráfego das portas locais para o cluster de honeypot de backend. Sonda de black hole de VPC: quando o IP_A em uma VPC acessa um endereço IP interno inexistente IP_B, o dispositivo de rede redireciona o tráfego para a sonda de black hole de VPC. Essa sonda estabelece uma conexão normal entre o IP_A e o IP_C do honeypot com base nas regras de mapeamento configuradas. Todo esse processo é transparente para o IP_A. Uma sonda de host é instalada em um servidor para redirecionar o tráfego de porta para o serviço de honeypot. Já a sonda de black hole de VPC é implantada dentro de uma VPC para desviar o tráfego destinado a endereços IP internos inexistentes para o serviço de honeypot.
   CIDR Block Allowed	Defina os blocos CIDR permitidos para o nó de gerenciamento e as sondas de host. Estes correspondem aos endereços IP de saída das sondas autorizados a acessar o nó de gerenciamento. Valor padrão: 0.0.0.0/0. É possível especificar até 100 blocos CIDR permitidos. Como as sondas precisam se comunicar com o nó de gerenciamento durante o serviço, assegure-se de que os endereços IP de saída delas estejam dentro dos blocos CIDR permitidos.
   Allow Honeypot Access Internet	Indique se deseja permitir que os honeypots neste nó de gerenciamento acessem a Internet. Importante Ativar este recurso pode gerar riscos de segurança. Invasores podem conseguir penetrar no honeypot e lançar ataques robustos. Se o recurso estiver desativado, apenas a detecção de ataques será suportada, sendo ideal para cenários de rede interna.

4. Após a criação de um nó de gerenciamento, seu Management Node Status ficará como Preparing. Esse status dura cerca de 5 minutos. Aguarde até que o Management Node Status mude para Normal.

Etapa 3: (Opcional) Modelos de honeypot

O recurso de modelo de honeypot permite configurar diferentes atributos personalizados para distintos tipos de honeypot. Isso possibilita construir honeypots adequados aos seus cenários de negócios e simular aplicações mais realistas. Os tipos de honeypot que aceitam atributos personalizados incluem, entre outros, títulos de sites, imagens de fundo de OA e dados de páginas web. Personalize os modelos de honeypot conforme as necessidades do seu negócio.

1. Na página Configuration Management, clique na aba Honeypot Templates. Selecione um tipo de honeypot à esquerda e clique em Create Template.

2. No painel Create Template, configure os parâmetros do modelo de honeypot e clique em OK.

   Parâmetro	Descrição
   Template Name	Defina o nome do modelo de honeypot.
   Manage Nodes	Selecione o nó de gerenciamento para implantar os cloud honeypots. Trata-se do nó de gerenciamento criado na Etapa 1.

   Nota

   As configurações de outros parâmetros no modelo de honeypot podem variar ligeiramente dependendo do tipo de honeypot. Para mais detalhes sobre essas configurações, entre em contato com o suporte técnico.

Etapa 4: Adicionar um honeypot

O honeypot é a unidade básica do serviço de honeypot. O sistema oferece diversas imagens de honeypot integradas. Crie instâncias de honeypot a partir dessas imagens para fornecer os serviços de honeypot.

1. Na página Configuration Management, clique na aba Honeypot Management e clique em Create Honeypot.

2. No painel Create Honeypot, configure os parâmetros do honeypot e clique em OK.

   Parâmetro	Descrição
   Name	Defina o nome do honeypot.
   Manage Nodes	Selecione o nó de gerenciamento para implantar os cloud honeypots. Refere-se ao nó de gerenciamento criado na Etapa 1.
   Honeypot Type	Escolha o tipo do honeypot. As seguintes categorias estão disponíveis: Web Advanced Special Defect System Service Database
   Honeypot Custom Configurations	Marque esta caixa de seleção para configurar atributos personalizados para o honeypot. É possível definir diferentes atributos personalizados para variados tipos de honeypot, construindo soluções alinhadas aos seus cenários de negócios e simulando aplicações mais realistas. Os tipos de honeypot que aceitam atributos personalizados incluem, mas não se limitam a, títulos de sites, imagens de fundo de OA e dados de páginas web. Também é possível configurar previamente os Honeypot Templates e depois importar as configurações clicando em Import Template Configurations. Para obter informações sobre como configurar honeypots personalizados e Honeypot Templates, entre em contato com o suporte técnico.

Etapa 5: Adicionar uma sonda

A sonda é uma ferramenta de redirecionamento de tráfego. Ela desvia o tráfego anômalo de hosts ou redes para o serviço de honeypot. Existem dois tipos de sondas: sondas de VPC e sondas de host.

1. Na página Honeypot Templates, clique na aba Import Template Configurations e escolha Honeypot Templates > Configuration Management ou Probe Management.

2. No painel de configuração da sonda, defina os parâmetros da sonda e clique em Add Probe.

   • A tabela a seguir descreve os parâmetros para adicionar uma sonda de host:

     Parâmetro	Descrição
     Host Probe	Defina o nome da sonda.
     VPC Probe	Selecione o nó de gerenciamento correspondente ao servidor onde a sonda será implantada. Este é o nó de gerenciamento criado na Etapa 1.
     OK	Se você implantar cloud honeypots em servidores de IDC on-premises por meio de um servidor proxy, insira o endereço IP desse servidor proxy. Caso contrário, deixe este campo vazio.
     Probe Name	Selecione o servidor onde a sonda será implantada.
     Manage Nodes	Especifique o nome e a porta de escuta do honeypot para o qual o tráfego de acesso será encaminhado. Nota A porta de escuta é uma porta no host (como uma instância ECS). A sonda redireciona o tráfego para o honeypot através dessa porta. Certifique-se de que nenhum outro serviço no host esteja ocupando esta porta, pois ela é de uso exclusivo da sonda.

   • A tabela abaixo detalha os parâmetros para adicionar uma sonda de black hole de VPC:

     Importante

     Só é possível criar instâncias de honeypot em VPCs da Alibaba Cloud. Não é permitido criar instâncias de honeypot em outras redes. Cada VPC suporta apenas uma instância de honeypot. As sondas de black hole de VPC só podem ser implantadas em regiões específicas. Para mais informações, consulte {{XREF_1}}.

     Parâmetro	Descrição
     Proxy IP Address	Defina o nome da sonda.
     Host for Probe Deployment	Selecione o nó de gerenciamento correspondente ao servidor onde a sonda será implantada. Este é o nó de gerenciamento criado na Etapa 1.
     Configure Service	Escolha a VPC onde a sonda será implantada.
     Probe Name	Especifique o nome e a porta de escuta do honeypot para o qual o tráfego de acesso será encaminhado.

Próximos passos

Depois que os cloud honeypots forem configurados, eles redirecionarão os invasores para aplicações isca por meio das sondas. Os honeypots registrarão as informações de ataque e gerarão eventos de alerta. Visualize e trate esses eventos de alerta para aprimorar a defesa de segurança dos seus servidores e VPCs. Para mais informações, consulte {{XREF_2}}.