Guide

Honeypot, ovvero il barattolo del miele; l’esca ideale per gli orsi, animali dalla reputazione ingiustamente feroce. Il parallelo con il mondo degli hacker è incredibilmente azzeccato.

Cosa sono gli honeypots? La risposta è semplice quanto disarmante, si tratta sostanzialmente di sistemi fittizi che fanno credere all’hacker di essere riuscito a penetrare in una rete, mentre invece l’unico effetto reale che producono è una serie di log che registrano tutte le attività compiute sulla finta macchina. Lo scopo di tutto ciò è analizzare le tecniche di attacco degli hacker per poi difendersi adeguatamente.

Il più famoso software open source è sicuramente honeyd, il quale si installa su una macchina simulando una serie di host virtuali dal comportamento pressochè reale. Una volta messo in funziona ogni host virtuale è dotato di un indirizzo IP e delle caratteristiche in tutto e per tutto simili ad un vero computer. Il software permette all’hacker di collegarsi ad ogni singolo host virtuale, simulando tutte le fasi di login ma anche il funzionamento di tutto il sistema operativo, ingannando perfino scanner sofitsticati come l’nmap, il quale tenta di riconoscere il sistema operativo della macchina che si sta analizzando.

L’hacker dunque è convinto di collegarsi a computer reali con tanto di applicazioni che girano, mentre invece è di fronte ad un sistema fittizzio, che registra tutte le operazioni che vengono compiute e generando dei ricchissimi file di log pronti per essere analizzati dagli esperti.

Ovviamente, come ogni esca, dev’essere ben camuffata per essere efficace. Un honeypot non dev’essere troppo facilmente accessibile all’hacker (potrebbe insospettirsi), deve simulare un computer vero, quindi deve generare dei tempi di attesa, deve riprodurre in maniera fedele tutti i comportamenti di un sistema reale (messaggi d’errore, output grafico, ecc), ma soprattutto dev’essere posizionato su un segmento di rete altamente protetto, infatti è vero che l’hacker si collega ad un sistema fittizio, ma realizza comunque una connessione su un computer che si trova all’interno della nostra rete.

Se opportunamente configurato (e qui ci vuole un esperto di honeypot che lavori in maniera assidua sul progetto), honeyd puo’ darvi molte soddisfazioni. Non aspettatevi risultati nell’immediato, per essere reale e credibile un honeypot deve rimanere attivo per moltissimo tempo prima di poter produrre risultati. Personalmente ho lasciato attivo un honeyd sulla mia connessione ADSL per più di un anno e in tutto questo periodo solamente una persona ha compiuto attività degne di nota, anche in questo caso ci sono molte persone che si autodefiniscono hacker senza poi concretizzare le loro affermazioni.