Honeycorn | Система кибериллюзий

Что, если атакующий сам приведет нас к своим следам?

В «Цифровой западне» мы используем ложные цели, каскадные ловушки и SOC-аналитику, чтобы не просто фиксировать попытку атаки, а видеть, что злоумышленник делает дальше.

Ловушки собирают телеметрию и IoC, помогают выявлять разведку, попытки закрепления и развитие атаки. Полученные данные можно использовать для дальнейшего анализа и превентивной защиты.

В Telegram рассказали подробнее, как устроен сервис, какие сценарии используются и как работает связка ловушки → SOC → IoC → реагирование.

Там же можно скачать презентацию по «Цифровой западне».

Перейти в Telegram → https://t.me/honeycorn_cyber

#HoneyCorn #ЦифроваяЗападня #SOC

PHP2Shell раскрыт — начинаем наблюдать

21 октября 2026 года были раскрыты две критические RCE-уязвимости в PHP — CVE-2026-109618 и CVE-2026-109619. Они получили общее название PHP2Shell и оценку 9.2 по CVSS.

Для команды ИБ здесь важен не только сам факт появления новой уязвимости.

Проблема в другом: в первые часы и дни после раскрытия обычно еще мало информации о том, как именно уязвимость будут эксплуатировать на практике и какие сценарии появятся у атакующих.

В HoneyCorn для таких случаев мы используем генеративный ИИ.

Модель позволяет создавать высокоинтерактивные ханипоты по текстовому запросу или идентификатору CVE. Это сокращает время между появлением новой уязвимости и развертыванием специализированной ловушки.

В случае PHP2Shell можно быстро создать контролируемую среду, которая имитирует уязвимый PHP-сервис и позволяет наблюдать за тем, что атакующий делает после попытки эксплуатации.

И вот здесь начинается самое интересное.

Низкоинтерактивная ловушка в основном покажет сам факт подключения или попытки эксплуатации.

Высокоинтерактивная позволяет пойти дальше и посмотреть:

— какие запросы и payload использует атакующий
— какие команды выполняет после получения доступа
— пытается ли закрепиться в системе
— какие скрипты и файлы загружает
— какие инструменты и техники использует
— какие IoC можно получить из этой активности.

Дальше эти данные можно использовать в SIEM и SOAR, передавать в SOC, применять для Threat Hunting, правил обнаружения и автоматизированного реагирования.

Ловушка в таком сценарии дает значительно больше, чем сам факт попытки эксплуатации. Она позволяет увидеть, как развивается атака после получения доступа и какие действия предпринимает злоумышленник дальше.

Для новых CVE это особенно важно: готовых сигнатур и накопленной практики еще может быть мало, а реальное поведение атакующих уже можно наблюдать.

Генеративный ИИ помогает быстрее адаптировать deception-инфраструктуру под такие угрозы и сокращать время между публикацией уязвимости и появлением рабочего инструмента наблюдения.

#HoneyCorn #Deception #PHP2Shell

Архитектура распределенной инфраструктуры киберловушек HoneyCorn для крупных сетей

Для крупных распределенных сетей оптимальным подходом к построению инфраструктуры киберловушек на базе HoneyCorn является создание единой централизованно управляемой системы с распределенными сенсорами, размещенными в ключевых сегментах корпоративной инфраструктуры.

Такая архитектура позволяет выявлять действия злоумышленников на ранних этапах атаки, контролировать попытки горизонтального перемещения и формировать индикаторы компрометации (IoC) для оперативного реагирования.

В некоторых случаях используются отдельные инсталляции для решения специфических задач:

— сбор индикаторов с периметра сети
— мониторинг закрытых сегментов.

Для этих же целей может использоваться интеграция с Infodiode с установкой ловушек с односторонней связью с сервером решения HoneyCorn.

При использовании решения в холдинговых инфраструктурах применяется такая сущность, как актив. К активу привязываются конкретные экземпляры ловушек, а по активам можно разделять доступ, управление и визуализацию в рамках одной инсталляции.

Основные принципы построения архитектуры

1. Распределенное размещение ловушек
Ловушки разворачиваются на периметре сети, в DMZ, пользовательских сегментах, филиалах, центрах обработки данных и облачных средах.
Их размещение определяется критичностью активов и потенциальными маршрутами продвижения злоумышленника, а не только количеством сетевых узлов.

2. Централизованное управление
Единая управляющая платформа HoneyCorn обеспечивает контроль жизненного цикла ловушек, управление конфигурациями, инвентаризацию, обновление и мониторинг состояния распределенной инфраструктуры.

Использование типовых профилей позволяет унифицировать развертывание в филиалах и сокращать эксплуатационные затраты. Использование активов позволяет гибко распределять доступ и визуализацию.

3. Масштабирование на основе контейнеризации
Контейнерная модель позволяет оперативно развертывать, обновлять и восстанавливать ловушки.
Для безопасности и удобства используется собственное облачное или локальное хранилище образов. Также есть технология быстрого создания ловушек с использованием искусственного интеллекта.

4. Интеграция с SOC и SIEM/SOAR
События от ловушек передаются в системы мониторинга и реагирования для корреляции, расследования инцидентов и формирования IoC.

Связывание срабатываний из разных сегментов позволяет выявлять последовательные этапы атаки и быстрее определять масштаб компрометации.

Есть готовые интеграции с KUMA, PT SIEM и Versium.

5. Безопасность инфраструктуры
Необходимо применять сетевую сегментацию, разграничение полномочий, защищенные каналы управления, контроль образов контейнеров и ограничение доступа ловушек к производственным системам.

Автоматическое реагирование должно выполняться по согласованным политикам с учетом возможного влияния на легитимный трафик.

Рекомендуемый порядок внедрения

Инвентаризация сети и определение критичных сегментов → пилотное развертывание → создание типовых профилей ловушек → автоматизация массового размещения → интеграция с SOC → последующая оптимизация покрытия по результатам киберучений и реальных событий.

Результат

Распределенная инфраструктура HoneyCorn обеспечивает масштабируемое обнаружение подозрительной активности, повышает наблюдаемость внутренних сегментов сети, ускоряет выявление атак и формирование IoC, а также снижает трудозатраты на развертывание и сопровождение ловушек.

Ключевым фактором эффективности является не максимальное количество приманок, а их грамотное размещение, достоверность событий и интеграция с процессами информационной безопасности организации.

#HoneyCorn #Deception #АрхитектураИБ