От обнаружения — к автономной реакции
Следующий этап развития deception — сделать так, чтобы система не только фиксировала действия атакующего, но и могла автоматически перестраивать среду и запускать реакцию.
Ответные действия непосредственно на ловушке
С учетом автоматизации атак Honeypot и Deception-системам тоже приходится реагировать быстрее.
Помимо стандартного IRP-процесса, в HoneyCorn уже предусмотрена возможность задать реакцию непосредственно для ловушки.
Среди типовых вариантов — автоматическое переразвертывание ловушки или сканирование IP-адреса, с которого была зафиксирована попытка взлома.
То есть обнаружение становится не конечной точкой, а триггером следующего действия.
Автономное развертывание по требованию
Современная атака может развиваться быстро, поэтому интересный сценарий — создание ловушки уже в ответ на обнаруженную подозрительную активность.
HoneyCorn движется в эту сторону через интеграционное API для SOAR.
Дальнейший шаг — динамическая генерация ловушки с параметрами конкретного сегмента сети и автоматическое развертывание там, где появилась подозрительная активность.
Фактически deception-ландшафт начинает перестраиваться в зависимости от ситуации.
Однонаправленная передача данных из закрытых сегментов
Отдельная задача возникает в промышленной и финансовой инфраструктуре, где защищаемый контур не должен иметь исходящих соединений.
Для этого может использоваться однонаправленная передача данных — data diode.
Honey Corn уже тестировался совместно с InfoDiode: ловушки внутри изолированного сегмента фиксируют активность, а телеметрия передается в SOC через физически односторонний канал.
Это позволяет использовать deception в средах с жесткими требованиями к изоляции.
Обмен IoC между инсталляциями
Еще один вектор развития — объединение информации, которую получают разные инсталляции.
Отдельная система формирует собственные контекстные IoC. Если добавить данные других инсталляций и открытых источников с автоматической проверкой актуальности, получается уже распределенная сенсорная сеть.
Атака, замеченная в одной инфраструктуре, потенциально может дать дополнительный контекст для защиты других. Именно здесь deception перестает быть просто набором ловушек.
Система постепенно превращается в динамическую среду, которая обнаруживает действия атакующего, собирает данные, меняет собственную конфигурацию и запускает ответные действия.
#HoneyCorn #Deception #SOC