هل أنظمة مصائد الاختراق (Honeypot) مفيدة فعلاً لخادم شركة صغيرة؟

رؤية عشرات الآلاف من الطلبات يومياً أمر طبيعي جداً ناتج عن روبوتات المسح التلقائي المنتشرة على الإنترنت. حتى لو نصبت honeypot، ستسقط هذه الروبوتات فيه وتخبرك بما تعرفه مسبقاً: الإنترنت مليء بالبوتات. وحتى لو أعددت فخاً منخفض التفاعل، فلا يمكنك وضعه على نفس الشبكة المحلية الافتراضية مع شبكتك الأساسية، بل يلزمك شبكة فرعية منفصلة وقواعد جدار حماية صارمة.

ملاحظة: سُئل هذا أدناه، وكتبت الإجابة في الرسالة الثانية.

انسَ نصيحة المستشار حالياً. تغيير رقم المنفذ الافتراضي، وإلغاء الدخول بكلمة سر وقصره على ملف المفتاح، وتثبيت أداة حماية بسيطة تحظر المحاولات الفاشلة مؤقتاً سيوقف كل عمليات المسح اليومية تقريباً فوراً. ستحل المشكلة في ساعتين وبدون أي تكلفة.

العام الماضي، ومن باب الفضول، شغلنا مصيدة ssh مفتوحة المصدر على خادم غير مستخدم. جمعت أكثر من 140 ألف محاولة دخول و800 اسم مستخدم مختلف في 3 أيام. صار أحد مبرمجينا يقضي 4 ساعات أسبوعياً لتنظيف هذه البيانات غير المفيدة. بعد شهر أغلقنا النظام بالكامل لأننا لم نستفد منه بأي معلومة عملية.

هل وضح المستشار من سيتابع السجلات بعد إعداد هذا الفخ؟ هل لديكم مركز عمليات أمنية لإدارة التنبيهات، أم أنكم ستكتفون بتثبيته وتركه جانباً؟ ما الجدوى من نصب فخ إذا لم تخصصوا ميزانية لتحليل التقارير بشكل أسبوعي؟

ما في داعي أبداً يا أستاذ. المستشار غالباً بيحاول يبيعكم نفس القالب الجاهز اللي بيستخدمه مع الشركات الكبيرة. أغلقوا منفذ SSH للخارج أو خلوه ورا VPN وبيكون كافي جداً. أصلاً قراءة السجلات بدها عُمر وما بتخلص.

الـ Honeypot ليس أداة دفاعية، بل هو أداة لجمع معلومات التهديدات والبحث الأمني. الشركات الضخمة التي تضم مئات الموظفين ولديها فريق أمني خاص تستخدمه لاكتشاف أساليب الهجوم الجديدة مبكراً. أما شركة برمجيات مكونة من 12 شخصاً فلا تملك الرفاهية التشغيلية لدراسة سلوك المهاجمين.

الموضوع واضح جداً. الفخ الأمني لا يمنع الهجوم، بل يوثقه فقط. وأنتم لستم بحاجة لتحليل السجلات، بل بحاجة لإقفال الأبواب بإحكام. بمجرد إغلاق المنافذ المفتوحة للخارج والاعتماد على المصادقة عبر المفاتيح، ستختفي كل هذه التساؤلات تماماً.

زالت حيرتي، شكراً لكم. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية. بالتوفيق.

إذا لم أخطئ الفهم، فأنت تقول: المسألة ليست الرقم، بل الأساس الذي بُني عليه.

بعد تجربة ذلك، تغيرت نظرتي للأمور. محاولة فعل هذا بمفردك هي أغلى الطرق.

محاولة فعل هذا بمفردك هي أغلى الطرق.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

بالتوفيق.

سأجرب ذلك.

لم أكن أعلم بهذا.

لا تتجاهل شيئاً: نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.. لكن إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

هناك شيء يجب الانتباه إليه. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

دعني أتركها كملاحظة، قد تكون مفيدة.

دعوني ألخص ما قيل حتى الآن. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

بالتوفيق.

يجب أن نسير بالترتيب. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

دعني أتركها كملاحظة، قد تكون مفيدة.

سأدافع عن الرأي المعاكس، لا تغضبوا. فعل الجميع لشيء ما لا يعني أنه صحيح.

بالتوفيق.