/ Новости сайта / Меня взломали? Как узнать? CanaryTokens - ловушка для хакера
20Фев CanaryTokens

Меня взломали? Как узнать? CanaryTokens - ловушка для хакера

86

Многие крупные организации используют технологию предупреждения утечки информации с помощью средств honeytoken. Они представляют собой приманку для злоумышленников - хакер проникает в систему, совершает действия, служба безопасности получает об этом сообщение и принимает соответствующие меры. Но, что насчет рядовых пользователей? Не все, но очень многие из нас хоть раз подвергались взлому, а узнавали, когда был нанесен моральный или материальный ущерб. Определить взлом системы довольно сложно, но предотвратить последствия очень просто - canarytokens позволит обнаружить злонамеренные действия и вовремя на них среагировать.

 

Сайт canarytokens что это и для чего он?


В интернете на ежедневной основе происходят нарушения целостности, доступности и конфиденциальности информации. Распространяется все на мега-корпорации, правительство и рядовых пользователей. От ничего не подозревающих бабушек и школьников, до специалистов и профессионалов в области информационной безопасности. Этого не избежать и это простительно. Что не простительно, так это узнать о взломе и утечке информации спустя месяцы или годы.

Canarytokens - это бесплатный, быстрый и безболезненный способ помочь рядовым пользователям и компаниям обнаружить, что их системы скомпрометированы хакерами. Canarytokens - интернет-сайт, который позволяет генерировать и отслеживать токены. Они имеют уникальный идентификатор (который может быть встроен в HTTP URL или в имена хостов). Всякий раз, когда этот URL-адрес запрашивается или имя хоста разрешается, на адрес электронной почты, закрепленный в метке, отправляется уведомление. Как только поступает данное сообщение, мы узнаем, что кто-то открыл документ, а значит, система взломана и у нас может произойти утечка информации.

Разработчиком системы является компания Thinkst. Они акцентируют большое внимание на информационной безопасности и считаются независимой исследовательской компанией. Независимость Thinkst означает, что нет личной заинтересованности в том, чтобы преувеличивать или уменьшать степени влияния той или иной угрозы. Thinkst существует, чтобы вносить ясность в хаос, и повышать качество отношения сигнал/шум.

 

Возможности Canarytokens


Canarytokens - позволяет знать, когда это важно. В качестве токенов-приманок можно сформировать:

↓ Анимированное изображение ► нажмите на него, чтобы посмотреть ↓

Различные варианты токенов-приманок

  • Web bug / URL token (маркер веб-ошибки / URL-адрес) - предупреждение при посещении URL-адреса;
  • DNS token (DNS-метку) - оповещение при запросе имени хоста;
  • Unique email address (уникальный адрес электронной почты) - уведомление при отправке сообщения на уникальный адрес;
  • Custom Image Web bug (пользовательскую веб-ошибка изображения) - информирование, когда изображение, которое вы загрузили было просмотрено;
  • Microsoft Word Document (текстовый документ Microsoft Word) - получать оповещения при открытии документа в Microsoft Word;
  • Acrobat Reader PDF Document (Acrobat Reader PDF документ) - уведомление при открытии PDF-документа в Acrobat Reader;
  • Windows Folder (папку Windows) - сообщение при открытии и просмотре папки Windows;
  • Custom exe / binary (пользовательский exe / двоичный файл) - предупреждение при выполнении EXE или DLL;
  • Cloned Website (клонирование веб-сайта) - оповещение, если кто-то пытается скопировать Ваш сайт;
  • SQL Server (SQL-сервер) - уведомление при доступе к базам данных MS SQL Server;
  • QR Code (QR-код) - создание QR-кода для физических токенов;
  • SVN - сообщение, когда кто-то проверяет репозиторий SVN (Subversion);
  • AWS keys (ключи AWS) - информирование при использовании ключа AWS (Amazon Web Services)$
  • Fast Redirect (быстрое перенаправление) - предупреждение при посещении веб-сайта и перенаправление пользователя;
  • Slow Redirect (медленное перенаправление) - оповещение при посещении URL-адреса и перенаправление пользователя (захват информация Moar).

Можно заметить, что спектр действия canarytokens имеет большие возможности и распространяется на множество ресурсов. Система нам дает возможность создать ловушку под видом легитимного, важного и значимого ресурса. Злоумышленники, получив неправомерный доступ к системе начинают искать наиболее ценные данные: логины и пароли, реквизиты банковских карт, компрометирующие сведения и т.д. Они просматривают папки и файлы на компьютере, читают переписки в социальных сетях и на электронной почте - делают все, чтобы получить максимум от своей добычи.

 

Как работает Canarytokens?


Вы можете без особых трудностей создать свой собственный экземпляр Canarytokens и разместить там, где он точно не останется без внимания потенциального злоумышленника.

Первое, что необходимо сделать - перейти на официальный сайт canarytokens. На момент написания данной статьи, он имеет вид:

Интерфейс canarytokens

Теперь из выпадающего списка нам необходимо выбрать тип токена. Рассмотрим на примере обычного текстового документа Microsoft Word:

Выбираем тип токена - MS Word

Во втором поле, требуется указать адрес электронной почты, который будет закреплен за токеном и куда будут поступать уведомления если он сработает:

Указываем адрес электронной почты

В третьем и последнем поле указываем комментарий, описывающий, где используется маркер. Если токен активируется через несколько месяцев или пару лет, комментарий поможет Вам вспомнить, где была размещена ловушка. Опишите его подробно и, как можно конкретнее (например, "путь расположения файла" или "адрес электронной почты" или любые другие сведения, которые Вам помогут его идентифицировать):

Пишем подробный комментарий

Разработчики учитывают, что использование приманок не ограничивается только одним элементом, их может быть множество, в разных системах и на разных ресурсах.

После того, как все поля заполнены - нажимаем кнопку "Create my Canarytoken":

Нажимаем

Теперь мы видим страницу, с текстом "Your MS Word token is active!" или "Ваш токен MS Word активен!". Здесь нам необходимо нажать на кнопку: "Download your MS Word file" и сохранить файл там, где он будет привлекать внимание потенциального хакера:

Загружаем и сохраняем canarytokens

Мы получим уведомление, когда будет открыт документ Microsoft Office, в Windows или Mac OS. При этом, можно переименовать документ, не влияя на его работу. Наименование должно формироваться максимально привлекательным для злоумышленника, например "Не открывать!", "Мои пароли от соц. сетей", "Логин и пароль" и т. д.:

Придумываем наименования для докуме

Если открыть файл - он будет пустой:

Открываем файл для проверки

Однако это не значит, что он не работает. Переходим в электронную почту и видим сообщение с темой "Your Canarytoken was Trig":

Информационное сообщение на электро

Открываем сообщение и видим подробную информацию о действии:

Подробный вид сообщения от canaryto

Из сообщения мы можем узнать такие детали:

  • через какой канал произошло действие;
  • время и дату;
  • обозначение токена;
  • комментарий для идентификации;
  • тип canarytokens;
  • IP-адрес с которого был открыт документ;
  • агент пользователя.

Внизу сообщения есть еще две ссылки управления canarytoken'ом:

Дополнительные возможности

Первая из них: "Manage this Canarytoken here", открывает страницу, где присутствуют настройки:

Настройки токена

Можно посмотреть историю метки и убрать уведомление, если в них больше нет необходимости. Так же, есть ссылка для повторного скачивания canarytokens.

Вторая ссылка: "More info on this token here", позволяет посмотреть еще более подробную информацию о действии с токеном:

Полная информация про хакера

Здесь мы видим ориентировочное расположение "злоумышленника" на карте, его страну, город, область, информацию об интернет-провайдере.

В случае использования браузера TOR или других специализированных программ - информация может не соответствовать действительности.

О том, как работает сервис и какое применение ему можно найти, смотрите в видео от блоггера "Алекс rempc by":

 

Заключение


Canarytokens - отличное средство для предупреждения о нарушении безопасности. Оно бесплатное, не требует больших системных ресурсов и более того - не требует никакой поддержки. Достаточно единожды сформировать свои токены и можно о них не вспоминать, до тех пор, пока они сами о себе не дадут знать.

Держите их у себя на компьютере, телефоне или планшете. Разместите в социальных сетях и в мессенджерах. Отправьте себе на почтовый ящик сообщение с токеном и не читайте его - пусть находится в папке "Входящее" и привлекает внимание потенциального хакера. 

В наших руках масса возможностей, нас ограничивает только воображение. 


Статья для Вас была полезной? Расскажите о ней в социальных сетях:




Комментарии 0

avatar
Наверх