Классические средства защиты создают постоянный поток алертов, среди которых трудно распознать реального злоумышленника. Решения класса Distributed Deception Platform (DDP), напротив, предоставляют SOC высокодоверенные индикаторы компрометации. Это сокращает трудозатраты аналитиков на анализ и корреляцию разрозненных событий.За счет отсутствия «шума» эффективность систем киберобмана сложно оценить «в моменте»: платформа реагирует только на нелегитимную активность в инфраструктуре.Поэтому пилотные внедрения DDP часто проводят параллельно пентестам — это позволяет увидеть, как решение работает в практическом сценарии и какой контекст получает команда ИБ.По данным Xello, в 99% случаев даже самые квалифицированные пентестеры взаимодействуют с приманками и ловушками Xello Deception.Решение о внедрении платформы класса DDP было принято Заказчиком после одного из регулярных пентестов. Проверка показала, что даже при зрелом уровне защиты пентестеры могли перемещаться между сегментами и серверами, а часть действий оставалась вне поля зрения классических средств защиты. Это стало основанием для поиска технологии, которая позволяет выявлять злоумышленника внутри инфраструктуры на ранних этапах атаки.Заказчик протестировал три решения класса DDP и выбрал Xello Deception. Ключевыми факторами стали: широкий набор приманок и ловушек для построения различных сценариев, а также гибкие способы их распространения и управления.После внедрения компания начала поэтапно расширять покрытие инфраструктуры приманками Xello Deception, уделяя приоритетное внимание наиболее критичным сегментам. На текущий момент приманками покрыто около 30% хостов. Специалисты департамента информационной безопасности регулярно проводят ротацию приманок и перераспределяют их по инфраструктуре для повышения качества обнаружения.В инфраструктуре используются ловушки двух типов: Decoy Traps и RealOS Traps.Decoy Traps — позволяет создавать в сети различные ложные устройства (мобильные, сетевые, рабочие станции и серверы) с собственными сетевыми адресами.RealOS Traps — превращает хостовую операционную систему в ловушку. Это позволяет установить на нее любое легитимное программное обеспечение или систему, сделав ее более привлекательной для злоумышленника.Кроме того, с помощью Xello Deception Заказчик эмулирует отдельные системы безопасности.Компания последовательно повышает уровень защищенности и регулярно проводит проверочные мероприятия, включая пентесты.Спустя некоторое время после внедрения Xello Deception Заказчик провел очередной пентест, чтобы оценить эффективность существующих средств защиты и качество мониторинга.В рамках этого пентеста платформа Xello Deception показала результат, который Заказчик отметил как значимый для оценки качества мониторинга.Проверка проводилась по принципу «черного ящика»: пентестеры начинали работу за пределами корпоративного периметра и должны были получить высокие привилегии в ключевых точках инфраструктуры. По легенде, значительная часть команды не знала точку входа и действовала по сценарию, максимально приближенному к действиям реального злоумышленника.
Что произошло в ходе пентеста
В ходе пентеста выявлена критичная ситуация: система 1С с веб-интерфейсом оказалась доступна снаружи. Из-за слабой парольной политики пентестеры получили доступ через веб-интерфейс, а затем перешли на уровень операционной системы (ОС). При этом на сервере отсутствовала активная антивирусная защита, и одним из ключевых механизмов контроля в этом узле фактически оставалась приманка Xello Deception.Как сработала приманка
На этом сервере приманка Xello Deception эмулировала учетную запись доменного администратора. Пентестер воспринял ее как реальную и попытался использовать для развития атаки и горизонтального перемещения. Это дало ИБ-команде Заказчика важное преимущество, позволив специалистам:Сразу увидеть момент взаимодействия с приманкой.
Определить, с какого хоста действует пентестер.
Отследить дальнейшие действия пентестера — попытки проверки и использования захваченной учетной записи на разных опорных точках.
Что это дало Заказчику
Пока команда пентеста продолжала работу, специалисты ИБ использовали срабатывания Xello Deception как инструмент оценки качества мониторинга. Они анализировали:Насколько хорошо видны перемещения внутри сети.
Какие срабатывания происходят.
Где есть «слепые зоны».
Какие элементы цепочки мониторинга и обнаружения стоит усилить.
Результаты
По итогам пентеста Заказчик подтвердил ценность эксплуатации Xello Deception и получил данные, которые помогли повысить эффективность текущего внедрения.Срабатывания платформы предоставили ИБ-команде контекст по действиям пентестеров. В рамках тестового сценария также подтвердилось, что размещение и настройка решения выполнены качественно.После завершения пентеста команда ИБ расширила набор используемых типов приманок и ловушек и адаптировала их под дополнительные сценарии обнаружения. Эффективность изменений подтвердилась уже в ходе следующей проверки: начали срабатывать в том числе те типы приманок, которые ранее не срабатывали.В дальнейшем для адаптации приманок под особенности инфраструктуры Заказчик планирует использовать шаблонизацию, которая позволяет изменять их наполнение:Редактировать текст файлов.
Корректировать скрипты и конфигурации.
Задавать пути распространения и имена файлов.
«Для нас было важно увидеть работу решения в практическом сценарии. В ходе пентеста платформа Xello Deception помогла зафиксировать действия пентестеров и дала полезный контекст, который мы использовали для донастройки и расширения сценариев обнаружения. Теперь ни пентестеры, ни злоумышленники не пройдут незамеченными», —директор по информационной безопасности Заказчика
