В интернете серверы регулярно подвергаются атакам тысяч ботов. Эти автоматизированные программы пытаются проникнуть в систему силой, используя различные уязвимости. Но что именно они делают, если им удается подключиться? В этом материале мы предлагаем вам взглянуть на эту проблему с необычной стороны.
Ранее на этой неделе мы сообщали, что наши семь тестовых VPS-серверов в среднем сталкиваются с 10 000 атак в день только на порт SSH, который используется для удаленного управления машиной. Давайте углубимся в детали этих кибератак.
- Мы разместили семь VPS-серверов в интернете, и каждый из них подвергается в среднем 10 000 атак в день.
Самодельная «медовая ловушка»: Улов оказался значительным, тысячи ботов ежедневно
Для изучения активности ботов мы установили на одном из наших серверов так называемую «медовую ловушку» (honeypot) — специально разработанную приманку, которая создает у ботов иллюзию успешного входа в систему. В частности, мы развернули и настроили инструмент Cowrie на тестовом VPS, который, разумеется, не содержит никаких конфиденциальных данных и предназначен исключительно для сбора информации об атаках.
Cowrie прослушивает порт 22, который является стандартным для SSH, и мы настроили его так, чтобы он пропускал любого пользователя с любым именем и паролем. Таким образом, в нашу ловушку попадают, скорее всего, самые прямолинейные и менее изощренные роботы. Следует отметить, что некоторые продвинутые боты могут обнаружить присутствие «медовой ловушки» и пройти мимо, чтобы не терять время.
Впрочем, для наших целей это не принципиально. Мы не ставим целью быть исчерпывающими, но хотим выявить общие тенденции и характер атак. Уже этого достаточно, чтобы регистрировать несколько тысяч попыток проникновения в день, что дает ценные данные для анализа.