Fangstnett for trusler: Slik setter du opp en Fortigate VPN-honeypot
VPN-angrepene som går under radaren
VPN-gatewayen din blir skannet akkurat nå. Fortigate-brukere og andre SSL-VPN-løsninger opplever kontinuerlig sondering fra trusselaktører som kartlegger sårbarheter og tester svar. Dette er ikke hypotetiske scenarier, men en del av hverdagen for alle som har åpne VPN-endepunkter i 2024.
De fleste organisasjoner får bare øye på mislykkede innloggingsforsøk i loggene. Bak disse tilsynelatende tilfeldige trafikkene skjuler seg imidlertid systematisk kartlegging og forsøk på å utnytte kjente sårbarheter.
Hva er egentlig en VPN-honeypot?
En honeypot er en felle som etterligner ekte infrastruktur. En Fortigate VPN-SSL-honeypot ser ut som en vanlig bedrifts-VPN, med autentiske påloggingssider og realistiske feilmeldinger, men den er isolert og overvåkes nøye.
Når angripere interagerer med den, avslører de verktøyene og metodene sine uten å komme nær den faktiske produksjonsnettverket. Det er som å observere en innbruddstyv som tester låser, mens han ikke vet at han er på overvåket område.
Hvorfor Fortigate?
Fortigate-apparater er utbredt i både store og små organisasjoner. Derfor er de:
- Attraktive mål for angripere som søker bred effekt
- Ofte utsatt for kjente VPN-sårbarheter
- Bærere av sensitiv autentiseringsinformasjon når de blir kompromittert
Ved å studere hvordan Fortigate-enheter blir angrepet, får sikkerhetsmiljøet bedre grunnlag for å beskytte hele bransjen.
Intelligence gjennom bedrag
En godt bygget honeypot følger angrepsforløpet fra start til slutt.
Rekognosering – Ser hvilke porter angripere skanner, hvilke sårbarke