El uso de ordenadores trampa para cazar a los intrusos crece en las empresas y los cuerpos policiales

En los ¨²ltimos 18 meses, han aumentado las tecnolog¨ªas para crear honeypots (m¨¢quinas trampa o, literalmente, tarros de miel), seg¨²n SecurityFocus. Son ordenadores que los investigadores conectan a Internet, expresamente sin proteger, para que atraigan a los intrusos y poder monitorizar sus movimentos, con el fin de estudiar sus herramientas y formas de ataque.

Los honeypots se basan en una vieja t¨¢ctica de seguridad que consiste en no desconectar un PC que ha sido atacado, a la espera de que el intruso regrese y espiar sus pasos. Cliff Stoll relata en El huevo del cuco (1989) c¨®mo us¨® la t¨¦cnica para descubrir a un grupo de alemanes que robaba secretos de ordenadores militares norteamericanos y los vend¨ªa al KGB. La vieja t¨¦cnica se redefin¨ªa en 2000 con la aparici¨®n de Honeynet: una red permanente de m¨¢quinas trampa coordinada por voluntarios.

Hay un muchas soluciones para crear honeypots: comerciales, como KFSensor, y libres, como Honeyd.

Recientemente, Rediris convocaba un reto de an¨¢lisis forense que consist¨ªa en diseccionar un ordenador trampa. Rediris cuenta, desde 2001, con un proyecto de red de m¨¢quinas trampa en el que participa Francisco Monserrat, de IRIS-CERT: "Para montar una buena red hacen falta m¨¢quinas, tiempo para analizar los resultados y c¨®mo aplicarlos. Una m¨¢quina trampa no tiene sentido para un usuario o una pyme, ya que no van a tener ataques en su contra, sino ataques aleatorios, dirigidos a cualquiera que tenga funcionando el programa que emplea una vulnerabilidad". Pero, en redes grandes y grupos de seguridad, las trampas son ¨²tiles, dice Monserrat, "para analizar si un problema de seguridad en un programa de uso com¨²n es muy atacado y as¨ª avisar a los usuarios, o como se?uelo, dejando la m¨¢quina protegida ante ataques externos pero no ante los ataques internos. Adem¨¢s, sirven como laboratorio donde probar los conocimientos de an¨¢lisis forense digital, para despu¨¦s aplicarlos".

Un riesgo es que, una vez comprometida la m¨¢quina, los intrusos la usen para atacar otras. Seg¨²n Monserrat, puede evitarse: "Hay m¨¦todos, como limitar el tr¨¢fico que sale del equipo o instalar detectores que avisan cuando el intruso empieza a lanzar ataques y los cortan. Otras m¨¢quinas trampa se bloquean cuando el atacante intenta ejecutar operaciones. Todo el tr¨¢fico con destino y origen a esta m¨¢quina es monitorizado, por lo que se puede seguir el rastro del atacante".

El inter¨¦s por los honeypots es tal que la polic¨ªa brit¨¢nica ha puesto en marcha uno para ped¨®filos. Pero, seg¨²n Monserrat, tienen inconvenientes: "Requieren una monitorizaci¨®n exhaustiva y s¨®lo captura ataques aleatorios". Lance Spitzner, de Honeynet, cuenta que otro peligro radica en que se descubra que es una trampa: "Mientras crece el uso de honeypots, vemos nuevas herramientas y t¨¦cnicas para hallarlos, como el Honeypot Hunter, usado por la industria del correo basura para identificar honeypots especializados en pescar spam".