SuckerPotLa rete di SuckerPot
Molti honeypot. Una sola segnalazione.
Un honeypot vede un attacco. Molti vedono un pattern. I nodi mettono in comune ciò che osservano, così un host dannoso viene segnalato una volta sola con prove più forti, non molte volte con prove deboli.
Cos'è
Un gruppo a cui aderisci e da cui esci quando vuoi.
- Opt-in. Un nodo che non aderisce non invia nulla.
- Nessun account e nessuna email. Un nodo è al massimo uno pseudonimo facoltativo.
- Si condivide solo ciò che una segnalazione conterrebbe. L'hub non conserva mai l'indirizzo di un nodo.
- I link di malware visti da più nodi vanno ad abuse.ch, dopo una revisione umana.
- Uscire richiede un clic o un comando.
Consenso
Un singolo nodo non può pubblicare nulla.
L'avvelenamento consiste nell'inviare falsi avvistamenti per far inserire in lista un indirizzo innocente. Un bersaglio è confermato solo quando valgono tutte queste condizioni. I numeri sono valori predefiniti che l'operatore dell'hub può cambiare.
Questo rende l'avvelenamento costoso, non impossibile: un operatore paziente con abbastanza nodi ben educati potrebbe far passare un bersaglio falso. La revisione umana delle segnalazioni è l'ultima barriera.
- Almeno 5 nodi idonei l'hanno visto.
- Gli avvistamenti arrivano da almeno due giorni diversi, oppure da 10 nodi.
- Nessuna settimana di adesione fornisce più della metà dei nodi, quindi una serie di iscrizioni fatta in blocco non può confermare da sola.
- Un indirizzo visto da 5 a 9 nodi richiede anche un segnale di cattiva reputazione da una fonte esterna, oppure 10 nodi.
- Un server di comando conta solo con un file scaricato da almeno due nodi idonei.
- I resolver pubblici, i grandi domini CDN e SaaS, i registry di pacchetti e gli intervalli riservati non vengono mai confermati.
- Un nodo idoneo ha almeno 14 giorni di vita e ha inviato dati in almeno 7 degli ultimi 14 giorni.
Rimozioni
La segnalazione ha funzionato?
SuckerPot può seguire i bersagli delle tue segnalazioni: il file dannoso è ancora servito, l'indirizzo attaccante è ancora attivo, quanto ci ha messo la rimozione? Il monitoraggio è facoltativo e disattivato di default.
Non cerca mai di rimando
| Bersaglio | Contattato? |
|---|---|
| Un URL di malware che ha servito un campione al collector | Sì, una singola richiesta limitata attraverso la VPN, nello stesso modo del primo download. |
| Un server di comando e controllo | Mai. Nessuna connessione, nessun ping, nessuna raccolta di banner. |
| Un indirizzo IP attaccante | Mai. Nessuna connessione, nessun ping, nessun traceroute. |
| Qualsiasi host, per scansioni di porte o reverse lookup | Mai. |
Cosa vedi
- Ogni bersaglio ha un solo stato, mostrato con un'icona e una parola: ancora attivo, serve un file nuovo, offline o sconosciuto.
- Un singolo controllo fallito non vuol dire mai offline. Un URL è offline quando i suoi ultimi due controlli concordano e sono distanziati abbastanza.
- Il tempo alla rimozione è un intervallo, per esempio «offline tra le 14:00 e le 20:00, 19 ore dopo la segnalazione».
- La pagina Risultati conta le rimozioni entro 48 ore, solo sui bersagli osservati per tutte le 48 ore.
- I provider che rispondono e quelli che ignorano le segnalazioni sono mostrati fianco a fianco.
Segnalazioni e monitoraggio usano la strada VPN anonima. Gli host di malware e i server di comando confermati possono anche andare ad abuse.ch, dove URLhaus e ThreatFox li elencano per tutti. È disattivato di default e una persona controlla ogni invio.
Aggiungi i tuoi sensori al pool.
Aderire non ti dà alcuna lista privata né una copia anticipata. Rende le liste gratuite più rapide e precise per tutti.