Conpot (ICS/SCADA Honeypot)
El estudio realizado por los investigadores en seguridad en una de sus facetas se base en el basarse en los resultados arrojados por un HoneyPot, hoy le ofrezco un interesante tema relacionado con el Conpot (ICS/SCADA…
El estudio realizado por los investigadores en seguridad en una de sus facetas se base en el basarse en los resultados arrojados por un HoneyPot, hoy le ofrezco un interesante tema relacionado con el Conpot (ICS/SCADA Honeypot).
Existen HomeyPots para diferentes escenarios, simulando SSH, SNMP, un servicio HTTP vulnerable etc..
El de hoy es algo especial, ya que se trata de un HoneyPot que simula ser un servicio ICS/SCADA. Ha habido varios incidentes relacionados con los Scada, por no decir que hay algunos de los que se encuentran expuestos en Internet.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012). Este artículo aborda: Conpot (ICS/SCADA Honeypot)
Tabla de Contenido
Conpot (ICS/SCADA Honeypot) ¿Incidentes relacionados con Scada?
Pues por ejemplo: «En junio de 2010, Irán sufrió un severo ataque a parte de infraestructura crítica, principalmente a sus reactores nucleares, a través de un virus denominado Stuxnet, que contaminó el software denominado SCADA (Supervisores de Control y de Adquisición de Datos) utilizada por aquel país, vía un USB que fue introducido a las computadoras por uno de los trabajadores.»
Infraestructuras maliciosas
Igual que para los servicios SNMP o servicios con passwords vulnerables hay infraestructuras maliciosas que se encargan de ir escaneando nodos de red enteros, en busca de servicios de este tipo, identificándolos por ejemplo por el banner de la aplicación o por ciertas respuestas en llamadas a ciertos puertos.
Conpot (ICS/SCADA Honeypot) instalación
Haremos la instalación de Conpot bajo Debian, así que primero instalamos las dependencias:
aptitude install git libsmi2ldbl smistrip libxslt1-dev python-dev libevent-dev python-pip
Ahora bajamos Conpot con el cliente de GIT:
git clone https://github.com/glastopf/conpot
Para instalar todas las dependencias y poder usarlo, ya que tenemos Python Pip instalado hacemos:
pip install -r requeriments.txt
Esto irá instalando todas las dependencias, una detrás de la otra.
Lo único que nos falta es ir al fichero de configuración y adaptarlo a nuestras necesidades.
Después de configurarlo, solo nos queda arrancar Conpot
<pre>2013-04-12 16:09:25,620 Added slave with id 1.
2013-04-12 16:09:25,621 Added block a to slave 1. (type=1, start=1, size=128)
2013-04-12 16:09:25,622 Setting value at addr 1 to [random.randint(0,1) for b in range(0,128)].
2013-04-12 16:09:25,623 Added block d to slave 2. (type=3, start=40001, size=8)
2013-04-12 16:09:25,623 Conpot initialized using the S7-200 template.
2013-04-12 16:09:25,623 Serving on: ('0.0.0.0', 502)
2013-04-12 16:09:27,141 New connection from 127.0.0.1:61493. (b763654f-c9d8-45ae-b35a-824dfc220911)
2013-04-12 16:09:27,141 Modbus traffic from 127.0.0.1: {'request_pdu': '0100010008', 'function_code': 1, 'slave_id': 1, 'response_pdu': '010132'} (b763654f-c9d8-45ae-b35a-824dfc220911)
2013-04-12 16:09:27,142 Modbus traffic from 127.0.0.1: {'request_pdu': '0f0001000801ff', 'function_code': 15, 'slave_id': 1, 'response_pdu': '0f00010008'} (b763654f-c9d8-45ae-b35a-824dfc220911)
2013-04-12 16:09:27,143 Modbus traffic from 127.0.0.1: {'request_pdu': '0100010008', 'function_code': 1, 'slave_id': 1, 'response_pdu': '0101ff'} (b763654f-c9d8-45ae-b35a-824dfc220911)
2013-04-12 16:09:27,144 Client disconnected. (b763654f-c9d8-45ae-b35a-824dfc220911)</pre>
Os animo a que lo podáis probar y compartáis los resultados conHpfeeds
También le puede interesar – https://www.dragonjar.org/curso-gratuito-introduccion-al-Pentesting-2.xhtml
De la investigación a la defensa: los honeypots como parte de una estrategia de seguridad madura
Herramientas como Conpot demuestran el valor de entender al atacante desde adentro: un honeypot industrial bien desplegado revela qué técnicas, qué puertos y qué protocolos están siendo sondeados en internet en este momento. Esa inteligencia de amenazas —qué buscan los atacantes, con qué firmas, desde dónde— es el insumo que permite priorizar defensas reales en lugar de suposiciones.
Pero un honeypot es una pieza de una estrategia mayor. Las organizaciones con programas de seguridad maduros combinan la detección temprana (honeypots, monitoreo, threat intelligence) con la validación ofensiva periódica: pruebas de penetración que confirman si las defensas detectan y responden ante un ataque real. Sin esa validación, la inteligencia recolectada se queda en un tablero sin traducción a acción.
En DragonJAR —comunidad de hackers éticos desde 2001 y empresa de seguridad informática desde 2012— ayudamos a las organizaciones a cerrar ese ciclo: evaluaciones de seguridad ofensivas con metodología documentada, especialistas certificados y entregables que convierten los hallazgos en un plan de mejora medible. La investigación es valiosa; la validación profesional la hace accionable.
Convierta la investigación en defensa real con DragonJAR
Si su equipo ya investiga amenazas con herramientas como honeypots, el siguiente paso es validar que sus defensas responden ante un atacante real. Contáctenos hoy para recibir una cotización de una evaluación de seguridad con alcance definido y entregables accionables.
Explore los servicios de seguridad informática de DragonJAR y lleve su programa de seguridad al siguiente nivel, con acuerdo de confidencialidad y especialistas certificados en seguridad ofensiva.