سایسا نخستین راهنمایش درباره طعمههای سایبری را منتشر کرد
سیمهای تله، خردهنانها و توکنهای عسل، نگاشته بر MITRE ATT&CK و Engage، ساختهشده از ابزارهایی که بهرهبردارها از پیش دارند. هدف، نفوذگری است که با اعتبارنامه معتبر وارد میشود و هیچ هشداری را فعال نمیکند.
روز ۱۶ سپتامبر سایسا سندی با عنوان «استفاده از طعمههای سایبری برای تقویت تشخیص و پاسخ» منتشر کرد که این آژانس آن را نخستین توضیح مفصلش درباره فرایند طعمه سایبری دفاعی توصیف میکند. مخاطبش دولت فدرال، صنعت، کسبوکارهای کوچک و متوسط، و دولتهای ایالتی و محلی و قبیلهای و منطقهای است.
مسئلهای که به آن میپردازد فعالیت «زیستن از زمین» است: نفوذگری که با اعتبارنامه معتبر وارد میشود و با ابزارهای مدیریتی موجود روی خود سامانه کار میکند. چیز مخربی دانلود نمیشود، پس چیزی هم فعال نمیشود. کریس بوترا، سرپرست معاونت اجرایی امنیت سایبری سایسا، پاسخ را چنین چارچوببندی کرد: شبکهها را برای مهاجم به جای نامهربانی بدل کنیم و تابآوری در برابر نفوذ را بالا ببریم.
سه مفهوم در سراسر راهنما جریان دارد. سیم تله و خردهنان جوری گذاشته میشوند که پا به آنها بگیرد و دنبال شوند. توکن عسل دادهای است که هیچ کاربرد تجاری مشروعی ندارد — نام کاربری و گذرواژه جعلی، کلید API، سند، رکورد پایگاه داده، توکن دسترسی ابری — تا هر تعاملی با آن بهشدت بر فعالیت غیرمجاز دلالت کند. هر سه بر ماتریس MITRE ATT&CK و چارچوب MITRE Engage نگاشته شدهاند و مکمل معماری اعتماد صفر معرفی میشوند نه جایگزین آن.
توصیه تدارکاتی بهطور غیرمعمولی صریح است. سایسا به سازمانها میگوید به جای خرید محصول فریب، ابزارهایی را که از پیش دارند بازاستفاده کنند — سکوهای EDR، مدیریت هویت و دسترسی، جلوگیری از نشت داده — و تیمهای با بودجه محدود را به گزینههای متنباز برای تولید و استقرار توکن و هشداردهی ارجاع میدهد. منافع ادعاشده عبارتاند از تشخیص زودتر، اطلاعات درباره رفتار مهاجم، تخصیص بهتر منابع و میانگین زمان تشخیص کمتر.
اتفاقا شبکههای OT برای این رویکرد مناسباند. ترافیک قابل پیشبینی است و هیچکس دلیل مشروعی ندارد که به ایستگاه کار مهندسی جعلی وارد شود یا از اعتبارنامه کاشتهشده پیالسی استفاده کند، پس نرخ هشدار نادرست به صفر نزدیک میشود. برای کارخانهای که مرکز عملیات امنیت ندارد، چند توکن عسل کمتر از قرارداد پایش هزینه دارد و ممکن است نخستین نشانهای باشد که کسی دارد شبکه را قدم میزند.