হানিপট (Honeypot): ধারণা, প্রকার, বাস্তবায়ন এবং সিকিউরিটি অপারেশনে ব্যবহার
হানিপট (Honeypot) হলো একটি ইচ্ছাকৃতভাবে আটাকের লক্ষ্য বানানো ডিকয় (Decoy) সিস্টেম, সার্ভিস বা নেটওয়ার্ক রিসোর্স যা আসল প্রোডাকশন এনভায়রনমেন্ট থেকে আলাদা থাকলেও আসল লাগে। এর মূল উদ্দেশ্য: আটাককারীকে আকৃষ্ট করা, তাদের টেকনিক, টুল এবং উদ্দেশ্য অধ্যয়ন করা, আসল অ্যাসেট থেকে দূর রাখা এবং থ্রেট ইন্টেলিজেন্স সংগ্রহ করা।
হানিপট কীভাবে কাজ করে? (Mechanism)
- ডিপ্লয়মেন্ট: হানিপটকে নেটওয়ার্কে স্ট্র্যাটেজিকলি প্লেস করা হয় (DMZ, ইন্টারন্যাল সেগমেন্ট, ক্লাউড, IoT সেগমেন্ট) — আসল সিস্টেমের সাথেই দেখানোর চেষ্টা করা হয়।
- লিউর (Lure): ওপেন পোর্ট, ডিফল্ট ক্রেডেনশিয়াল, ফেক ফাইল (passwords.txt, config.bak), ভালনারেবল সফ্টওয়্যার ভার্সন — আটাককারীকে আকৃষ্ট করে।
- ইন্টারঅ্যাকশন ক্যাপচার: আটাককারীর সকল ক্রিয়াকলাপ (কমান্ড, ফাইল আপলোড/ডাউনলোড, নেটওয়ার্ক ট্রাফিক, কীস্ট্রোক) লগ করা হয়।
- অ্যালার্টিং: SOC/SIEM-এ রিয়েল-টাইম ألার্ট জেনারেট হয় — "Honeypot interaction detected from IP X.X.X.X"।
- অ্যানালাইসিস: আটাক প্যাটার্ন, ম্যালওয়্যার স্যাম্পল, C2 সার্ভার, টুলসেট (MITRE ATT&CK ম্যাপিং) বিশ্লেষণ করা হয়।
- রেসপন্স: ব্লকলিস্ট আপডেট, সিগনেচার তৈরি, থ্রেট হান্টিং, লিগ্যাল অ্যাকশন (যদি প্রযোজ্য)۔
হানিপটের প্রকার (Types of Honeypots) — ইন্টারঅ্যাকশন লেভেল অনুযায়ী
| প্রকার | ইন্টারঅ্যাকশন লেভেল | বিবরণ | উদাহরণ টুল | রিস্ক |
|---|---|---|---|---|
| Low-Interaction | সীমিত (Emulated Services) | সার্ভিস অনুকরণ করে (SSH, HTTP, FTP, Telnet, SMB) — কোনো রিয়েল OS/অ্যাপ নয়। লাইটওয়েট, ডিপ্লয় সহজ, লোগিং বেসিক। | Cowrie (SSH/Telnet), Dionaea (Malware), Honeytrap, Glastopf (Web), Conpot (ICS/SCADA) | কম (Real OS নেই, এস্কেপ রিস্ক নেই) |
| Medium-Interaction | মাঝারি (Partial Real Services) | রিয়েল অ্যাপ্লিকেশন রান করে কিন্তু আইসোলেটেড (Container/VM) — বেশি ফাংশন্যালিটি, আরও রিয়েলিস্টিক লগ। | Kippo (SSH), HoneyPy, MSSQL Honeypot, MongoDB Honeypot | মাঝারি (Container Escape রিস্ক) |
| High-Interaction | পূর্ণ (Real OS/Applications) | পূর্ণ রিয়েল সিস্টেম (VM/Bare Metal) — আটাককারী ফুল কন্ট্রোল পায়, সবচেয়ে রিয়েল ডেটা। রিসোর্স 헤ভি, হাই রিস্ক। | Honeynet (Multiple VMs), Physical Honeypot, Virtual Honeypot (VMware/KVM) | উচ্চ (Escape → Host/Network Compromise) |
উদ্দেশ্য অনুযায়ী শ্রেণিবিন্যাস
- Production Honeypot: সংগঠনের নেটওয়ার্কে ডিপ্লয়ড — আর্লি ওয়ার্নিং, আটাককারী টাইম ওপশন, IDS/IPS টিউনিং। সাধারণত Low/Medium Interaction।
- Research Honeypot: একাডেমিক/সিকিউরিটি ভেন্ডর রিসার্চের জন্য — ম্যালওয়্যার কালেকশন, বটনেট ট্র্যাকিং, জিরো-ডে ডিসকভারি, আটাককারীর মনোভাব অধ্যয়ন। High-Interaction সাধারণ।
- Client Honeypot (Honeyclient): ক্লায়েন্ট-সাইড আটাক ডিটেক্ট করতে (Malicious Website, Drive-by Download, Phishing Link) — ব্রাউজার/ডকুমেন্ট রিডার এমুলেট করে।
- Database / Web App / IoT / SCADA Honeypot: স্পেসিফিক সার্ভিস/প্রোটোকল টার্গেটেড (MongoDB, Redis, Elasticsearch, Modbus, S7comm)۔
হানিনেট (Honeynet)
হানিনেট হলো একাধিক হানিপটের নেটওয়ার্ক যা একটি কন্ট্রোল্ড এনভায়রনমেন্টে (হানিওয়াল/Honeywall পিছনে) ডিপ্লয় করা হয়। হানিওয়াল সব ট্রাফিক মোনিটর, লগ, কন্ট্রোল এবং ক্যাপচার করে। আটাককারী পূর্ণ নেটওয়ার্ক দেখে — লেটারাল মুভমেন্ট, প্রিভিলেজ এস্কেলেশন, ডেটা এক্সফিলট্রেশন অ্যাসেসমেন্ট সম্ভব।
হানিপট বাস্তবায়নের সেরা অভ্যাস (Best Practices)
- আইসোলেশন (Isolation): হানিপটকে প্রোডাকশন নেটওয়ার্ক থেকে কমপ্লিটলি আলাদা VLAN/সাবনেট/ফায়ারওয়াল জোনে রাখুন। আউটবাউন্ড ট্রাফিক ব্লক/মোনিটর করুন (C2 কানেকশন রোধ)।
- মোনিটরিং ও লগিং: ফুল প্যাকেট ক্যাপচার (PCAP), সিস্টেম কল লগ (Auditd, Sysmon), কীস্ট্রোক লগ (TTYLog), ফাইল ইন্টিগ্রিটি মোনিটরিং (AIDE/Wazuh)। SIEM-এ ফরওয়ার্ড করুন।
- লégal ও ইথিক্যাল কমপ্লায়েন্স: এন্ট্রাপমেন্ট (Entrapment) এড়ান — হানিপটকে "আকর্ষণ" করাই উচিত, "উকসানো" উচিত নয়। ডেটা রিটেনশন পলিসি, প্রাইভেসি ল (GDPR) মেনে চলুন।
- ডিসেপশন টেকনোলজি প্ল্যাটফর্ম: এন্টারপ্রাইজে ম্যানুয়াল হানিপট বজায় রাখা কঠিন। ব্যবহার করুন: Attivo Networks (ThreatDefend), Illusive Networks, TrapX (DeceptionGrid), Cymmetria, Acalvio, Fidelis Deception — অটোমেটেড ডিকয় ডিপ্লয়মেন্ট, ব্রেডক্রাম্ব (Breadcrumb/Leitmotif), অ্যাডাপ্টিভ রেসপন্স।
- থ্রেট ইন্টেলিজেন্স ইন্টিগ্রেশন: হানিপট লগ → MISP, OpenCTI, STIX/TAXII → আটাককারী IP, TTP, IOC শেয়ারিং → ফায়ারওয়াল/EDR/IPS ব্লক লিস্ট আপডেট।
- রেগুলার মেইনটেনেন্স: ফার্মওয়্যার/ওএস প্যাচ, লগ রোটেশন, ডিস্ক স্পেস, হেলথ চেক (হানিপট নিজে কম্প্রোমাইজড হয়নি নিশ্চিত করা)।
হানিপট ব্যবহারের ফায়দা (Benefits)
- অর্লি ডিটেকশন: আটাককারী প্রোডাকশন পর্যন্ত পৌঁছানোর আগেই ডিটেক্ট হয় (Dwell Time কমায়)।
- থ্রেট ইন্টেলিজেন্স: রিয়েল-ওয়ার্ল্ড আটাক TTP, ম্যালওয়্যার স্যাম্পল, এক্সপ্লয়িট কোড, টুলসেট।
- ফালস পজিটিভ কম: হানিপটে যেকোনো ট্রাফিক সন্দেহজনক (লেজিটিমেট ইউজার হানিপটে আসে না)।
- আটাককারীর টাইম ওপশন: আটাককারী হানিপটে ব্যস্ত থাকে → আসল অ্যাসেট সুরক্ষিত থাকে।
- ইনসাইডার থ্রেট ডিটেকশন: অভ্যন্তরীণ দূষিত কর্মী হানিপটে অ্যাক্সেস চেষ্টা করলে তাত্ক্ষণিক ألার্ট।
- ইনসিডেন্ট রেসপন্স প্র্যাকটিস: SOC টিমের জন্য রিয়েলিস্টিক ট্রেনিং গ্রাউন্ড।
সীমাবদ্ধতা ও রিস্ক (Limitations & Risks)
- শুধু ইন্টারঅ্যাক্ট করা আটাককারী ডিটেক্ট হয় — প্যাসিভ রিকন/স্ক্যানিং মিস হয়।
- হাই-ইন্টারঅ্যাকশন হানিপট কম্প্রোমাইজ হলে লেটারাল মুভমেন্ট রিস্ক।
- রিসোর্স ইনটেনসিভ (High-Interaction) এবং এক্সপার্টাইজ দরকার।
- স্মার্ট আটাককারী হানিপট শনাক্ত করতে পারে (Fingerprinting: VM Artifacts, Timing, Missing Services, Kernel Version) — এড়াতে Realistic Environment + Deception Platform।
- লিগ্যাল লায়াবিলিটি: আটাককারী হানিপট থেকে থার্ড পার্টি আটাক করলে দায়될 কে?
প্রচলিত ওপেন সোর্স হানিপট টুলস (২০২৪)
- T-Pot (Deutsche Telekom): ডকার-ভিত্তিক মাল্টি-হানিপট প্ল্যাটফর্ম (Cowrie, Dionaea, Honeytrap, ADBHoney, Elasticsearch/Kibana Dashboard) — সবচেয়ে পপুলার, ইزی ডিপ্লয়।
- Cowrie: SSH/Telnet High-Interaction Honeypot (Python) — ফুল ফাইল সিস্টেম সিমুলেশন, ম্যালওয়্যার ডাউনলোড ক্যাপচার।
- Dionaea: ম্যালওয়্যার কালেকশন হানিপট (SMB, HTTP, FTP, TFTP, MQTT) — Shellcode Execution (Libemu) দিয়ে পেইলোড এক্সট্র্যাকশন।
- Conpot: ICS/SCADA Honeypot (Modbus, S7comm, IEC 60870-5-104, DNP3, BACnet) — Industrial Threat Intelligence।
- Honeypy / Honeyλ: Python-ভিত্তিক মডুলার হানিপট ফ্রেমওয়ার্ক — কাস্টম প্রোটোকল ইমপ্লিমেন্টেশন সহজ।
- Canarytokens / Canarytokens.org: ফাইল, URL, DNS, AWS Keys, QR Code, Email — আটাককারী ট্রিগার করলে আলার্ট (लो-কাস্ট, হাই-ভ্যাল্যু)।
