In de digitale wereld vertrouwt beveiliging vaak op het bewaken van de voordeur. Traditionele systemen scannen op bekende kwaadwillenden, waarbij ze zoeken naar verdachte patronen in netwerkverkeer of ongeautoriseerde inlogpogingen. Echter, een geraffineerde indringer die al langs de voordeur is geglipt, kan zich met het stille zelfvertrouwen van een legitieme administrator door een systeem bewegen. Ze kunnen bestanden controleren, gegevens kopiëren of hun privileges verhogen, terwijl ze lijken op een normale gebruiker. Het onderscheiden van dit kwaadwillige gedrag van routinematig administratief werk is een van de moeilijkste uitdagingen in de moderne cybersecurity. Om dit op te lossen, hebben onderzoekers zich gericht op een strategie genaamd cyberdeceptie. In plaats van alleen maar hogere muren te bouwen, creëren ze een landschap vol vallen—nepdiensten, nepaccounts en nepgegevens—die waardevol lijken voor een aanvaller, maar geen enkel echt doel dienen. Wanneer een indringer met deze vallen interageert, geeft het systeem een sterk signaal dat er iets mis is, omdat geen enkele legitieme gebruiker ooit een nepbron zou aanraken.

Een team van onderzoekers aan de Sri Krishna College of Engineering and Technology heeft een nieuwe aanpak voor deze strategie ontwikkeld, specif으로 ontworpen voor de Linux-besturingssystemen die veel van het internet aandrijven. Ze noemen hun creatie Mirage Mesh. In plaats van te vertrouwen op één enkel type val, hebben ze een framework gebouwd dat deceptie verspreidt over vier verschillende lagen van een computersysteem: het netwerk, het systeem zelf, de softwareapplicaties en de data. Het kernidee is om de gehele omgeving te laten aanvoelen als een honingval, waarbij elke laag een andere soort lokaas biedt. Op het netwerkniveau hebben ze een nep-SSH-service gecreëerd, wat een veelgebruikte manier is voor beheerders om een computer op afstand te besturen. Op systeemniveau hebben ze een nep-administratieve account opgezet die lijkt op een hoogwaardige gebruiker, maar eigenlijk een lokaas is. Voor de softwarelaag hebben ze een nep-webinterface gebouwd die een inlogscherm nabootst voor een managementsysteem. Ten slotte hebben ze op de datalaag een bestand geplaatst met nep-inloggegevens, een "honeytoken", die geen echt nut heeft maar ontworpen is om gevonden te worden door iedereen die op zoek is naar geheimen.

De genialiteit van Mirage Mesh ligt niet alleen in de vallen zelf, maar ook in de manier waarop de onderzoekers de gegenereerde informatie afhandelen. In veel beveiligingssystemen spreekt elk type val een andere taal, waardoor beveiligingsteams elk onderdeel afzonderlijk moeten monitoren. De onderzoekers hebben dit opgelost door een universele vertaler voor beveiligingsgebeurtenissen te creëren. Telkens wanneer een van de vier vallen wordt geactiveerd, zet het systeem de ruwe gegevens onmiddellijk om in een enkel, standaardformaat. Dit stelt een centraal monitoringsysteem in staat om een nep-login op een webpagina precies hetzelfde te behandelen als een poging tot het raden van een wachtwoord op een netwerkverbinding. Dit verenigde beeld betekent dat een enkele set regels dreigingen over het hele systeem kan detecteren, ongeacht waar de dreiging verscheen. De onderzoekers testten dit framework door aanvallen tegen elke laag te simuleren. Ze ontdekten dat het systeem gebeurtenissen van alle vier de lagen succesvol verwerkte, deze omzette in een gemeenschappelijke taal en de centrale monitor waarschuwde zonder dat er aparte logica voor elke val nodig was, hoewel tot nu toe slechts twee lagen zijn bevestigd als zijnde live end-to-end operationeel.

De studie omvatte het uitvoeren van een reeks gecontroleerde tests om te zien of het framework de complexiteit van een meerlagige verdediging kon aan kunnen. De onderzoekers registreerden tien specifieke interacties, waarbij een testclient probeerde elke van de vier deceptieve lagen te doorbreken. Het systeem verwerkte elke gebeurtenis succesvol, bracht de acties van de aanvaller in kaart naar bekende stadia van een indringing en identificeerde specifieke technieken die door cybercriminelen worden gebruikt. Bijvoorbeeld, toen de testclient het netwerk probeerde te scannen, herkende het systeem dit als een verkenningspoging (reconnaissance). Wanneer het probeerde wachtwoorden te raden op het nepaccount, markeerde het systeem dit als een brute-force aanval. Het framework slaagde voor zesennegentig geautomatiseerde tests, wat bevestigt dat de onderliggende code naar behoren werkt. De onderzoekers merken echter voorzichtig op dat, hoewel het systeem volledig gebouwd en functioneel is, slechts twee van de vier lagen volledig zijn geverifieerd in een live, end-to-end omgeving. De andere twee lagen worden nog in de afrondende fase gebracht, en het systeem is nog niet getest tegen een enorme hoeveelheid real-world verkeer om te meten hoe vaak het mogelijk valse alarmen zou geven.

Wat dit werk significant maakt, is de focus op eenvoud en aanpasbaarheid. Het framework is ontworpen om lichtgewicht te zijn, gebruikmakend van open-source tools die gemakkelijk beschikbaar zijn, waardoor het geschikt is voor kleinere organisaties of academische laboratoria die geen dure, enterprise-grade beveiligingssuites kunnen betalen. Door de data van verschillende vallen te normaliseren, hebben de onderzoekers een systeem gecreëerd dat gemakkelijk kan worden uitgebreid. Als er in de toekomst een nieuw type val wordt uitgevonden, kan deze aan het framework worden toegevoegd door simpelweg te leren hoe deze de gemeenschappelijke taal spreekt, zonder dat het volledige detectiesysteem opnieuw geschreven hoeft te worden. De onderzoekers stelden ook een manier voor om de effectiviteit van de deceptie te meten, waarbij gekeken wordt naar hoeveel lagen werden geactiveerd, hoe diep de aanvaller kwam en hoe snel het systeem reageerde. Hoewel ze nog geen definitieve score voor deze metrieken hebben berekend omdat ze een grote dataset van normaal gedrag missen om mee te vergelijken, biedt het framework de nodige instrumenten om dit in de toekomst te doen.

Het artikel concludeert dat Mirage Mesh een praktische manier biedt om de zichtbaarheid in wat aanvallers doen zodra ze in een systeem zijn, te vergroten. Het demonstreert dat door deceptie over meerdere lagen te verspreiden en de respons te verenigen, beveiligingsteams indringers kunnen vangen die anders zouden opgaan in het normale gedrag. De onderzoekers erkennen dat een slimme aanvaller uiteindelijk zou kunnen ontdekken dat een specifieke bron een val is en deze zou vermijden, wat de reden is dat ze in de toekomst functies willen toevoegen die de decoys automatisch kunnen roteren en veranderen. Voor nu staat het werk als een functioneel bewijs van concept, dat laat zien dat een meerlagige, verenigde aanpak van cyberdeceptie niet alleen mogelijk is, maar ook gebouwd kan worden met de tools die al beschikbaar zijn voor veel organisaties. Het biedt een stille, persistente manier om de schaduwen te bewaken, waardoor verzekerd wordt dat zelfs als een indringer door de poort glipt, hij niet door het huis kan bewegen zonder een spoor achter te laten.