Вам знадобиться лише 5 хвилин для підготовки Canary до роботи у мережі, враховуючи час на її розпакування (якщо ви надаєте перевагу апаратному варіанту).

Пристрій має порт Ethernet, за допомогою якого ви фізично підключаєте його до мережі. Після цього ви налаштовуєте пристрій за кілька кліків (обираєте сервіси для емуляції) і під'єднуєте його до своєї хмарної консолі. Ви завжди можете витратити більше часу на інтеграцію з SIEM або іншою системою (через syslog або API), але це не є необхідним для отримання повідомлень електронною поштою або через Slack.

Canary встановлюють всередині вашої мережі і вони взаємодіють із консоллю через протокол DNS. Це означає що єдине правило доступу, яке потрібно — доступ до зовнішнього DNS-сервера з підтримкою запитів. Це просте правило, яке, швидше за все, у вас працює.

Ні. Canary не може виявити аномалії (з машинним навчанням чи в інший спосіб), навчаючись розпізнавати зловмисну поведінку на щоденній основі. Тригери дуже прості: якщо хтось дістається ваших файлів-приманок або брутфорсить ваш підробний внутрішній SSH-сервер, то у вас є проблема. Canary використовує оманливо прості, але дуже якісні маркери проблем у вашій мережі. Може в цьому менше «хайпа», але це просто працює.

Звісно завжди можна встановити та налаштувати honeypots самостійно, але на практиці мало хто так робить у корпоративній мережі. Чому? Є дві причини: більшість проектів має обмежену підтримку протоколів, а це означає, що вам доведеться встановлювати кілька honeypots для необхідного охоплення протоколів; а моніторинг і повідомлення одночасно по кількох honeypots швидко стають складними у налаштуванні та підтримці.

Canary дає цьому раду: вона має безліч протоколів, що підтримуються, а консоль забезпечує моніторинг і повідомлення без додаткових зусиль.

Кількість способів, як зловмисник може взаємодіяти з пристроєм, дуже обмежена і майже всі вони — приманка. Звісно, не існує абсолютно захищених пристроїв і завжди є ймовірність фізичного доступу. Якщо пристрій видасть хоч одне сповіщення (а він, швидше за все, це зробить в момент «контакту»), ваша консоль запише його і відразу повідомить про це. Не має значення, що трапиться з пристроєм після цього, оскільки у ньому самому взагалі не зберігається нічого цінного.

Ідентифікація вимагає запитів до девайсу, тож ми за допомогою загальних методів розпізнаємо сліди, а потім сповіщаємо. Після цього, навіть якщо зловмисники визначили Канарку, ви вже в курсі, що вони шукають і можуть продовжити розвідку.

Ідентифікація вимагає реальної взаємодії з пристроєм, а він вміє виявляти типові спроби розпізнавання (fingerprinting), про що одразу повідомить. Навіть якщо згодом зловмисник інтуїтивно зрозуміє що це приманка, ви вже будете знати про його існування і спроби розпізнати пристрої.

Canary надається за підпискою як сервіс. Компанія, що надає сервіс, несе відповідальність згідно законодавства. Для українських клієнтів стороною договору є компанія 10Guards. Апаратний пристрій пройшов необхідну сертифікацію в Україні та був включений до Реєстру радіоелектронних засобів НКРЗІ. Несправні пристрої замінюються на нові без додаткових витрат для клієнта.

Токени — це крихітні «розтяжки», які можна розставити у безлічі місць

Пошук підозрілих даних
Минулого місяця зловмисник скомпрометував одного з ваших користувачів, читаючи чат вашої компанії.
Відтоді Канарка відстежує ключові слова й підозрілі дані.
А ви в курсі?

Дозволяє бути на крок попереду
Вашого провідного розробника обрано як ціль і скомпрометовано у місцевому Starbucks.
Ви б помітили?

Працездатність, яку легко перевірити
Проведіть експеримент. Залиште наші підроблені ключі AWS-API на кожному корпоративному ноутбуці. Зловмисникам, які компрометують ваших користувачів, доведеться їх використовувати. Щойно вони це зроблять, викриють себе.