FortiDeceptor is de deception-oplossing van Fortinet. Het platform zet in uw netwerk nepsystemen neer die er voor een aanvaller precies zo uitzien als echte servers, werkstations of machines. Niemand van uw eigen medewerkers heeft een reden om die systemen te benaderen. Zodra er toch iemand op inlogt, een share opent of een poort scant, weet u dus vrijwel zeker dat er iets mis is. Dat maakt deception tot een vorm van detectie met heel weinig ruis.
In de praktijk werkt FortiDeceptor met decoys en zogeheten honeypots die automatisch worden uitgerold, aangevuld met lokaas op uw echte endpoints. Samen vormen ze een nagebootst netwerk dat over uw bestaande infrastructuur heen ligt, zonder dat gebruikers er iets van merken.
Vroege detectie van aanvallers binnen het netwerk
De meeste aanvallen worden niet bij de voordeur ontdekt. Een aanvaller die eenmaal binnen is, via een phishingmail, een gelekt wachtwoord of een kwetsbare VPN, gaat eerst rondkijken. Welke servers zijn er, waar staan de back-ups, welke accounts hebben beheerrechten? Juist in die verkenningsfase stuit hij op de decoys van FortiDeceptor.
FortiDeceptor fungeert daarmee als vroegtijdig waarschuwingssysteem. Het volgt laterale bewegingen van aanvallers en maakt die zichtbaar voordat er gegevens zijn versleuteld of weggesluisd. Als onderdeel van uw incident response en threat intelligence levert het precies de signalen die een firewall of antivirus vaak mist.
FortiDeceptor implementeren met SolidBE
SolidBE is Fortinet Advanced Partner en ondersteunt organisaties bij advies, implementatie, migratie, beheer, monitoring en support van Fortinet-oplossingen. Wij hebben ruime ervaring met FortiGate, FortiAnalyzer, FortiManager, FortiNAC, FortiEDR, FortiSIEM en natuurlijk FortiDeceptor. Ons advies voor wie begint: start klein. Kies twee of drie segmenten waar een aanvaller het eerst zou gaan kijken, zoals het serversegment en de OT-zone, en breid daarna uit. Binnen een paar weken ziet u wat er werkelijk in uw netwerk rondbeweegt.
Wilt u weten wat FortiDeceptor in uw omgeving kan betekenen? Bel ons op 088 88 99 000 of vraag een persoonlijke FortiDeceptor-demo aan. We hebben ook een handige one-pager als PDF voor een snel overzicht.
Hoe werkt FortiDeceptor in de praktijk?
FortiDeceptor rolt automatisch meerdere virtuele decoy-machines uit in verschillende netwerksegmenten. Die deception VM’s bieden realistische diensten aan, zoals bestandsdeling, remote desktop of een webinterface. Maakt een aanvaller contact met een van die blootgestelde services, dan registreert het systeem dat direct als verdachte activiteit.
Honeypots alleen zijn niet genoeg. Een slimme aanvaller scant niet blind, maar volgt sporen die hij op een gecompromitteerde laptop vindt. Daarom plaatst FortiDeceptor ook deceptie-tokens op legitieme endpoints. Denk aan opgeslagen inloggegevens, databaseverbindingen of netwerkshares die naar de decoys verwijzen. Die broodkruimels leiden de aanvaller naar de nep-infrastructuur, terwijl normale gebruikers er nooit mee in aanraking komen.
Automatische melding en respons bij laterale beweging
Beweegt een aanvaller zich zijwaarts door het netwerk, dan genereert FortiDeceptor automatisch een beveiligingsincident met gedetailleerde informatie over wat er gebeurde. U ziet welke host als springplank diende, welke inloggegevens werden gebruikt en welke acties volgden. Gekoppeld aan andere onderdelen van de Fortinet Security Fabric, zoals FortiGate en FortiNAC, kan een getroffen endpoint automatisch worden geïsoleerd. Ook koppelingen met SIEM- en SOAR-omgevingen zijn mogelijk.
Waarom deception-technologie weinig valse meldingen oplevert
Het grootste praktische voordeel van FortiDeceptor merkt u in uw SOC of bij uw beheerder. Klassieke detectie kijkt naar patronen en afwijkingen, en dat levert onvermijdelijk meldingen op die achteraf onschuldig blijken. Een decoy heeft geen legitiem gebruik. Elke interactie is dus per definitie verdacht. Fortinet spreekt zelf van nul valse positieven. Dat is een stevige claim, en in de praktijk zie je wel eens een vergeten scanner of monitoringtool die een decoy aanraakt. Maar dat haal je er bij de inrichting snel uit.
Omdat detectie op gedrag gebaseerd is en niet op bekende signaturen, herkent FortiDeceptor ook aanvallen waarvoor nog geen patch of handtekening bestaat. Het maakt voor de decoy niet uit welke exploit iemand gebruikte om binnen te komen. De uitrol verloopt grotendeels geautomatiseerd, wat het beheer overzichtelijk houdt, ook voor kleinere IT-teams.
Download de handige
one-pager PDF voor Fortideceptor
DEMO
Bekijk de demovideo
of vraag een persoonlijke demo aan.
Inzetmogelijkheden van FortiDeceptor
FortiDeceptor is beschikbaar als hardware-appliance en als virtuele machine. Daarnaast biedt Fortinet cloudvarianten, waaronder een versie als dienst. Bij de appliance of VM neemt u een licentie op het systeem zelf en op het aantal decoy-VM’s dat u wilt draaien.
De appliance kan in meerdere netwerksegmenten tegelijk worden ingezet, via fysieke poorten of via VLAN’s. De segmenten waarin u decoys plaatst, kunnen automatisch worden gedetecteerd met een sniffer-poort of handmatig worden ingesteld. Een goed doordachte netwerksegmentatie voor IT en OT helpt hier enorm, want hoe beter uw zones zijn ingericht, hoe gerichter u decoys kunt neerzetten op plekken waar een aanvaller ze verwacht.
Decoys voor IT, OT en industriële omgevingen
FortiDeceptor kan Windows- en Linux-decoys draaien, maar ook SCADA-decoys. Een SCADA-decoy bootst een Industrial Control System na en kan protocollen aanbieden die je normaal in fabrieksnetwerken tegenkomt, zoals Modbus en S7comm. Voor de maakindustrie en andere organisaties met OT-omgevingen is dat een sterke toevoeging, omdat je daar vaak geen agents op de machines zelf kunt installeren.
Het aanbod gaat verder dan dat. Er zijn images voor IoT-apparaten, VoIP, ERP-systemen, medische apparatuur, SSL-VPN-gateways en kassasystemen. Ook kunt u eigen, aangepaste decoy-VM’s uploaden. Dat is geen overbodige luxe. Een ervaren aanvaller herkent een standaard decoy soms vrij snel. Wilt u hem direct van het netwerk weren, dan maakt dat weinig uit. Wilt u eerst meer zien van zijn werkwijze, dan helpt een decoy die sprekend lijkt op uw eigen systemen.
De belangrijkste kenmerken van FortiDeceptor
Een decoy-VM gedraagt zich als een echt netwerkapparaat en wordt centraal vanuit FortiDeceptor uitgerold. Om die decoy geloofwaardig te maken, voegt u deception lures toe. Dat zijn diensten, applicaties of gebruikersaccounts die een echte werkomgeving nabootsen. Een fileserver zonder bestanden of een werkstation zonder gebruikers valt immers op.
Het FortiDeceptor token package installeert u op uw echte endpoints en andere IT-middelen. Die tokens bevatten bijvoorbeeld in de cache opgeslagen referenties, databaseverbindingen, verwijzingen naar netwerkshares, databestanden en configuratiebestanden. Hoe breder u ze verspreidt, hoe groter het deceptieoppervlak en hoe meer u het pad van een aanvaller kunt sturen.
Voor het volgen van een aanvaller maakt FortiDeceptor onderscheid tussen gebeurtenissen, incidenten en campagnes. Een gebeurtenis is één losse actie, zoals een login of logout op een decoy. Een incident bundelt alle acties van een aanvaller op één specifieke host, bijvoorbeeld een login, een wijziging in het bestandssysteem, een aangepaste registersleutel en een websitebezoek. Een campagne verbindt de incidenten die bij elkaar horen. Logt een aanvaller in op systeem B met inloggegevens die hij op systeem A vond, dan ziet u dat als één samenhangende campagne. Daarnaast logt FortiDeceptor alle eigen systeemgebeurtenissen, zodat u een volledig auditspoor heeft.
Bescherming tegen externe en interne dreigingen
Deception werkt tegen beide. Een externe aanvaller die via ransomware binnenkomt, gedraagt zich in het netwerk niet anders dan een kwaadwillende medewerker die rondsnuffelt op plekken waar hij niets te zoeken heeft. FortiDeceptor leidt beide weg van uw kritieke bedrijfsmiddelen en maakt hun activiteit zichtbaar. Heeft u geen eigen team om meldingen 24/7 op te volgen, dan kunnen die meldingen ook bij een SOC binnenkomen dat dat voor u doet.
Belangrijkste kenmerken op een rijtje:
- Deception OS: Windows, Linux, SCADA OS, IoT OS, VoIP OS, ERP OS, Medical OS, SSL-VPN OS, of POS OS. Images zijn beschikbaar om Decoy VM’s te maken.
- Decoy VM’s: Decoy VM’s die zich gedragen als echte netwerkactiva kunnen worden ingezet via FortiDeceptor.
- Deception Lures: Deception Lures zijn diensten, applicaties, of gebruikers toegevoegd aan een Decoy VM om een echte gebruikersomgeving te simuleren.
- FortiDeceptor token package: Installeer een FortiDeceptor token package om breadcrumbs toe te voegen op echte endpoints en een aanvaller naar een Decoy VM te lokken. Tokens worden normaal verspreid binnen de echte endpoints en andere IT-middelen op het netwerk om het deceptieoppervlak te maximaliseren. Gebruik tokens om de laterale bewegingen en activiteiten van aanvallers te beïnvloeden. Voorbeelden van wat u in een token kunt gebruiken zijn: in de cache opgeslagen referenties, databaseverbindingen, netwerkshares, gegevensbestanden en configuratiebestanden.
- Monitor de acties van de hacker: Monitort incidenten, gebeurtenissen en een campagne.
* Bij een gebeurtenis hebben we het over een enkele actie. Bijvoorbeeld, een login-logout event op een computer.
* Een incident vertegenwoordigt alle acties op alle acties die door een hacker op een enkele lokaas/slachtoffer host worden ondernomen. Voorbeelden zijn een login-logout, wijziging van het bestandssysteem, een registerwijziging en een websitebezoek op een enkele computer.
* Laterale bewegingen van de hacker vormen een campagne. Alle gerelateerde incidenten vormen die campagne. Bijvoorbeeld, een hacker logt in op een systeem met de credentials gevonden op een ander systeem. - Log Gebeurtenissen: Log alle FortiDeceptor systeem gebeurtenissen
Fortinet’s Deception technologie helpt bij de bescherming tegen inbreuken door zowel externe als interne bedreigingen weg te leiden van kritieke bedrijfsmiddelen.
