Abstract-Attacks av Ransomware ökar; denna form av malware kringgår många tekniska lösningar genom att utnyttja sociala ingenjörsmetoder. Detta innebär att etablerade metoder för försvar måste kompletteras med ytterligare system. Honeypots är falska datorresurser som används av nätverksadministratörer för att fungera som lockbete datorer och upptäcka eventuell olaglig åtkomst. I denna studie undersöktes om en honeypot-mapp kunde skapas och övervakas för förändringar. Vid undersökningarna fastställdes en lämplig metod för att upptäcka förändringar på detta område. Denna forskning undersökte metoder för att genomföra en honungskruka för att upptäcka ransomware aktivitet, och valde två alternativ, File Screening tjänsten av Microsoft File Server Resource Manager-funktionen och EventSentry för att manipulera Windows Security loggar. Forskningen utvecklade en iscensatt reaktion på attacker mot systemet tillsammans med trösklar när det utlöstes. Forskningen visade att vittne Tripwire filer erbjuder begränsat värde eftersom det inte finns något sätt att påverka malware för att komma åt området som innehåller de övervakade filerna. Nyckelord-honeypot; ransomware; malware; datorsäkerhet; cybersäkerhet, nätverk, upptäckt, aktivitet ÖVERSIKT OCH PROBLEM DEKLARATION Cyber-extortion [1] metoder kan spåras tillbaka till slutet av 1980-talet. Rapporterna om den moderna vågen av ransomware börjar dock 2005 [2], detta är en form av skadlig programvara (malware) som hackare sprider i syfte att inte bara förstöra data som traditionella attacker, men kryptering och laddning för tjänsten för att återställa data. Ransomware är olika av skrämselprogram, är detta när användaren uppmanas att betala lösensumman i reaktion i rädsla för att förlora sina data. Denna förekomst av denna variation av skadlig kod ökar [3]. Detta är en lönsam affärsmodell för de kriminella organisationer som iscensätter attackerna. Betalning sker ofta via bitcoin, med förfrågningar i området 500 -1000 USD. Detta "överkomliga" pris kommer att öka allteftersom tiden går, vilket gör det attraktivt att betala tidigt. Detta är en lukrativ verksamhet för cyberbrottslingar, en beräkning [4] tyder på att siffran 200 miljoner US-dollar per år utpressas av kriminella gäng. Råd ges ofta att inte betala lösensumman, eftersom detta vidmakthåller den kriminella affärsmodellen, men det kan vara det enda sättet att återvinna förlorade uppgifter. Som ransomware hot utvecklas, olika varianter av malware framsteg, vissa namn är välkända, såsom CryptoLocker och CryptoWall, på senare tid TeslaCrypt och Locky har dykt upp. Detektering av skadlig kod innan det börjar sin nyttolast av krypteringsfiler är svårt; traditionella antivirusprodukter måste samla ett prov av skadlig kod, analysera det, och distribuera uppdateringarna till virussignaturen filer till de skyddade maskinerna, Figur 1. illustrerar hur efter flera dagar av en ny attack som distribueras, endast hälften av antivirusleverantörer ger skydd för denna attack. Eftersom traditionell antivirus programvara inte kan upptäcka nya former av skadlig kod tillräckligt snabbt för att skydda system, finns det ett behov av att upptäcka när ransomware börjar aktivera och blockera ytterligare skador. En möjlig lösning skulle kunna vara en honungskruka [6], det vill säga ett datorsystem som används specifikt för att upptäcka otillåten användning av en resurs. Eftersom honungskruka systemet inte förväntar sig några legitima anslutningar, någon interaktion skulle betraktas som en attack på systemet. Denna information skulle användas för att höja en varning om en attack Denna forskning undersöker hur honungspot principer kan användas för att upptäcka och eventuellt mildra en ransomware attack på ett Microsoft Windows-nätverk. Microsoft [7] råd om att ta itu med ransomware är att en testad tillförlitlig backup regim är det bästa sättet att minska skadan från en ransomware attack. Även om antivirus fortfarande förespråkas, som vi har sett, detta kanske inte uppdateras tillräckligt snart för att blockera en attack. Microsoft föreslår också AppLocker att blockera program från att köra på gemensamma platser, detta är bra råd för datorer på en hanterad domän. Det finns dock fortfarande en möjlighet till nya varianter 2016 Cybersäkerhet och Cyberforensics Conference
Falska filer används också för att upptäcka ransomware REF.
Detecting Ransomware with Honeypot Techniques
{'venue': '2016 Cybersecurity and Cyberforensics Conference (CCC)', 'journal': '2016 Cybersecurity and Cyberforensics Conference (CCC)', 'mag_field_of_study': ['Computer Science']}