Honeypot a hálózati biztonságban: mi az, típusok és valós felhasználások

Informatec Digital » Erőforrás » Honeypot a hálózati biztonságban: mi az, típusok és valós felhasználások

A hálózati kiberbiztonság mindennapi világában felbukkannak olyan kifejezések, amelyek tudományos-fantasztikusnak hangzanak, és az egyik legérdekesebb a híres honeypot . Nem varázslatról vagy ilyesmiről van szó, de az egyik legzseniálisabb technika annak megértésére, hogyan támadnak a kiberbűnözők, és hogyan lehet megállítani a mozgásukat, mielőtt elérnék a legfontosabb rendszereket.

Amikor hálózati biztonsági honeypotról beszélünk , valójában egy olyan csapdarendszerre utalunk, amelyet úgy terveztek, hogy sebezhetőnek és vonzónak tűnjön a támadó számára. Azzal, hogy hagyják, hogy a támadó bekapja a csalit, a biztonsági csapatok nyugodtan megfigyelhetik a taktikáját, rögzíthetik minden mozdulatát, és felhasználhatják az összes információt a szervezet tényleges védelmének megerősítésére.

Mi a honeypot a hálózati kiberbiztonságban?

A kiberbiztonságban a honeypot egy szándékosan támadásra létrehozott informatikai erőforrás: szimulálhat egy szervert, egy adatbázist, egy webes alkalmazást vagy akár egy egész kis hálózatot. A támadó számára legitim célpontnak tűnik, de valójában egy gondosan elkülönített és megfigyelt csapdarendszer , amelynek egyetlen célja a rosszindulatú tevékenységek vonzása és tanulmányozása.

Az ötlet az, hogy a honeypotba érkező összes forgalmat alapértelmezés szerint gyanúsnak vagy rosszindulatúnak tekintik . Senki sem használhatja azt jogszerűen, ezért minden hozzáférési, portszkennelési, sebezhetőségi pontok kihasználására vagy rosszindulatú programok telepítésére irányuló kísérletet részletesen naplóznak a későbbi elemzés érdekében.

Ezek a rendszerek lehetnek vállalati hálózat vagy kutatólaboratórium részei, és jellemzően gyakori termelési szolgáltatásokat szimulálnak : webszervereket, FTP-t, RDP-t, SSH-t, adatbázisokat vagy ismert sebezhetőségekkel rendelkező alkalmazásokat. Minél meggyőzőbb a megtévesztés, annál nagyobb a valószínűsége annak, hogy a támadó időt és erőforrásokat fog fordítani annak feltörésére.

A csapda szerepe mellett a honeypot egyfajta fenyegetésradarként is működik : lehetővé teszi az olyan rendellenes tevékenységek gyors észlelését, amelyek a legitim forgalommal telített éles rendszerekben esetleg nem keltettek volna gyanút.

A mézesedények formális definíciója és alapelvei

Formálisabb szempontból a honeypot egy szándékosan nyilvánosságra hozott információforrás , amelynek értéke kizárólag a támadásokban és elemzésekben rejlik. Nem nyújt valódi szolgáltatást az üzleti tevékenységnek; célja a betolakodók vonzása és viselkedésük rögzítése.

Az egyik alapelv, hogy a honeypotnak egyfajta „immunitással” kell működnie a valós adatokkal szemben : nem tartalmazhat érzékeny információkat, aktív hitelesítő adatokat vagy közvetlen hozzáférést a termelési rendszerekhez; célszerű intézkedéseket bevezetni a személyes adatok online védelmére is . Ha egy támadónak sikerül behatolnia, a kárnak az ellenőrzött környezetre kell korlátozódnia.

Egy másik alapelv a csendes megfigyelés . A mézesbódé nem blokkolja azonnal a támadót, és nem teszi lehetetlenné a dolgát az első másodperctől kezdve; épp ellenkezőleg, éppen annyi időt hagy neki, hogy lássa, milyen eszközöket használ, milyen parancsokat hajt végre, hogyan mozog oldalirányban, és mit próbál meg kinyerni.

Végül a honeypot által generált információkat integrálni kell a folyamatos biztonságfejlesztési folyamatba : a tűzfalszabályok frissítésébe, a behatolásérzékelő rendszerek (IDS/IPS) módosításába, a konfigurációk megerősítésébe, a javítások rangsorolásába és a jobb incidensekre adott válaszlépések kidolgozásába.

Hogyan működik egy honeypot a hálózaton belül?

Egy hálózati honeypot gyakorlati működtetése egyszerű elv alapján, de jelentős műszaki tervezést igényel . Először is megtervezik a csapdarendszert: milyen szolgáltatásokat szimulál, milyen látszólagos sebezhetőségeket jelenít meg, és milyen típusú hamis adatokat tesz közzé, hogy hihetőnek tűnjön.

A telepítést követően a honeypot csatlakozik a hálózathoz (belső, külső vagy szegmentált), és úgy van konfigurálva, hogy a lehető legrészletesebben rögzítse a benne történő összes eseményt : a bejövő kapcsolatokat, a végrehajtott parancsokat, a fájlmódosításokat, a jogosultság-eszkalációs kísérleteket, az oldalirányú mozgásokat stb.

Amikor egy támadó észleli a honeypotot, általában automatikus szkennelés vagy tömeges IP-címek átfésülése révén, valódi célpontként értelmezi azt. Ezután exploit kiteket, brute-force szkripteket, rosszindulatú programokat vagy utólagos támadási eszközöket indít . Mindezt a tevékenységet valós időben figyeli és tárolja későbbi elemzés céljából.

Ennek az elemzésnek köszönhetően a biztonsági csapatok olyan taktikákat, technikákat és eljárásokat (TTP-ket) fedezhetnek fel , amelyek még nem szerepeltek a védelmi rendszereikben, azonosíthatnak új rosszindulatú programváltozatokat, vagy észlelhetik az adott szektorokat célzó támadási kampányokat.

Ezenkívül a honeypot segít a hipotézisek validálásában: ha például felmerül a gyanú, hogy egy adott IP-tartományt meghatározott botok céloznak meg, egy honeypot elhelyezhető ugyanebben a tartományban, és ellenőrizhető, hogy perceken belül valóban sor kerül-e behatolási kísérletekre.

A mézesedények típusai céljuk szerint

Elsődleges céljuktól függően a honeypotokat általában két fő kategóriába sorolják: termelési honeypotok és kutatási honeypotok . Mindkettőre jellemző a csapda koncepció, de a megközelítésük és a telepítésük meglehetősen eltérő.

A termelési honeypotok valós üzleti környezetekbe vannak integrálva, és a korai behatolásészlelésre , riasztások generálására és a támadók figyelmének elterelésére szolgálnak , elvonva őket a szervezet kritikus eszközeitől.

A kutatási honeypotokat ezzel szemben jellemzően akadémiai csapatok, kiberbiztonsági laboratóriumok vagy nagy biztonsági cégek kezelik. Céljuk nagyméretű adatok gyűjtése a felmerülő fenyegetésekről, a globális rosszindulatú programkampányokról és a kiberbűnözői csoportok viselkedéséről.

Sok esetben az ezekből a kutatási „mézespotokból” származó eredményeket megosztják a kiberbiztonsági közösséggel : fenyegetésjelentéseket, új észlelési aláírásokat, kompromittálódási indikátorokat (IoC-ket) és védelmi eszközöket, amelyeket aztán globálisan alkalmaznak.

Termelési mézeskalácsok: frontvonalbeli védelem

A vállalat saját hálózati infrastruktúráján belül, jellemzően demilitarizált zónákban (DMZ) vagy meghatározott szegmensekben telepítenek egy termelési honeypotot , amely korai figyelmeztető rendszerként és figyelemelterelésként működik.

Legnyilvánvalóbb küldetése, hogy valós idejű támadásérzékelőként szolgáljon . Ha egy támadó elkezdi szkennelni a hálózatot, vagy támadásokat indít látszólag sebezhető szolgáltatások ellen, a honeypot lesz az elsők között, amelyet megtámad, és riasztásokat generál a biztonsági csapat számára.

Továbbá ezek a „mézespoharak” segítenek elterelni a támadó figyelmét. Ahelyett, hogy azonnal a kritikus rendszerekre koncentrálna, a kiberbűnöző időt és energiát fektethet a csapda feltörésébe, így az incidenskezelő csapatnak van ideje észlelni, megfékezni és enyhíteni a behatolást.

Másrészről az éles honeypotok által gyűjtött információk rendkívül hasznosak a tűzfal-, IDS/IPS-, EDR- vagy XDR-szabályok finomításában . Az ilyen csalétek elleni specifikus támadási minták észlelésével a hasonló viselkedések automatikusan blokkolhatók az éles rendszereken.

Az éles környezetben található honeypotokat azonban elkülönítve és szigorú ellenőrzés alatt kell tartani, hogy megakadályozzuk a támadók abban, hogy más rendszerekbe juthassanak . A rossz hálózati szegmentáció vagy a túlzott jogosultságok kockázattá tehetik a honeypotot.

Mézeskalácsok kutatása: az ellenség mélyreható ismerete

A kutatási honeypotok célja a fenyegetésekkel kapcsolatos információk szisztematikus gyűjtése . Általában globálisan elosztott hálózatok részét képezik, amelyek több millió támadási kísérletet kapnak mindenféle formában, az automatizált botoktól a célzott kampányokig.

Ebben az összefüggésben a mélyreható elemzés elsőbbséget élvez az azonnali operatív reagálással szemben. Nagy mennyiségű adatot rögzítenek: kártevő mintákat, teljes hasznos adatokat, részletes hálózati nyomkövetéseket, szkripteket és összetett támadási láncokat.

Ezen információk birtokában a kutatók és elemzők új kártevőcsaládokat boncolgathatnak , azonosíthatják az újonnan megjelenő exploit kiteket, feltérképezhetik bizonyos bűnözői csoportok parancsnoki és irányítási (C2) infrastruktúráját, és hatékonyabb felderítő és reagáló eszközöket fejleszthetnek ki.

Az eredmények általában nyilvános jelentésekben, víruskereső motorokra vonatkozó szabályokban, azonosítás-elhárító keresőmotorok szignatúráiban, IoC-hírfolyamokban és egyéb olyan erőforrásokban tükröződnek, amelyek lehetővé teszik a vállalatok és szervezetek számára, hogy megerősítsék védelmi mechanizmusaikat, mielőtt egy támadásnak hatalmas hatása lenne.

Összefoglalva, míg az éles honeypot a szervezet hálózatának közvetlen védelmére összpontosít , a kutatási honepot a fenyegetésekkel kapcsolatos globális ismeretek bővítésére és a teljes digitális ökoszisztéma biztonságához való hozzájárulásra törekszik.

Interakciós szintek: alacsony és magas komplexitás

A honeypotok osztályozásának egy másik gyakori módja a támadóval való interakció szintje . Alapvetően különbséget tesznek az alacsony interakciójú és a magas interakciójú honeypotok között, mindegyiknek megvannak a maga előnyei és hátrányai.

Egy alacsony interakciójú honeypot csak bizonyos szolgáltatásokat vagy protokollokat emulál, és nagyon korlátozottan reagál. Általában egyszerűbb telepíteni és felügyelni, kisebb működési kockázattal jár , de a támadásról is felületesebb képet ad.

A másik végletet a nagy interakciójú honeypotok jelentik, amelyek nagyon hasonlítanak egy valódi rendszerre: lehetővé teszik a támadó számára parancsok végrehajtását, rosszindulatú programok telepítését, könyvtárak böngészését, jogosultságok eszkalálását vagy oldalirányú mozgás megkísérlését egy gondosan ellenőrzött környezetben.

Ezek a magas interakciójú honeypotok sokkal gazdagabb és részletesebb információkat nyújtanak a kiberbűnöző viselkedéséről, de nagyobb karbantartási erőfeszítéssel és nagyobb kockázattal járnak, ha nincsenek megfelelően elkülönítve az éles infrastruktúrától.

Az egyes szervezetek céljaitól és erőforrásaitól függően általában a két megközelítés kombinációját választják : elosztott, alacsony interakciójú honeypotokat a nagymértékű korai felismeréshez, és néhány magas interakciójú honeypotot ellenőrzött környezetben a mélyreható elemzéshez.

Alacsony interakciójú honeypotok: egyszerűség és alacsony kockázat

Az alacsony interakciójú honeypotok korlátozott szolgáltatáskészlet szimulálására összpontosítanak (például egy webszerver, SSH vagy FTP minimális funkcionalitással). Alapszintű módon válaszolnak a kérésekre, elég ahhoz, hogy a szkennerek és botok életképes célpontként észleljék őket.

Fő előnyük a könnyű telepítés és karbantartás : gyorsan telepíthetők, kevesebb hardvererőforrást igényelnek, és könnyebben felügyelhetők. Továbbá, mivel nem kínálnak „teljes gépet” a támadónak, a támadó mozgástere korlátozott.

Bár az interakció korlátozott, ezek a honeypotok nagyon hasznosak a kezdeti támadási minták észlelésében : portszkennelések, hitelesítő adatokon végrehajtott brute-force kísérletek, automatizált exploit tesztek stb. Ezen információk birtokában a biztonsági szűrők és szabályok frissíthetők a teljes hálózaton.

Fő korlátjuk, hogy mivel kevésbé realisztikusak, egy képzett emberi támadó gyorsan felismerheti őket csaliként, és úgy dönthet, hogy nem fedi fel a teljes stratégiáját . A támadás későbbi szakaszaira vonatkozó információk is elvesznek.

Ennek ellenére olyan környezetekben, ahol korlátozottak az erőforrások, vagy belépő szintű megoldást keresnek, az alacsony interakciójú honeypotok költséghatékony és alacsony kockázatú lehetőséget jelentenek a fenyegetések láthatóságának növelésére.

Magas interakciójú honeypotok: maximális részletesség, maximális gondoskodás

A nagy interakciójú honeypotok ezzel szemben szinte azonos élményt nyújtanak a támadónak, mint egy valódi éles rendszer . Lehetnek teljes szerverek, virtuális gépek vagy konténerek, amelyeket gondosan úgy konfiguráltak, hogy sebezhetőnek és vonzónak tűnjenek.

Egy ilyen típusú honeypotban a behatoló tetszőleges kódot futtathat , eszközöket tölthet le, konfigurációkat módosíthat, és megpróbálhat más erőforrásokra váltani . Emiatt a hálózatvezérlést és a szegmentálást nagyon jól kell megvalósítani.

A fő előny, hogy lehetővé teszik a támadás minden fázisának rögzítését: a kezdeti felderítéstől a szimulált adatlopásig vagy a hamis zsarolóvírusok telepítéséig. Ez értékes részletességet biztosít a realisztikus fenyegetési modellek felépítéséhez.

Ezen honeypotok fenntartása azonban jelentős erőforrás-felhasználással jár: javításokat kell telepíteni (a sebezhetőség bizonyos látszatának fenntartása mellett), kezelni kell a biztonsági mentéseket, a konfigurációkat váltogatni kell, és biztosítani kell, hogy a támadó ne tudja a honeypotot harmadik felek elleni támadásokhoz használni.

Mindezen okok miatt a nagy interakciójú honeypotokat általában olyan szervezeteknek tartják fenn, amelyek érett biztonsági csapatokkal rendelkeznek, vagy olyan laboratóriumoknak, amelyek a rosszindulatú programok elemzésére és a fejlett kiberfenyegetésekre szakosodtak.

Hogyan lehet honeypotot megvalósítani a hálózaton?

Egy hatékony honeypot megvalósítása nem csak arról szól, hogy beállítunk egy sebezhető gépet és reménykedünk a legjobbakban. Világos stratégiát és aprólékos tervezést igényel annak biztosítása érdekében, hogy a csali értéket képviseljen, és ne váljon további biztonsági problémává.

Az első lépés a célok meghatározása: Egy adott szektorra vonatkozó fenyegetésekkel kapcsolatos információkat keres ? Javítani szeretné a belső vagy külső támadások korai felismerését? Képezni szeretné a biztonsági csapatot az incidensekre való reagálásra? A választól függően kerül kiválasztásra a legmegfelelőbb „homepot” típus.

Ezután el kell döntenie a helyét a hálózati architektúrán belül . Elhelyezhető az internet szélén, egy demilitarizált zónában (DMZ), egy belső szegmensben, vagy akár egy elszigetelt laboratóriumi környezetben is, attól függően, hogy milyen típusú forgalmat szeretne vonzani és monitorozni.

A beállításnak kényes egyensúlyt kell teremtenie: a honeypotnak valóságosnak és kellően sebezhetőnek kell tűnnie ahhoz, hogy csábító legyen, anélkül, hogy valódi hátsó kapukat kínálna az éles rendszerekbe. Ez magában foglalja a szolgáltatások régebbi verzióinak használatát, a portok stratégiai megnyitását és a hiteles szimulált adatokat.

Miután a honeypot működésbe lép, integrálni kell a monitorozó és elemző eszközökkel: SIEM, SOC, központosított naplózórendszerek, felügyelt észlelési és reagálási irányítópultok (MDR, EDR, XDR) stb. Így az általa generált információk nem elszigeteltek, hanem beépülnek a többi védelmi rendszerbe.

Végül tanácsos egyértelmű eljárásokat kialakítani: ki vizsgálja felül a naplókat, milyen gyakran, hogyan kell cselekedni támadás észlelése esetén, és milyen lépéseket tesznek annak érdekében, hogy a tanulságokat a biztonsági helyzet valódi javulásához lehessen felhasználni.

A gyűjtött információk monitorozása, elemzése és felhasználása

Egy mézesbódé igazi ereje abban rejlik, hogy mit kezdünk a generált adatokkal. Nem elég egyszerűen ott hagyni „csak a biztonság kedvéért”: folyamatosan figyelni és elemezni kell, hogy mi történik a csali belsejében.

Először is, minden releváns esemény (kapcsolatok, parancsok, fájlmódosítások, elindított folyamatok) egy központosított naplózórendszerbe vagy SIEM- be kerül , ahol azokat összefüggésbe hozzák a hálózaton lévő más rendszerekből származó információkkal.

Innen az elemzők azonosíthatják a gyanús viselkedés mintázatait , például ugyanazon IP-címről történő ismételt hitelesítési kísérleteket, ismert utólagos kihasználási eszközök használatát vagy bizonyos típusú rosszindulatú programok telepítését.

Ezeket az eredményeket konkrét szabályokká alakítják át: új IDS/IPS-szignatúrákká, az EDR-be beépített kompromittálódási jelzőkké, a tűzfalban blokkolt IP-címek listáivá, vagy a kitett szolgáltatások hozzáférési szabályzatainak módosításaivá.

Idővel a honeypot a gyakorlati fenyegetésekkel kapcsolatos információk stabil forrásává válik , lehetővé téve a szervezet számára, hogy egy lépéssel a támadók előtt járjon, ahelyett, hogy csak akkor reagálna, amikor már komoly incidenst okoztak.

A honeypotok használatának előnyei a hálózati biztonságban

A honeypotok beépítése a hálózati biztonsági stratégiába számos előnnyel jár, amelyek messze túlmutatnak a puszta technikai érdekességen. Megfelelő megvalósítás esetén kulcsfontosságú eszközökké válnak a támadások előrejelzésében és az incidensek hatásának enyhítésében.

Elsődleges előnye a fenyegetések korai észlelése . Mivel a honeypothoz való hozzáférésre tett minden kísérlet gyanús, korai figyelmeztető rendszerként szolgál, különösen a felderítő tevékenységek vagy az automatizált tömeges támadások ellen.

Másodszor, a honeypotok segítenek csökkenteni a zajt és a téves riasztásokat . Más észlelő rendszerekkel ellentétben, ahol jogos forgalom is beépül, itt a jogosulatlan kapcsolatoknak nagyon kicsi az esélye arra, hogy ártatlanok legyenek, ami leegyszerűsíti a riasztások rangsorolását.

Emellett rengeteg fenyegetési információt is nyújtanak . A támadók működésének közvetlen megfigyelése lehetővé teszi a szabályok, irányelvek és konfigurációk frissítését valós adatok, nem pedig feltételezések vagy elméletek alapján.

Végül, a megvalósítása általában viszonylag költséghatékony . Mérsékelt hardver- és időbefektetéssel olyan információkat hozhat létre, amelyek jelentős pénzt takarítanak meg az incidensekre való reagálás, a károk enyhítése és a rendszer helyreállítása során.

A mézesedények kockázatai és kihívásai

Minden előnyük ellenére a honeypotok nem csodaszerek. Rossz tervezés vagy karbantartás esetén új biztonsági kockázatokat hordozhatnak magukban , és inkább fejfájást, mint segítséget jelenthetnek.

Az egyik legnyilvánvalóbb veszély, hogy a támadó a honeypotot ugródeszkaként használhatja a szervezet más rendszereinek vagy akár harmadik feleknek a megtámadására, ha a hálózati szegmentáció nincs jól definiálva.

Egy másik kockázat az érzékeny információk véletlen kiszivárgása , ha a mézespoharakat valós adatokkal töltik meg, hogy hitelesebbnek tűnjenek. A csaliban használt tartalmat gondosan kell előállítani.

Az erőforrások költségeit is figyelembe kell venni: egy vagy több honeypot megtervezése, telepítése, monitorozása és elemzése időt, speciális személyzetet és megfelelő eszközöket igényel . Ha a szervezet nem tudja elvégezni ezt a feladatot, a rendszert végül felhagyják, és nem fog értéket teremteni.

Végül, vannak jogi és etikai megfontolások is. Bár a támadó elfogása és megfigyelése nem ugyanaz, mint az ellentámadás, elengedhetetlen a vonatkozó adatvédelmi, adatkezelési és felelősségi törvények betartása, amennyiben a honeypotot harmadik felek megkárosítására használják fel.

Integráció más kiberbiztonsági intézkedésekkel

A honeypotokat nem szabad elszigetelt megoldásnak tekinteni, hanem egy mélységi védelmi stratégia egy részének . Valódi potenciáljuk akkor mutatkozik meg, amikor más biztonsági eszközökkel és folyamatokkal integrálják őket.

Jól látható példa erre a sebezhetőségi felmérésekkel és penetrációs teszteléssel (VAPT) való kombinációja . Ezen tesztek eredményei jelezhetik, hogy hol van értelme a honeypotokat elhelyezni, és mely szolgáltatásokat kell szimulálni az ugyanazon gyengeségek elleni valós támadások megfigyelésére.

Jól integrálhatók a szokásos sebezhetőségi szkennerekkel is. Ezen szkennelések eredményei segítenek meghatározni, hogy melyik csalitípus- forgatókönyv a legértékesebb, és mely támadási mintákat érdemes alaposabban figyelni.

Műveleti szinten kulcsfontosságú a biztonsági műveleti központtal (SOC) való integráció , legyen az akár házon belüli, akár szolgáltatásként (SOCaaS). A SOC felelős a riasztások fogadásáért a honeypotból, és azok összefüggésbe hozásáért az infrastruktúra többi részével, ami javítja az észlelést és a reagálást.

Végül, a honeypot információk MDR, EDR és XDR platformokkal való összekapcsolásával a csali környezetben tanult tapasztalatok közvetlenül védelmi szabályokká és automatizált válaszokká alakulnak a szervezet összes végpontján és rendszerén.

A mézes edények gyakorlati alkalmazásai

Az elméleten túl a honeypotoknak számos gyakorlati alkalmazása van a mindennapi kiberbiztonságban. Nem csupán laboratóriumi játékok, hanem nagyon hasznos eszközök a valós környezetben.

Az egyik legtisztább alkalmazása az újonnan felmerülő fenyegetésekről szóló információk gyűjtése . Ahogy a támadók új technikákat tesztelnek vagy új rosszindulatú programokat telepítenek, a honeypotok rögzíthetik ezeket a mintákat, mielőtt azok elérnék a kritikus rendszereket.

Egy másik fontos alkalmazás a szervezet általános védelmi helyzetének javítása . A honeypot elleni valós támadásokból származó információkat a tűzfalak megerősítésére, az IDS/IPS konfigurációk módosítására, az e-mail szabályok frissítésére, a jelszóirányelvek fejlesztésére és a veszélyeztetett szolgáltatások védelmének megerősítésére használják.

Továbbá a honeypotok ideális környezetet biztosítanak a biztonsági csapatok képzéséhez . Lehetővé teszik a valós incidensek felidézését, a felderítés, elemzés és reagálás gyakorlását, valamint annak értékelését, hogy az elemzők hogyan reagálnak a stresszes helyzetekre anélkül, hogy veszélyeztetnék a termelési eszközöket.

Végül, akár elrettentő erőként is szolgálhatnak. Egy olyan szervezet, amely fejlett felderítési intézkedéseket és aktív csapdákat alkalmaz , kevésbé vonzó lehet a támadók számára, akik jellemzően az alapvetőbb védelemmel rendelkező célpontokat részesítik előnyben.

Összességében a honeypotok a közvetlen védekező szerepet (támadások felderítése és elterelése) a kutatási, tanulási és folyamatos fejlesztési komponenssel ötvözik , ami nagyon értékes szövetségesekké teszi őket a modern hálózatok védelmében a folyamatosan változó fenyegetési környezettel szemben.