Was ist ein Honeypot? Täuschung als Verteidigung

Das Prinzip

Legitime Nutzer haben auf einem Honeypot nichts zu tun. Deshalb erzeugt er kaum Fehlalarme: Wer ihn anspricht, ist mit hoher Wahrscheinlichkeit ein Angreifer oder ein kompromittiertes System. Gleichzeitig hält er Angreifer von echten Systemen fern und verschafft Zeit.

Arten von Honeypots

• Low-Interaction: simulieren einzelne Dienste, einfach zu betreiben, geringes Risiko.
• High-Interaction: echte Systeme in kontrollierter Umgebung, liefern tiefe Einblicke, brauchen sorgfältige Abschottung.
• Honeytokens: Köder wie gefälschte Zugangsdaten oder Dokumente, deren Nutzung Alarm auslöst.

Angreifer automatisch umleiten

Besonders wirksam wird Täuschung, wenn erkannte Angreifer gezielt umgeleitet werden. XMfortress Respond kann Verbindungen eines verdächtigen Systems in eine Honeypot-Umgebung lenken, die der echten Umgebung nachempfunden ist. Das Verhalten wird beobachtet, die Erkenntnisse fließen in die eigene Erkennung zurück.

Risiken und Regeln

Honeypots müssen sauber von Produktivsystemen getrennt sein, damit sie nicht selbst zum Sprungbrett werden. Auch rechtliche Fragen, etwa zur Protokollierung, sollten vorab geklärt sein. Aktionen sollten protokolliert und jederzeit umkehrbar sein.