Mikä on honeypot? Harhautus puolustuksena

Periaate

Oikeilla käyttäjillä ei ole honeypotissa mitään tekemistä. Siksi se tuottaa tuskin lainkaan vääriä hälytyksiä: joka siihen ottaa yhteyttä, on suurella todennäköisyydellä hyökkääjä tai vaarantunut järjestelmä. Samalla se pitää hyökkääjät erossa oikeista järjestelmistä ja antaa lisäaikaa.

Honeypotien tyypit

• Low-interaction: simuloivat yksittäisiä palveluja, helppoja ylläpitää, pieni riski.
• High-interaction: oikeita järjestelmiä valvotussa ympäristössä, antavat syvällistä tietoa, vaativat huolellista eristystä.
• Honeytokenit: syöttejä, kuten väärennettyjä tunnuksia tai asiakirjoja, joiden käyttö laukaisee hälytyksen.

Hyökkääjien automaattinen uudelleenohjaus

Harhautus on erityisen tehokasta, kun havaitut hyökkääjät ohjataan kohdennetusti muualle. XMfortress Respond voi ohjata epäilyttävän järjestelmän yhteydet honeypot-ympäristöön, joka jäljittelee oikeaa ympäristöä. Toimintaa tarkkaillaan, ja havainnot palautetaan omaan tunnistukseen.

Riskit ja pelisäännöt

Honeypotit on erotettava huolellisesti tuotantojärjestelmistä, jotta niistä ei itsestään tule ponnahduslautaa. Myös oikeudelliset kysymykset, esimerkiksi lokien keruusta, kannattaa selvittää etukäteen. Toimenpiteet tulee kirjata lokiin ja niiden on oltava milloin tahansa peruttavissa.