Wat is een honeypot? Misleiding als verdediging

Het principe

Legitieme gebruikers hebben op een honeypot niets te zoeken. Daardoor geeft hij nauwelijks vals alarm: wie hem benadert, is zeer waarschijnlijk een aanvaller of een gecompromitteerd systeem. Tegelijk houdt hij aanvallers weg van echte systemen en levert hij tijd op.

Soorten honeypots

• Low-interaction: simuleren afzonderlijke diensten, eenvoudig te beheren, laag risico.
• High-interaction: echte systemen in een gecontroleerde omgeving, geven diep inzicht, vereisen zorgvuldige afscherming.
• Honeytokens: lokaas zoals valse inloggegevens of documenten waarvan het gebruik een alarm activeert.

Aanvallers automatisch omleiden

Misleiding wordt vooral effectief als gedetecteerde aanvallers gericht worden omgeleid. XMfortress Respond kan verbindingen van een verdacht systeem naar een honeypot-omgeving sturen die de echte omgeving nabootst. Het gedrag wordt geobserveerd en de inzichten vloeien terug in de eigen detectie.

Risico's en spelregels

Honeypots moeten strikt gescheiden zijn van productiesystemen, zodat ze zelf geen springplank worden. Ook juridische vragen, bijvoorbeeld over logging, moeten vooraf zijn beantwoord. Acties moeten worden gelogd en op elk moment omkeerbaar zijn.