Vad är en honeypot? Vilseledning som försvar

Principen

Legitima användare har inget att göra på en honeypot. Därför ger den knappt några falsklarm: Den som kontaktar den är med stor sannolikhet en angripare eller ett komprometterat system. Samtidigt håller den angripare borta från verkliga system och ger tid.

Typer av honeypots

• Low-interaction: simulerar enskilda tjänster, enkla att driva, låg risk.
• High-interaction: verkliga system i en kontrollerad miljö, ger djup insyn, kräver noggrann isolering.
• Honeytokens: beten som falska inloggningsuppgifter eller dokument, vars användning utlöser larm.

Led om angripare automatiskt

Vilseledning blir särskilt effektiv när upptäckta angripare leds om på ett målinriktat sätt. XMfortress Respond kan styra anslutningar från ett misstänkt system till en honeypot-miljö som efterliknar den verkliga miljön. Beteendet observeras och insikterna förs tillbaka in i den egna detekteringen.

Risker och regler

Honeypots måste vara ordentligt åtskilda från produktionssystem så att de inte själva blir en språngbräda. Även juridiska frågor, till exempel kring loggning, bör vara utredda i förväg. Åtgärder bör loggas och kunna återställas när som helst.