Angreiferverhalten analysieren

Der eigentliche Nutzen von Deception liegt in den gewonnenen Informationen. Indem Verteidiger beobachten, wie Angreifer mit Ködern interagieren, lernen sie Taktiken, Techniken und Vorgehensweisen (TTPs) kennen und wandeln dieses Wissen in stärkere Abwehrmaßnahmen um.

Köderprotokolle liefern detaillierte Erkenntnisse:

• Quell-IP-Adressen und Infrastruktur.
• Versuchte Zugangsdaten und Befehle.
• Verwendete Werkzeuge und Exploits.
• Zeitpunkt und Abfolge der Aktionen.

Das Framework MITRE ATT&CK katalogisiert Taktiken und Techniken von Angreifern. Wenn Sie beobachtete Aktivitäten aus Honeypots auf ATT&CK abbilden, werden aus rohen Protokollen strukturierte Angreiferprofile. Außerdem wird sichtbar, welche Abwehrmaßnahmen verstärkt werden sollten.

Das Verhalten gibt Hinweise auf die Ziele:

• Breit angelegte Scans deuten auf opportunistische, automatisierte Angriffe hin.
• Die gezielte Aufzählung bestimmter Ressourcen deutet auf einen planvoll vorgehenden Angreifer hin.
• Die Suche nach Daten deutet auf eine beabsichtigte Datenexfiltration hin.

Anhand bestimmter Merkmale lassen sich Bots von Menschen unterscheiden:

• Bots: sofortige, einheitliche und vorhersehbare Befehlsfolgen.
• Menschen: Pausen, Tippfehler sowie erkundendes und anpassungsfähiges Verhalten.

Zu wissen, mit welcher Art von Angreifer Sie es zu tun haben, beeinflusst Ihre Reaktion.

Honeypots mit hoher Interaktion erfassen häufig Schadsoftware, die der Angreifer ablegt. Die Analyse dieser Proben in einer Sandbox zeigt Nutzlasten, Command-and-Control-Server und Persistenzmethoden auf, die andernorts blockiert werden können.

Extrahieren Sie IOCs aus den beobachteten Aktivitäten:

• Bösartige IP-Adressen und Domains.
• Datei-Hashes.
• Signaturen von Werkzeugen und Befehlsmuster.

Übernehmen Sie IOCs in Firewalls, EDR und SIEM, um denselben Akteur auf echten Systemen zu blockieren.

Ihre Erkenntnisse können anderen helfen. Der Austausch anonymisierter IOCs und TTPs über vertrauenswürdige Gemeinschaften wie ISACs und Plattformen für Bedrohungsinformationen stärkt die gemeinsame Abwehr gegen gemeinsame Angreifer.

Schließen Sie den Kreislauf. Nutzen Sie Erkenntnisse aus Honeypots, um:

• Die ausgenutzten Schwachstellen in der Produktionsumgebung zu beheben.
• Erkennungsregeln für beobachtete Techniken zu verschärfen.
• Die IOCs des Angreifers in Sperrlisten aufzunehmen.

Interpretieren Sie die Daten sorgfältig:

• Quell-IP-Adressen sind häufig Proxys oder VPNs und nicht der tatsächliche Ursprung.
• Angreifer können irreführende Hinweise platzieren.
• Ein einzelner Honeypot bietet nur einen begrenzten Blickwinkel; korrelieren Sie ihn mit anderen Daten.

Informationen sind nur dann wertvoll, wenn Maßnahmen daraus folgen. Etablieren Sie einen festen Ablauf: Erfassen Sie Köderdaten, analysieren und ordnen Sie sie zu, extrahieren Sie IOCs und aktualisieren Sie die Abwehrmaßnahmen. So wird die reale Umgebung mit jedem Angriff auf eine Falle schwerer zu kompromittieren.

Die Analyse des Angreiferverhaltens verwandelt Fallen in verwertbare Informationen:

• Honeypots erfassen IP-Adressen, Zugangsdaten, Befehle, Werkzeuge und Schadsoftware.
• Bilden Sie Aktivitäten auf MITRE ATT&CK ab und leiten Sie die Absicht daraus ab.
• Extrahieren Sie IOCs und teilen Sie Bedrohungsinformationen.
• Schließen Sie den Kreislauf, indem Sie die echten Abwehrmaßnahmen anhand Ihrer Erkenntnisse verstärken.