Deception-Technologie

Täuschungstechnologie platziert gefälschte Assets, Anmeldedaten und Daten in einem Netzwerk, um Angreifer anzulocken und dadurch zu enttarnen. Jede Interaktion mit einem Köder ist definitionsgemäß verdächtig, da legitime Benutzer keinen Grund haben, ihn zu berühren.

Herkömmliche Schutzmaßnahmen versuchen, Angreifer fernzuhalten. Täuschung geht davon aus, dass einige dennoch eindringen, und richtet die Umgebung gegen sie:

• Köder verschwenden Zeit und Aufwand des Angreifers.
• Jede Interaktion erzeugt einen Alarm mit hoher Aussagekraft.
• Verteidiger gewinnen Erkenntnisse über die Techniken des Angreifers.

Ein Honeypot ist ein einzelnes Ködersystem, das untersucht oder angegriffen werden soll. Da es keinen produktiven Zweck erfüllt, signalisiert jede Verbindung eine Aufklärung oder eine Kompromittierung.

Ein Honeynet ist ein Netzwerk aus mehreren Honeypots, das eine realistische Umgebung mit Servern, Diensten und Datenverkehr nachbildet. Es untersucht die Bewegungen eines Angreifers über mehrere Systeme hinweg und nicht nur eine einzelne Kontaktstelle.

Ein Honeytoken sind gefälschte Daten, kein System: etwa eine fingierte Anmeldeinformation, ein Köder-Datensatz oder ein überwachter API-Schlüssel. Sobald es verwendet wird, wissen Sie, dass jemand auf Daten zugegriffen hat, auf die diese Person nicht zugreifen durfte.

Canary-Tokens sind eingebettete Auslöser: ein spezielles Dokument, eine URL oder ein DNS-Name, der beim Öffnen eine Rückmeldung sendet. Platzieren Sie sie in sensiblen Ordnern; sobald ein Angreifer die Freigabe durchsucht, wird der Alarm ausgelöst.

Die meisten Sicherheitstools überfluten Teams mit Alarmen und Fehlalarmen. Täuschung kehrt dieses Verhältnis um: Es gibt kaum einen legitimen Grund, mit einem Köder zu interagieren, sodass die erzeugten Alarme besonders aussagekräftig und untersuchenswert sind.

Nach dem ersten Zugriff bewegen sich Angreifer lateral, um wertvolle Ziele zu finden. Entlang wahrscheinlicher Wege platzierte Köder (gefälschte Administratorfreigaben, verlockende Hostnamen) erkennen diese Bewegung frühzeitig, oft bevor echte Ressourcen erreicht werden.

Köder müssen klar von echten Systemen getrennt sein, damit sie den Geschäftsbetrieb nie stören, aber zugleich realistisch genug, um Angreifer zu täuschen. Gute Täuschung fügt sich durch Benennung und Platzierung unauffällig ein und ist dennoch vollständig isoliert und überwacht.

Täuschung wirft einige Fragen auf:

• Anstiftung ist im Allgemeinen kein Problem, da Sie Ihr eigenes Netzwerk schützen. Das Anlocken von Angreifern ist in einigen Rechtsordnungen jedoch ein Graubereich.
• Verwenden Sie Köder niemals für Gegenangriffe.
• Dokumentieren Sie das Programm und beziehen Sie die Rechtsabteilung ein.

Täuschung ist eine Erkennungs- und Aufklärungsebene, kein Ersatz für Prävention. Kombinieren Sie sie mit Firewalls, EDR und Überwachung. Ihre Stärke liegt darin, Angreifer zu erkennen, die andere Kontrollen bereits umgangen haben.

Erkennen Sie das passende Täuschungskonzept.

Täuschungstechnologie richtet das Netzwerk gegen Angreifer:

• Honeypots sind Ködersysteme, Honeynets sind Ködernetzwerke.
• Honeytokens und Canaries sind Köderdaten, die bei einer Interaktion einen Alarm auslösen.
• Interaktionen mit Ködern erzeugen besonders aussagekräftige Alarme.
• Setzen Sie Täuschung als Erkennungsebene zusätzlich zur Prävention ein.