Honeypots bereitstellen

Die Bereitstellung von Honeypots beginnt mit einem klaren Ziel: Eindringversuche erkennen, Informationen sammeln oder Angreifer verlangsamen. Das Ziel bestimmt den Typ, den Standort und die Überwachung, für die Sie sich entscheiden. Köder ohne Plan erzeugen zusätzlichen Lärm und zusätzliche Risiken.

Der Standort bestimmt, was Sie erfassen:

• Extern / DMZ: erfasst Scans aus dem Internet und wahllose Angriffe.
• Intern: erkennt laterale Bewegungen und Insider – Signale mit besonders hohem Wert.

Interne Köder in der Nähe sensibler Ressourcen liefern häufig die besten Warnmeldungen.

Ein überzeugender Köder fügt sich unauffällig in die Umgebung ein:

• Realistische Hostnamen und IP-Adressbereiche.
• Plausible offene Ports und Banner.
• Verlockende, aber gefälschte Inhalte, etwa eine Administratorfreigabe oder eine Datenbank.

Offensichtliche Fallen erwischen nur die nachlässigsten Angreifer.

Honeypots müssen segmentiert sein, damit sich ein Einbruch nicht ausbreiten kann. Verwenden Sie VLANs oder separate Subnetze und kontrollieren Sie den ausgehenden Datenverkehr, damit der Köder niemals dazu verwendet werden kann, echte Systeme oder Dritte anzugreifen.

Verteilen Sie zusätzlich zu Systemen Honeytokens:

• Gefälschte Zugangsdaten in Konfigurationsdateien und Passwort-Managern.
• Canary-Dokumente in Dateifreigaben.
• Köderdatensätze in Datenbanken.

Diese benötigen keine Infrastruktur und melden Missbrauch sofort.

Ein Honeypot ist nur dann nützlich, wenn seine Aktivitäten erfasst und sichtbar gemacht werden. Leiten Sie alle Protokolle der Köder an ein SIEM weiter und konfigurieren Sie Warnmeldungen mit hoher Priorität, da jede Interaktion absichtlich verdächtig ist.

Honeypots erkennen Angriffe, verhindern sie aber nicht. Ein ruhiger Honeypot bedeutet nicht, dass Sie sicher sind; ein Angreifer meidet ihn möglicherweise einfach. Betrachten Sie Köder als ein Signal unter mehreren, nicht als Beweis für Sicherheit.

Köder verlieren mit der Zeit an Glaubwürdigkeit. Halten Sie sie realistisch und aktuell:

• Wechseln Sie Inhalte und Zugangsdaten regelmäßig aus.
• Spielen Sie Patches für Emulationswerkzeuge ein.
• Prüfen Sie, ob sie weiterhin erreichbar sind und protokollieren.

Veraltete oder defekte Honeypots lassen sich leicht anhand ihrer Merkmale erkennen.

Das schlimmste Ergebnis ist, dass ein Honeypot mit hoher Interaktion als Ausgangspunkt für Angriffe auf andere Systeme verwendet wird. Planen Sie für den Fehlerfall:

• Begrenzen und überwachen Sie den ausgehenden Datenverkehr.
• Erstellen Sie einen Snapshot zur Analyse und setzen Sie das System anschließend sauber neu auf.
• Halten Sie einen Notausschalter zur Isolation bereit.

Moderne Deception-Plattformen stellen viele Köder automatisch bereit und verwalten sie. Sie aktualisieren die Köder regelmäßig und bilden die reale Umgebung in großem Maßstab nach. So bleiben die Köder glaubwürdig, ohne dass jeder Host manuell gepflegt werden muss.

Bewerten Sie das Programm anhand seiner Ergebnisse:

• Erzeugte Warnmeldungen mit hoher Aussagekraft.
• Früher erkannte Angriffe als durch andere Werkzeuge.
• Über Techniken gesammelte Informationen.

Passen Sie Standort und Inhalte anhand der tatsächlich ausgelösten Warnmeldungen an.

Wenden Sie bewährte Verfahren für die Bereitstellung an.

Die Bereitstellung von Honeypots erfordert Planung und Absicherung:

• Platzieren Sie Köder, häufig intern, um laterale Bewegungen zu erkennen.
• Gestalten Sie sie glaubwürdig, isolieren Sie sie aber vom Netzwerk.
• Verteilen Sie Honeytokens für kostengünstige Warnmeldungen ohne Verzögerung.
• Leiten Sie Protokolle an ein SIEM weiter, warten Sie die Köder und kontrollieren Sie den ausgehenden Datenverkehr.