Arten von Honeypots

Honeypots werden hauptsächlich auf zwei Arten klassifiziert: nach der Interaktionsstufe (wie viel ein Angreifer tun kann) und nach dem Zweck (Forschung oder Produktion). Die Wahl des richtigen Typs stellt Erkenntnisgewinn, Risiko und Aufwand in ein ausgewogenes Verhältnis.

Ein Honeypot mit geringer Interaktion emuliert nur wenige Dienste und liefert nur begrenzte Antworten. Er ist kostengünstig, sicher und einfach bereitzustellen, aber ein erfahrener Angreifer kann die Emulation möglicherweise schnell erkennen.

• Gut geeignet, um automatisierte Scans und Würmer zu erkennen.
• Minimales Risiko einer Kompromittierung.

Ein Honeypot mit hoher Interaktion ist ein echtes oder vollständig simuliertes System, mit dem ein Angreifer intensiv interagieren kann. Er liefert umfangreiche Erkenntnisse über Tools und Techniken, birgt aber ein höheres Risiko und verursacht höhere Wartungskosten.

• Erfasst vollständige Angriffsketten.
• Muss strikt abgeschottet werden, damit er nicht als Sprungbrett missbraucht werden kann.

Manche Honeypots liegen dazwischen: Sie simulieren ein umfangreicheres Verhalten als Systeme mit geringer Interaktion, legen aber kein vollständiges Betriebssystem offen. Sie sollen für mehr Realismus sorgen und gleichzeitig das Schadensausmaß begrenzen, falls ein Angreifer die Umgebung intensiv angreift.

Nach ihrem Zweck:

• Produktions-Honeypots befinden sich in der aktiven Umgebung, um echte Angriffe zu erkennen und zu verlangsamen.
• Forschungs-Honeypots werden betrieben, um Bedrohungen zu untersuchen und Informationen zu sammeln, häufig durch Sicherheitsforscher.

Übliche Honeypots mit geringer Interaktion simulieren bestimmte Dienste.

• Ein SSH-/Telnet-Emulator protokolliert Anmeldeversuche und Befehle.
• Ein gefälschter Webserver zeichnet Exploit-Versuche auf.

Ein Honeypot mit hoher Interaktion kann aus einer vollständigen VM mit einem echten Betriebssystem und echten Anwendungen bestehen. Er wird umfassend instrumentiert und vom Netzwerk isoliert, sodass Verteidiger beobachten können, wie ein Angreifer arbeitet, als befände er sich auf einem echten Zielsystem.

Der Interaktionsgrad wirkt sich unmittelbar auf das Risiko aus:

• Gering: wenig Erkenntnisse, wenig zu verlieren.
• Hoch: umfangreiche Daten, aber ein echtes System, das bei einem Fehler in der Absicherung missbraucht werden könnte.

Passen Sie den Typ an Ihre Kenntnisse und Ihre Risikobereitschaft an.

Angreifer suchen nach Honeypots, indem sie beispielsweise Zeitverhalten, fehlende Dateien und unrealistische Antworten prüfen. Köder mit geringer Interaktion lassen sich leichter anhand von Merkmalen erkennen; solche mit hoher Interaktion sind schwerer zu entdecken, aber auch schwieriger überzeugend zu warten.

Je höher die Interaktion, desto stärker muss die Absicherung sein:

• Netzwerksegmentierung mit Abstand zur Produktionsumgebung.
• Kontrolle des ausgehenden Datenverkehrs, damit der Köder keine anderen Systeme angreifen kann.
• Kontinuierliche Überwachung und Snapshots zur Analyse.

Treffen Sie die Auswahl anhand Ihrer Ziele:

• Sie benötigen eine kostengünstige, breit angelegte Erkennung? Produktions-Honeypots mit geringer Interaktion.
• Sie benötigen detaillierte Bedrohungsinformationen und verfügen über die nötigen Ressourcen? Forschungs-Honeypots mit hoher Interaktion.
• Oft bietet eine Kombination sowohl Breite als auch Tiefe.

Honeypots unterscheiden sich nach Interaktionsgrad und Zweck:

• Geringe Interaktion: sicher, kostengünstig, begrenzte Erkenntnisse.
• Hohe Interaktion: umfangreiche Daten, höheres Risiko und mehr Wartungsaufwand.
• Produktions-Honeypots erkennen Angriffe; Forschungs-Honeypots untersuchen sie.
• Passen Sie den Typ an Ihre Ziele, Kenntnisse und Möglichkeiten zur Absicherung an.