Was ist ein Honeypot?

Ein Honeypot ist ein Cyber-Sicherheitsmechanismus, bei dem Cyberkriminelle mithilfe eines speziell gestalteten Angriffsziels von echten Zielen weggelockt werden. Gleichzeitig können damit aber auch Informationen zur Identität sowie zu den Methoden und Motiven von Angreifern gesammelt werden.

Vorbild für einen Honeypot können beliebige digitale Assets sein, z. B. Software-Anwendungen, Server oder das Netzwerk selbst. Ein Honeypot ist gezielt und absichtlich so konzipiert, dass er wie ein echtes Ziel aussieht, das dem Vorbild in Struktur, Komponenten und Inhalt ähnelt. Der Angreifer soll dadurch glauben, dass er Zugriff auf das echte System hat, und Zeit in dieser kontrollierten Umgebung verbringen.

Der Honeypot dient als Köder, um Cyberkriminelle vom eigentlichen Ziel abzulenken, aber auch als Reconnaissance-Tool, um anhand der Eindringversuche die Techniken, Fähigkeiten und Kompetenz des Angreifers zu beurteilen.

Mithilfe der durch Honeypots gewonnenen Informationen können Unternehmen ihre Cybersicherheitsstrategie weiterentwickeln und verbessern, Bedrohungen in der Praxis abwehren und Schwachpunkte in der bestehenden Architektur erkennen.

Wie kann ein Honeypot Cyberangriffe erkennen?

Ein Honeypot ist eine Falle, die das IT-Sicherheitsteam stellt, um Cyberkriminelle zu Cyberangriffen zu verleiten. Die Strategie besteht darin, Angreifer anzulocken und den eingehenden Datenverkehr im Honeypot-System zu überwachen, um Eindringversuche zu identifizieren und Informationen über das Vorgehen verschiedener Cyberkrimineller zu gewinnen.

Im Rahmen des Überwachungsprozesses kann das IT-Sicherheitsteam folgende Erkenntnisse gewinnen:

• Ursprung eines Cyberangriffs
• Kompetenz des Angreifers
• Häufig genutzte Techniken der Angreifer
• Attraktivste Ziele innerhalb des Netzwerks
• Effektivität bestehender Cybersicherheitsmaßnahmen bei der Abwehr solcher Angriffe

Eine Honeypot ermöglicht den Unternehmen damit das Reverse-Engineering ihrer Sicherheitsrichtlinien und -verfahren, damit sie sich aktiv vor bekannten Bedrohungen und konkreten Angriffstechniken schützen können.

Was ist ein Honeynet?

Ein Honeynet ist ein Netzwerk von Honeypots, das wie ein echtes Netzwerk aussehen soll und komplett mit mehreren Systemen, Datenbanken, Servern, Routern und anderen digitalen Assets ausgestattet ist. Da das Honeynet oder Honeypot-System dieselbe Ausdehnung wie ein typisches Netzwerk vorgibt, bindet es Cyberkriminelle auch tendenziell über einen längeren Zeitraum.

Angesichts der Größe des Honignetzes ist es auch möglich, die Umgebung zu manipulieren und Gegner tiefer in das System zu locken, um mehr Informationen über ihre Fähigkeiten oder ihre Identitäten zu erhalten.

Verschiedene Arten von Honeypots

Honeypots können auf verschiedenste Weise kategorisiert werden. Am einfachsten lassen sich Honeypots entsprechend ihrem Zweck in Production Honeypots und Research Honeypots unterteilen.

Production Honeypot

Der Production Honeypot ist der gängigste Honeypot-Typ. Unternehmen sammeln mit diesem Köder Informationen und Daten zu Cyberangriffen im Produktionsnetzwerk. Dazu können IP-Adressen, Datum und Uhrzeit von Eindringversuchen, Datenverkehrsvolumen und andere Attribute gehören.

Production Honeypots können relativ einfach entworfen und bereitgestellt werden, liefern aber weniger differenzierte Daten als Research Honeypots. Sie werden hauptsächlich von großen Unternehmen, privaten Firmen und prominenten Personen wie Stars, Politikern und Wirtschaftsgrößen genutzt.

Research Honeypot

Ein Research Honeypot soll Informationen über spezifische Methoden und Techniken von Angreifern sammeln und potenzielle Schwachstellen im System aufzeigen, die diese Taktiken ermöglichen.

Research Honeypots sind in der Regel komplexer als Production Honeypots und werden oft von staatlichen Stellen, Geheimdiensten und Forschungsinstituten genutzt, um die eigenen Sicherheitsrisiken besser zu verstehen.

Honeypots nach Attribut

Honeypots können auch nach Attributen kategorisiert werden. Meistens wird der Köder dann für eine spezielle Interaktionsstufe ausgelegt.

Low-Interaction Honeypot

Wie der Name vermuten lässt, nutzt ein Low-Interaction Honeypot relativ wenig Ressourcen und sammelt nur grundlegende Informationen zum Angreifer. Diese Honeypots lassen sich relativ einfach einrichten und pflegen.

Da sie jedoch relativ schlicht gehalten sind, werden sie die Aufmerksamkeit eines Angreifer nicht sehr lang binden. Sie sind also wahrscheinlich kein besonders effektiver Köder und produzieren nur einen begrenzten Umfang von Daten zum Angreifer. Wenn man darüber hinaus bedenkt, dass die Angreifer immer besser werden, könnten erfahrene Angreifer offensichtliche Köder schnell erkennen und meiden oder sie sogar zu ihrem Vorteil nutzen, indem sie sie mit falschen Informationen füttern.

Die meisten Production Honeypots gelten als Low-Interaction Honeypots.

High-Interaction Honeypot

Ein High-Interaction Honeypot soll Cyberkriminelle mithilfe eines Netzwerks aus interessanten Zielen wie verschiedene Datenbanken binden und bieten dem Cybersicherheitsteam ein tieferes Verständnis über die Arbeit dieser Angreifer, ihre Techniken und sogar Hinweise auf ihre Identität. Ein High-Interaction Honeypot verbraucht zwar mehr Ressourcen, liefert aber auch hochwertigere und relevantere Informationen, mit denen das Unternehmen vorhandene Sicherheitsprotokolle anpassen kann.

Andererseits bergen High-Interaction Honeypots aber auch gewisse Risiken, weil sie gute Überwachungs- und Eindämmungsmechanismen erfordern. Eine Honeywall – ein um den Honeypot eingerichteter Perimeter – muss adäquat gesichert werden und darf nur einen Ein- und Austrittspunkt anbieten. So wird sichergestellt, dass das Cybersicherheitsteam den gesamten Datenverkehr überwachen und verwalten sowie laterale Bewegungen vom Honeypot zum eigentlichen System verhindern kann.

Die meisten Research Honeypots gelten als High-Interaction Honeypots.

Täuschungstechnologie

Eine neue Honeypot-Klasse ist das Segment der Täuschungstechnologie. Diese Sicherheitstechnik wendet intelligente Automatisierung – einschließlich künstliche Intelligenz (KI), Machine Learning (ML) und andere fortgeschrittene datengestützte Technologien – auf den Honeypot an, um die Datenerfassung und -analyse zu automatisieren. Mithilfe der Täuschungstechnologie können Unternehmen Informationen schneller verarbeiten und ihre Bemühungen in einer komplexeren Köderumgebung besser skalieren.

Weitere Honeypot-Klassifikationen

Honeypots können auch nach dem Typ der von ihren erkannten Aktivitäten klassifiziert werden.

E-Mail-Falle oder Spam-Falle

Bei einer E-Mail- oder Spam-Falle wird eine fiktive E-Mail-Adresse in einem verborgenen Feld platziert, das nur von einem automatisierten Adressen-Harvester oder Site Crawler erkannt werden kann. Da die Adresse für normale Benutzer unsichtbar ist, kann das Unternehmen die gesamte an diesen Posteingang gesendete Korrespondenz als Spam einstufen und anschließend den Absender und seine IP-Adresse sowie viele Nachrichten mit gleichem Inhalt blockieren.

Köderdatenbank

Eine Köderdatenbank enthält absichtlich anfällig gestaltete Daten, mit deren Hilfe Unternehmen Schwachstellen in einer Software, Unsicherheiten in einer Architektur oder sogar böswillige interne Akteure überwachen können. Die Köderdatenbank sammelt Informationen über Injektionstechniken, Anmeldedaten-Hijacking oder den Missbrauch von Berechtigungen durch einen Angreifer, die dann in die Abwehrmechanismen und Sicherheitsrichtlinien für das System einfließen können.

Malware Honeypot

Ein Malware Honeypot ahmt eine Software-App oder API nach, um Malware-Angriffe in eine kontrollierte, ungefährliche Umgebung anzulocken. Wenn dies gelingt, kann das IT-Sicherheitsteam die Angriffstechniken analysieren und Malware-Schutzlösungen entwickeln oder optimieren, mit denen ausgenutzte Schwachstellen geschlossen sowie diese spezifischen Bedrohungen oder Akteure abgewehrt werden können.

Spider Honeypot

Ein Spider Honeypot funktioniert ähnlich wie ein Spam Honeypot, soll jedoch Webcrawler in die Falle locken, die auch als Spider bezeichnet werden. Dazu werden Webseiten und Links erstellt, auf die nur automatisierte Crawler zugreifen können. Wenn Unternehmen diese Spider erkennen, können sie schädliche Bots und Werbenetzwerk-Crawler blockieren.

Wie funktioniert ein Honeypot in der Cybersicherheit?

Ein Honeypot muss prinzipiell das Netzwerkziel nachbilden, das ein Unternehmen verteidigen will.

Er könnte zum Beispiel wie ein Zahlungsportal konzipiert werden, das oft von Hackern angegriffen wird, weil dort große Mengen persönlicher Informationen und Transaktionsdetails (z. B. verschlüsselte Kreditkartennummern oder Bankkontoinformationen) zu finden sind. Der Honeypot oder das Honeynet kann auch einer Datenbank ähneln, um Akteure anzulocken, die sich für geistiges Eigentum, Geschäftsgeheimnisse oder andere wertvolle vertrauliche Informationen interessieren. Ein Honeypot könnte sogar den Eindruck erwecken, dass es dort potenziell kompromittierende Informationen oder Fotos geben würde, um Angreifer anzulocken, die den Ruf einer Person schädigen oder Ransomware-Techniken anwenden wollen.

Sobald Cyberkriminelle im Netzwerk sind, können ihre Bewegungen verfolgt werden, um ihre Methoden und Motive besser zu verstehen. Mithilfe der gewonnenen Erkenntnisse kann das Unternehmen bestehende Sicherheitsprotokolle besser anpassen, um in Zukunft ähnliche Angriffe auf echte Ziele abzuwehren.

Die Anziehungskraft von Honeypots wird oft mithilfe absichtlicher, aber nicht unbedingt offensichtlicher Sicherheitsschwachstellen noch verstärkt. Wenn man bedenkt, wie erfahren viele digitale Angreifer sind, ist es für Unternehmen wichtig, strategisch zu entscheiden, wie einfach der Zugriff auf einen Honeypot gestaltet werden sollte. Ein unzureichend gesichertes Netzwerk wird einen erfahrenen Angreifer wahrscheinlich nicht täuschen. Im Gegenteil: Es könnte sogar dazu führen, dass der böswillige Akteur Falschinformationen liefert oder die Umgebung anderweitig manipuliert, um die Wirksamkeit des Tools zu reduzieren.

Vorteile von Honeypots in der Cybersicherheit

Honeypots sind eine wichtige Komponente in einer umfassenden Cybersicherheitsstrategie. Ihr primäres Ziel ist es, Schwachstellen im bestehenden System aufzudecken und Hacker von echten Zielen abzulenken. Wenn man davon ausgeht, dass Unternehmen auch nützliche Daten über Angreifer innerhalb einer Köderumgebung sammeln können, bieten Honeypots für Unternehmen auch die Möglichkeit, ihre Cybersicherheitsmaßnahmen basierend auf den verwendeten Techniken und am häufigsten angegriffenen Assets zu priorisieren und zu konzentrieren.

Weitere Vorteile der Honeypots sind:

• Einfache Analyse: Der Honeypot-Datenverkehr ist auf böswillige Akteure begrenzt. Da alle Aktivitäten im Honeypot als schädlich eingestuft werden können, muss das IT-Sicherheitsteam die böswilligen Akteure nicht erst aus dem echten Web-Datenverkehr herausfiltern und kann mehr Zeit in die Analyse des Verhaltens der Cyberkriminellen investieren.
• Ständige Weiterentwicklung: Nach ihrer Bereitstellung können Honeypots einen Cyberangriff abwehren und ununterbrochen Informationen sammeln, sodass sich die Art der stattfindenden Angriffe und ihre weitere Entwicklung im zeitlichen Verlauf verfolgen lässt. Dies bietet Unternehmen die Gelegenheit, ihre Sicherheitsprotokolle an die Anforderungen der Sicherheitslandschaft anzupassen.
• Erkennung interner Bedrohungen: Honeypots können interne und externe Sicherheitsbedrohungen aufdecken. Während sich viele Cybersicherheitstechniken auf externe Risiken konzentrieren, können Honeypots auch interne Akteure einfangen, die auf Daten, geistiges Eigentum oder andere vertrauliche Informationen des Unternehmens zuzugreifen versuchen.

Honeypot-Risiken

Vergessen Sie nicht, dass Honeypots nur eine Komponente einer umfassenden Cybersicherheitsstrategie bilden. Sie werden isoliert bereitgestellt und können das Unternehmen nicht adäquat vor vielen Bedrohungen und Risiken schützen.

Cyber-Kriminelle können Honeypots genauso nutzen wie Unternehmen. Wenn böse Akteure erkennen, dass der Honeypot ein Köder ist, können sie den Honeypot mit Eindringversuchen überfluten, um die Aufmerksamkeit von echten Angriffen auf das legitime System abzulenken. Der Hacker kann den Honeypot auch absichtlich mit Falschinformationen füllen, seine Identität damit weiter im Dunkeln lassen und möglicherweise die Algorithmen und ML-Modelle verwirren, mit denen die Aktivitäten analysiert werden. Deshalb ist es wichtig, dass ein Unternehmen verschiedene Überwachungs-, Erkennungs- und Behebungstools bereitstellt sowie präventive Maßnahmen bereithält, um das Unternehmen zu schützen.

Ein weiteres Honeypot-Risiko besteht, wenn die Köderumgebung falsch konfiguriert wird. In diesem Fall können Angreifer eine Möglichkeit sehen, sich vom Köder lateral zu anderen Teilen des Netzwerks zu bewegen. Die Beschränkung der Ein- und Austrittspunkte für den gesamten Honeypot-Datenverkehr mithilfe einer Honeywall ist ein wichtiger Aspekt der Honeypot-Entwicklung. Dies ist ein weiterer Grund dafür, warum Unternehmen auch in solchen Umgebungen Präventionstechniken wie Firewalls und cloudbasierte Überwachungstools aktivieren müssen, um Angriffe abzuwehren und potenzielle Eindringversuche schnell zu erkennen.