Cyberfalle Honigtopf Honeypots in der Praxis

Anbieter zum Thema

noris network AG

Fsas Technologies GmbH

FAST LTA GmbH

Mit immer neuen Angriffsmethoden und Künstlicher Intelligenz (KI) steigt die Komplexität für die IT-Sicherheit. Rechenzentrumsbetreiber stehen permanent in der Pflicht, ihre Abwehrmechanismen anzupassen. Eine davon hört auf die Bezeichnung „Honeypot“: Cyberkriminelle tappen in eine Falle und geben Sicherheitsteams die Gelegenheit, Informationen zu sammeln und Gegenmaßnahmen zu entwickeln.

Die Risiken für IT-Systeme von Unternehmen und Behörden nehmen kontinuierlich zu: Angreifer suchen ständig nach neuen Schwachstellen, um in Netzwerke einzudringen, sensible Daten zu stehlen oder Systeme zu sabotieren. Um diesen Bedrohungen proaktiv begegnen zu können, greifen Sicherheitsexperten auf eine Vielzahl von Strategien und Werkzeugen zurück. Eine dieser Methoden ist der Honeypot, der Honigtopf. Dabei handelt es sich um einen technischen Trick, der dazu dient, Angreifer zu identifizieren, ihre Vorgehensweisen nachvollziehen zu können und Sicherheitsvorkehrungen gegen Attacken zu entwickeln.

Ablenkungsmanöver für Cyber-Angreifer

Ein Honeypot ist im Wesentlichen also eine künstliche Falle, die von Sicherheitsteams entwickelt wurde, um Hacker anzulocken und ihre Aktivitäten zu überwachen. Die Besonderheit: Das Produktivnetzwerk oder reale sensible Daten werden keiner Gefahr ausgesetzt. Stattdessen simuliert der Honeypot ein attraktives Ziel, das für potenzielle Angreifer verlockend erscheint. Dies kann beispielsweise ein vermeintlich leicht angreifbarer Server oder eine Datenbank mit mutmaßlich sensiblen Informationen sein, die absichtlich bekannte Sicherheitslücken enthält. Greift ein Angreifer diesen Honeypot an, zeichnet das System alle Aktivitäten auf. Dabei kommen in der Praxis unterschiedliche Techniken wie Netzwerküberwachung, Protokollierung von Benutzeraktivitäten und Analyse des Datenverkehrs zum Einsatz. Jeder Schritt des Angreifers wird so sorgfältig dokumentiert, um Einblicke in Taktiken, Techniken und Ziele zu gewinnen.

Ein entscheidendes Element der Honeypot-Technologie ist die Authentizität. Ein gut gestalteter Honeypot sollte für einen Angreifer so realistisch wie möglich wirken, um Aufmerksamkeit zu erregen und ihn dazu zu verleiten, möglichst viel Zeit und Ressourcen auf das vermeintliche Ziel zu verwenden. Dies erfordert eine sorgfältige Konfiguration und regelmäßige Aktualisierung des Honeypots, um mit den neuesten Angriffstechniken und -trends Schritt zu halten. Dabei gibt es verschiedene Arten von Honeypots, die sich hinsichtlich ihrer Komplexität und Interaktionsebene unterscheiden. Low-Interaction-Honeypots bieten eine begrenzte Simulation der Umgebung und erfordern weniger Ressourcen, während High-Interaction-Honeypots eine umfassendere Nachbildung darstellen und detailliertere Informationen über Angreifer liefern können.

Früherkennung durch Analyse von Angriffen

Die von einem Honeypot gesammelten Daten lassen sich anschließend zur Nachkontrolle von Sicherheitsexperten und Incident-Response-Teams für die Optimierung des Netzwerks und die Entwicklung geeigneter Gegenmaßnahmen nutzen, um zukünftige Angriffe abzuwehren. So ist es möglich, eine Früherkennung von Angriffen für die IT-Infrastruktur zu etablieren, noch bevor sie in das Hauptnetzwerk eindringen. Eine Option: die Platzierung von Honeypots an verschiedenen Eingangspunkten des Netzwerks.

Aber Honeypots können noch mehr. Sie dienen auch als Ablenkung für Angreifer, weil sie sie von echten Systemen und Daten fernhalten können. Indem sie Angreifer in eine falsche Umgebung locken, verhindern Honeypots aktiv, dass Cyberkriminelle auf sensible Daten zugreifen oder echte Systeme kompromittieren. Honeypots müssen dafür kontinuierlich überwacht werden, um verdächtige Aktivitäten zu erkennen, und Sicherheitsteams bei Bedarf sofort zu alarmieren.

Aufwand für Honeypots ist relativ hoch

Doch Honeypots haben auch ihre Schattenseiten. Ihre Wirksamkeit hängt davon ab, wieviel Aufwand in die Früherkennung investiert wird. Darüber hinaus binden Honeypots zusätzliche IT-Ressourcen wie Speicherplatz, Rechenleistung und Netzwerkbandbreite. Je nach Anzahl und Komplexität der eingesetzten Honeypots kann die Abwehrstrategie mit Honigtöpfen also zu einem erhöhten Ressourcenverbrauch führen, der zusätzliche Kosten verursacht und die Leistung des Netzwerks beeinträchtigen kann. Zudem erfordert die Konfiguration eines Honeypots spezielle Kenntnisse und Erfahrung im Bereich der Cybersecurity, während gleichzeitig eine regelmäßige Wartung und Aktualisierung von Honeypots erforderlich ist, um eine kontinuierliche Wirksamkeit sicherzustellen.

SIEM: Honeypots unter ständiger Kontrolle

Um diese Herausforderungen mit Honeypots verringern zu können, greifen Unternehmen und Behörden zunehmend auf ein SIEM (Security Information and Event Management) zurück, das von einem SOC (Security Operations Center) gemanagt wird: Ein als Dienstleistung betriebenes SIEM dient Unternehmen dazu, sich nicht mehr um die Überwachung, Erfassung, Analyse und Korrelation von Sicherheitsereignissen und -informationen kümmern zu müssen. Stattdessen übernehmen die Aufgabe, potenzielle Bedrohungen zu erkennen, neue Sicherheitsvorfälle zu verwalten und entsprechend darauf zu reagieren – und das mitunter sogar in Echtzeit und mit Unterstützung von ML- und KI-Technologien. Das Prinzip: Ein SIEM sammelt Protokolldaten und Ereignisinformationen aus verschiedenen Quellen wie Netzwerkgeräten, Servern, Anwendungen und Sicherheitslösungen, also auch von Honeypots. Diese Daten werden zentralisiert gespeichert und mithilfe von Analysealgorithmen und Regeln verarbeitet, um verdächtige Aktivitäten schneller als bisher zu identifizieren. Durch die Korrelation von Ereignissen lassen sich selbst hoch komplexe Angriffsmuster erkennen. Im SOC stehen dann Sicherheitsanalysten rund um die Uhr in der Pflicht, die vom System ausgegebenen Warnmeldungen zu überprüfen, Sicherheitsvorfälle zu untersuchen, Gegenmaßnahmen zu ergreifen und Berichte zu erstellen. Damit schlagen Unternehmen und staatliche Einrichtungen gleich mehrere Fliegen mit einer Klappe, weil modernste Sicherheitsmechanismen zum Einsatz kommen, der Aufwand sich indes auf ein Minimum beschränken lässt.

Über den Autor: Patrick Wunder ist Team Lead Security Operations Center, Governance & Standards bei der noris network AG.

(ID:50137541)