Definition Honeypot Was versteht man unter einem Honeypot?

Anbieter zum Thema

SANS Institute, EMEA

FAST LTA GmbH

FTAPI Software GmbH

Ein Honeypot ist ein Köder, der gezielt Cyberangreifer in die Falle locken soll. Die Verteidiger können damit die Angriffsmethoden der Kriminellen studieren, während sie sie von ihren echten Systemen ablenken.

In der Netzwerksicherheit versteht man unter einem Honeypot, auf Deutsch Honigtopf, Computersysteme oder Netzwerkkomponenten, die gezielt Angreifer anlocken sollen, um sie dann in die Irre zu führen. Dadurch sollen Cyberkriminelle von ihrem eigentlichen Ziel abgelenkt werden. Ein Honeypot protokolliert und analysiert die Angriffsmethoden von Angreifern und versucht sie zu identifizieren. Das Scheinziel, der Honeypot – zu Deutsch der Honigtopf – kann eine Software, ein PC, ein Server oder eine Netzwerkkomponente sein. Der Honeypot stellt sich nach Außen als ein interessantes Angriffsziel dar und ist unter Umständen wissentlich mit Sicherheitslücken versehen.

Cyberfalle Honigtopf

Honeypots in der Praxis

Sind Honeypots legal?

Ja, solange sie gegen keine geltenden Datenschutz- und Sicherheitsgesetze verstoßen, sind Honeypots legal. Ein Honeypot sind Sicherheitsvorkehrungen, wenn sie in den eigenen Systemen und Netzwerken eines Unternehmens betrieben werden. Wird ein Honeypot auf externen Netzwerken oder Geräten eingerichtet, kann dies als unbefugter Zugriff gelten und rechtliche Folgen nach sich ziehen.

Vor allem wenn es um das Sammeln persönlicher Daten geht, gilt es, vorsichtig zu sein. Honeypots dürfen solche Daten nicht sammeln oder analysieren. Jegliche Verarbeitung und Speicherung von IP-Adressen mittels Honeypots und anderen potenziell identifizierenden Informationen sollten der DSGVO entsprechen. Generell sollte es beim Einsatz von Honeypots vermieden werden, absichtlich auf sensible Daten zuzugreifen. Ist dies dennoch der Fall, müssen Unternehmen, die Honeypots in ihrer Cybersicherheitsstrategie integriert haben, klar dokumentieren, warum und wie diese Daten genutzt werden. Je nach Art der Daten, die erfasst werden, kann zudem eine Informationspflicht der Unternehmen gegenüber den Nutzern, denen diese Daten gehören, bestehen. Würde eine Aufklärung über den Einsatz von Honeypots deren Wirksamkeit beeinträchtigen, können Unternehmen eine Datenschutz-Folgenabschätzung durchführen. Diese dient der Einhaltung der DSGVO.

Dr. Johannes Ullrich, Dean Research des Sans Technology Institutes, hält das Risiko eines Datenschutzverstoßes beim Einsatz von Honeypots für gering. „Das Hauptproblem besteht darin, dass Honeypots von Angreifern als Ressource genutzt werden können. Durch eine sorgfältige Überwachung und den Einsatz von Honeypots mit geringerer Interaktion wird dieses Risiko gemindert.“ Das Sans Institute hat für seine Forschung einen eigenen Honeypot entwickelt und nutzt zusätzlich die Open-Source-Lölsung Cowrie.

Wie funktioniert ein Honeypot?

In der IT-Sicherheit dient ein Honeypot als eine Art Falle, die Cyberangreifer anziehen soll und dann deren Aktivitäten überwacht, ohne dass sie direkten Zugriff auf kritische Systeme oder sensible Daten haben. Ein Honeypot sollte sich nach außen wie ein realer Rechner oder ein echtes Netzwerk verhalten. Nach innen sind die Systeme isoliert und besonders überwacht. Durch die Installation spezieller Software auf den Systemen ist es möglich, Angriffe zu erkennen, Aktivitäten aufzuzeichnen und die Herkunft der Attacken zurückzuverfolgen. Zweck dieser Software ist es, einen Hacker zu identifizieren oder Erfahrungen zu den unterschiedlichen Angriffsmethoden zu sammeln. Oded Vanunu, Chief Technologist & Head of Product's Vulnerability Research bei Check Point, berichtet, das für Check Point Honeypots besonders effektiv bei der Identifizierung von Zero Day Exploits seien. Check Point nutzt für den internen Gebrauch eigen-entwickelte Honeypots, die auf die spezifischen Forschungsanforderungen des Unternehmens zugeschnitten sind.

Damit ein Honeypot für den Angreifer möglichst real wirkt und für Angriffe attraktiv ist, sind echte Services und Anwendungen oder Fake-Daten auf dem System zu finden. Da diese Anwendungen allerdings nicht von normalen Usern genutzt werden, ist davon auszugehen, dass jede Kontaktaufnahme mit den Services oder jede Nutzung der Anwendungen mit hoher Wahrscheinlichkeit missbräuchlichen Hintergrund hat. Ein virtueller Honeypot ist auf einem einzigen Server realisiert, der sich nach außen wie ein komplettes Netzwerk verhält. Dadurch benötigt man für die Simulation eines angreifbaren Netzes nur ein einziges und nicht mehrere Systeme. Wenn ein Honeypot kompromittiert wird, hat dies keine Auswirkungen auf die tatsächliche Umgebung oder die Daten. Stattdessen wird dann ein Alarm ausgelöst.

Welche Arten von Honeypots gibt es?

Es gibt verschiedene Arten von Honeypots, die sich hinsichtlich ihrer Komplexität, ihrem Einsatzzweck und ihrer Interaktion mit dem Angreifer unterscheiden.

• Low-Interaction Honeypots interagieren nur geringfügig mit dem Angreifer, da sie nur grundlegende Netzwerkdiesnte oder Systemfunktionen simulieren. Sie sich oft auf wenige, spezifische Protokolle beschränkt, wie HTTP, SSH oder FTP. Low-Interaction Honeypots werden hauptsächlich zur Erkennung von automatisierten Angriffen wie Port-Scans oder einfachen Exploits verwendet. Dafür sind sie einfach einzurichten und benötigen nur wenig Wartung.

• High-Interaction Honeypots bieten im Gegensatz zu Low-Interaction Honeypots umfassendene Interaktionsmöglichkeiten, da sie ein vollständiges System simulieren. Sie gehen sogar so weit, dass sie es Cyberangreifern ermöglichen, in das System einzudringen und verschiedene Aktionen auszuführen, bevor sie einen Alarm auslösen. Das macht sie etwas riskanter als Low-Interaction Honeypots. Dafür liefern sie wertvolle Daten, auch über komplexe Angriffsmuster. Auf der anderen Seite sind High-Interaction Honeypots aufwändiger einzurichten und zu warten.

• Honeynets beschreiben Netzwerke von mehreren Honeypots, die gemeinsam eine komplette Netzwerkumgebung simulieren. Honeynets sind ideal, um komplexe Angriffsszenarien zu analysieren, da sie besonders realistisch Netzwerke spiegeln. Ihr Vorteil: Honeynets erfassen die Bewegungen, die Angreifer im Netzwerk machen, was interessante Einblicke in deren Taktiken liefert. Ein bekanntes Beispiel für den Einsatz von Honeynets ist das „Honeynet Project“, eine gemeinnützige Forschungsorganisation, die neue Cyberangriffe analysiert. Darauf basierend entwickelt das Projekt Open Source Tools, um die Verfolgung von Cyberkriminellen voranzutreiben.

• Produktions-Honeypots werden direkt neben aktiven Produktionsservern platziert und führen dieselben Dienste aus. Sie lokalisieren Kompromittierungen in den internen Netzwerken in Echtzeit und dienen zeitgleich als Köder für Cyberkriminelle. Produktions-Honeypots müssen so konfiguriert sein, dass sie die laufenden Geschäftsprozesse nicht stören und keine neuen Schwachstellen im Netzwerk schaffen.

• Forschungs-Honeypots werden speziell für Forschungszwecke eingesetzt, um neue Angriffsmuster und -methoden sowie neue Malware zu identifizieren und zu untersuchen. Ihr Ziel ist es, Bedrohungsdaten zu sammeln, die zur Verbesserung bestehender oder Entwicklung neuer Sicherheitslösungen genutzt werden können.

• Bei virtuellen Honeypots handelt es sich um virtuelle Maschinen, die ein reales System nachahmen. Damit können Angriffe auf virtuelle Umgebungen analysiert werden.

• Client-Honeypots werden eingesetzt, um anfällige Client-Systeme zu simulieren. So können client-seitige Cyberangriffe, zum Beispiel auf einen Webbrowser oder einen E-Mail-Client, untersucht werden.

• Spam-Honeypots sind darauf ausgerichtet, Spam anzulocken und dann Daten über die Spam-Bots zu sammeln, die helfen, Informationen über die Taktiken der Angreifer zu sammeln. Mit diesen Daten können die Filtermechanismen gegen Spam verbessert werden.

• Malware-Honeypots sollen Malware anlocken, herunterladen und analysieren. So sollen die Erkennungs- und Abwehrstrategien der Verteidiger, auch gegen neue Malware-Familien, verbessert werden können.

Job-Plattform Honeypot

Nicht zu verwechseln ist das IT-Security-Tool Honeypot mit der Jobplattform Honeypot. Die deutsche Jobbörse hat sich auf die IT-Branche, speziell Entwickler spezialisiert. Anders als bei anderen Jobplattformen verfolgt Honeypot den Ansatz des „Reverse Recruitings“: Bei Honeypot bewerben sich nicht die Fachkräfte bei den Unternehmen, sondern die Unternehmen bei den Fachkräften.

Gegründet wurde die Jobplattform Honeypot 2015 von Kaya Taner und Emma Tracey in Berlin. Mittlerweile gehört sie zu den größten tech-fokussierten Jobplattformen Europas. 2019 hat das Unternehmen New Work SE, dem unter anderem die Marken Xing und Kununu gehören, Honeypot gekauft.

Wie man mit „Fake-Assets“ Angreifer ausbremst

Deceptive Security – Die Kunst der Täuschung

(ID:45238955)