Ein Honeypot ist ein absichtlich angreifbares System, das Angreifer anziehen und beobachten soll. Es enthält nichts von Wert, und jeder Zugriff darauf ist verdächtig, weil es keinen legitimen Grund dafür gibt.
- Honeypot
Ein absichtlich angreifbares System, das Angreifer anziehen und beobachten soll.
Beispiel: „Der Honeypot zeichnete auf, welche Zugangsdaten die Angreifer der Reihe nach durchprobierten.“Auch: Ein Verbund mehrerer solcher Systeme heißt Honeynet. Ein einzelner Datensatz, der nur als Köder existiert, heißt Honeytoken.
Abgrenzung zum Penetrationstest: Beim Test greift jemand im Auftrag die eigenen Systeme an. Der Honeypot wartet darauf, dass ein Fremder es tut.
Die beiden Arten von Honeypots
Solche, die wenig vortäuschen, und solche, die alles vortäuschen. Ein einfacher Honeypot nimmt nur Verbindungen an und schreibt mit, was versucht wird; er ist schnell aufgesetzt und kaum gefährlich. Ein vollwertiger ist ein echtes System mit echten Diensten, auf dem ein Angreifer wirklich arbeiten kann; er liefert viel mehr Erkenntnisse und ist entsprechend aufwendig zu betreiben.
Wozu ein Honeypot taugt
Zur Früherkennung im eigenen Netz, und dort ist er unterschätzt. Ein Server, der nach außen gar nicht sichtbar ist und trotzdem angesprochen wird, zeigt an, dass sich jemand im Netz bewegt, der dort nicht hingehört. Dasselbe leistet ein Honeytoken: ein Datensatz in der Datenbank, der nirgends verwendet wird, oder ein Zugangsschlüssel ohne Rechte. Taucht er irgendwo auf, ist klar, dass die Datenbank abgeflossen ist.
Welche Risiken ein Honeypot mitbringt
Zwei, und beide werden unterschätzt. Ein vollwertiger Honeypot ist ein echtes System und kann als Sprungbrett dienen, wenn er nicht sauber vom Rest getrennt ist; dann hat der Betreiber dem Angreifer einen Rechner geschenkt. Dazu kommt der Aufwand: Aufzeichnungen, die niemand liest, sind genauso nutzlos wie die Meldungen eines ungepflegten SIEM.