Was ist ein Honeypot? So verbessern Sie Ihre IT-Sicherheit

In der Cybersicherheit stammt der Begriff Honeypot ursprünglich aus der Spionageabwehr: Dort bezeichnet er einen Spion, der von einem attraktiven Partner in eine Falle gelockt wird. In der IT-Sicherheit beschreibt ein Honeypot ein Köder-System, mit dem IT-Teams Angreifer anlocken und Informationen über Bedrohungen sammeln können.

Honeypots haben ihren festen Platz im Werkzeugkasten von Cybersicherheitsanalyst:innen, schaffen es aber nur selten in die Schlagzeilen. Bis 2021: Damals wurden Millionen ungenutzter IP-Adressen des Pentagon plötzlich wieder in Betrieb genommen. Die Richtlinien des Border Gateway Protocol (BGP) zeigten, dass diese Adressen nun von einem völlig unbekannten Unternehmen verwaltet wurden: Global Resource Systems. Das Unternehmen war erst im September desselben Jahres gegründet worden, hatte keine Historie an Bundesaufträgen und keine öffentliche Website. Heute besitzt das undurchsichtige Global Resource Systems fast 6 % aller IPv4-Adressen und kontrolliert einen Großteil der alten Adressen des Militärs.
Die Sorge vor Sicherheitslücken und internen Angreifern wuchs, bis der Defense Digital Service (DDS) vortrat und die Verantwortung übernahm. Der DDS sorgt für die Sicherheit des US-Verteidigungsministeriums (DoD) und führt dabei experimentelle Projekte durch. Verantwortliche für Netzwerksicherheit lasen schnell zwischen den Zeilen: Das DoD hatte gerade den größten Honeypot der Welt aufgebaut.

Das macht einen Honeypot aus

Automatisierte Cyberangriffe sind ein Schwarzmarkt im Millionenbereich. Im öffentlichen Internet durchsuchen bösartige Bots permanent das Netz; angreifbare Netzwerke lassen sich mit kostenlosen Tools wie Wireshark aufspüren und untersuchen. Bei Anwendungen zeigte ein aktueller Bericht, dass jeder fünfte Angriff ein Fuzzing-Angriff ist, der automatisiert nach bekannten Schwachstellen sucht und diese ausnutzt. Ein Grund für den Erfolg: Viele Unternehmensnetzwerke sind im Kern offen aufgebaut. Sobald unbefugte Personen Zugriff erhalten, können sie sich in jeden beliebigen Teil des Netzwerks bewegen.
Ein Honeypot segmentiert das Netzwerk und lässt ein Netzwerk oder Gerät bewusst ungeschützt, um eine Art Petrischale für reale Angriffe zu schaffen. Attraktiv werden Honeypots durch absichtlich eingebaute Sicherheitsschwächen. Ein Honeypot kann zum Beispiel Ports enthalten, die beim Portscan eines Angreifers auffallen sollen, oder scheinbar schutzlose Anmeldebildschirme bieten. Die Praxiserkenntnisse aus Honeypots machen sie zu hervorragenden Trainingsinstrumenten für Sicherheitspersonal. Da ein Honeypot von echten, besonders sensiblen Unternehmensdaten isoliert bleibt, können sich Sicherheitsanalyst:innen zu 100 % auf die jeweilige Bedrohung konzentrieren.

Arten von Honeypots und ihre Einsatzgebiete

Das Erkenntnispotenzial von Honeypots ist nahezu unbegrenzt. Dank dieser Flexibilität gibt es sehr viele unterschiedliche Varianten. Unternehmen können ihre Angriffsinformationen aus einem oder mehreren der folgenden Formate aufbauen:

E-Mail-Fallen

Das Unternehmen bettet eine ungenutzte E-Mail-Adresse in eine öffentlich zugängliche Ressource ein und verbirgt sie vor menschlichen Besucher:innen. Diese E-Mail-Adresse bleibt für automatisierte Adresssammler sichtbar, die das Web durchforsten. Da das Postfach ausschließlich für diesen Honeypot reserviert ist, erhalten Analyst:innen vollständige Transparenz über den Spam, der gegen Beschäftigte eingesetzt wird. Jede E-Mail, die in diesem Postfach landet, liefert einen weiteren Datenpunkt für eine proaktive Kampagne zum Schutz vor Phishing.

Spider-Honeypot

Webcrawler, auch Web-Spider genannt, sind automatisierte Programme, die Inhalte aus dem Internet indexieren und herunterladen. Ausgehend von einer Reihe bekannter Webseiten folgen Webcrawler einem Hyperlink zu einer weiteren Seite, wählen dort eine neue URL aus und so weiter. Manche Crawler sind nützlich, etwa die Webcrawler von Google, die relevante Ergebnisse für Benutzer:innen kategorisieren und indexieren. Böswillige Akteure können allerdings ebenso nach relevanten Informationen über Ihr Unternehmen suchen. Spider-Fallen arbeiten mit gefälschten Links und Seiten, die nur für die Crawler selbst erreichbar sind. Indem Sie deren Verhaltensmuster verfolgen, erhalten Sie tiefere Einblicke in automatisierte Browsing-Muster. Diese Erkenntnisse fließen anschließend in Ihre Strategie gegen bösartige Bots ein.

Malware-Honeypot

Der Malware-Honeypot gehört zu den aufwendigeren Formen und bildet eine Anwendung samt zugehöriger APIs nach. Angreifer bekommen die Gelegenheit, Schwachstellen auszunutzen. So lassen sich längere Angriffspfade sichtbar machen, die andernfalls für einen Zugriff genutzt werden könnten. Diese Analyse lässt sich anschließend in Anti-Malware-Software einfließen lassen oder nutzen, um API-Schwachstellen zu schließen.

Köder-Datenbank

Der letzte Baustein Ihrer Honeypot-Infrastruktur ist eine Köder-Datenbank, die potenzielle Angreifer dazu verleitet, sich anzustrengen. Entscheidend ist, dass Sie in dieser Köder-Datenbank keine echten, sensiblen Daten speichern. Ziel ist es, unsichere Systemarchitekturen zu testen, die zu SQL-Injection und Missbrauch von Berechtigungen führen könnten.

Honeypots mit geringer und hoher Interaktion im Vergleich

Honeypots gibt es in unterschiedlichen Interaktionsstufen. Ein Honeypot mit geringer Interaktion bietet nur ein Minimum an Systemzugriff, gerade genug, um die erste Anfrage eines Angriffs zu protokollieren.

Ein Honeypot mit hoher Interaktion bietet dagegen deutlich mehr Möglichkeiten. Statt einer reinen Fassade erhalten Angreifer eine interaktive Plattform, auf der sie Aktivitäten nach dem erfolgreichen Eindringen ausführen können. Sicherheitsforscher:innen und Malware-Analyst:innen sehen so aus erster Reihe, wohin Angreifer wollen, welche Tools sie zur Rechteausweitung einsetzen und welche Exploits sie gegen den Honeypot verwenden. Diese Form des Honeypots ist allerdings deutlich ressourcen- und wissensintensiver.

Risiken beim Einsatz eines Honeypots

Honeypots sind für die Überwachung der Bedrohungslandschaft wertvoll, doch ihre Grenzen sollte man kennen. So erkennen sie ausschließlich Aktivitäten, die sich gegen den Honeypot selbst richten. Ein vollständiges Bild aller vorhandenen Bedrohungen liefern sie damit nicht.
Richtig konfiguriert kann ein wirksamer Honeypot Angreifer überzeugend in dem Glauben lassen, sie hätten das echte System kompromittiert. Er bildet Anmeldehinweise, Datenfelder, Erscheinungsbild und Logos identisch zu Ihren echten Systemen nach. Erkennt ein Angreifer ihn jedoch als Honeypot, richtet er seine Bemühungen womöglich auf Ihre anderen Systeme und lässt den Honeypot unberührt. Sobald ein Honeypot zudem einmal „fingerprinted“ wurde, kann ein Angreifer den Spieß umdrehen und ihn mit falschen Informationen füttern.
Noch bedenklicher: Ein versierter Angreifer könnte einen Honeypot als Einfallstor in Ihre Systeme nutzen. Deshalb dürfen Honeypots niemals grundlegende Sicherheitskontrollen ersetzen. Eine „Honeywall“ bietet eine Basisabsicherung für Honeypots und verhindert, dass Angriffe auf Ihre produktiven Systeme überspringen.

Einen Honeypot zur Erkennung von Netzwerkeinbrüchen einrichten

Einen Honeypot aufzusetzen und für die Erkennung von Anomalien vorzubereiten, geht schnell. Der Betrieb ist jedoch deutlich anspruchsvoller. Die folgenden Schritte führen Sie durch die Einrichtung und darüber hinaus.

1. Plattform auswählen

On-Premises ist zwar möglich, doch die Cloud ist der sicherere Ort für einen neuen Honeypot. Der Grund: Viele Cloud-Anbieter stellen eine kostenlose VM (Virtual Machine) bereit. VMs gehören zu den sichersten Varianten, denn nach einem erfolgreichen Angriff müssen Sie sie lediglich neu starten und wiederherstellen.

2. Architektur aufbauen

Auf einer Plattform wie AWS wählen Sie die Machine Images aus, die die Software der VM festlegen. Hier lassen sich ein bestimmtes Betriebssystem und bestimmte Anwendungen bereitstellen. Gleichzeitig bestimmt der gewählte Instanztyp, wie viele CPU-Kerne und wie viel RAM Ihre VM erhält.
Ebenso wichtig ist die Frage, welche Ereignisse das Honeypot-Programm überwachen soll. Häufige Schwerpunkte sind Anmeldeversuche und Dateiänderungen. Richten Sie dafür eine alternative Protokollierung ein, da böswillige Akteure die Protokolldateien des Honeypots verändern könnten. Werden sie außerhalb des Honeypots gespeichert, ersparen Sie sich viel Ärger.

3. Netzwerkeinstellungen festlegen

Für den besten Kompromiss aus Sicherheit und Leistung wird der Honeypot außerhalb einer internen Firewall platziert. Zusätzlich können Sie die externe Firewall so konfigurieren, dass nur die notwendigen Ports geöffnet bleiben. So lenken Sie bösartigen Traffic gezielt zum Honeypot und vom internen Netzwerk weg. Alle anderen Ports zu schließen erhöht Ihre Sicherheit und macht die Köder-Software noch realistischer.
Neben angemessenen Maßnahmen zur Netzwerksicherheit sorgen Sie für saubere Sicherheitshygiene, indem Sie der Instanz ein Namens-Tag zuweisen. Das erleichtert die Identifikation. Erlauben Sie außerdem bei der ersten Einrichtung eingehenden Zugriff ausschließlich von Ihrem Router oder VPN aus. So können Sie Ihren Honeypot-Dienst testen, ohne ihn möglichen Angriffen auszusetzen, bevor Sie bereit sind. Portscanner wie Nmap sind in diesem Schritt hilfreich.

4. Abschließende Prüfungen durchführen

Führen Sie zum Schluss einige Aktivitäten innerhalb des Honeypots aus und sehen Sie sich anschließend die zugehörigen Serverprotokolle an. Fehlt in den Protokollen etwas, prüfen Sie, ob das Intrusion Detection System Ihres Unternehmens einen Portscan meldet. Das könnte Angreifer dazu bringen, es anderswo zu versuchen. Ist alles bereit, können Sie Ihren neuen Honeypot in Produktion nehmen. Überwachen Sie ihn genau und justieren Sie die Konfiguration nach.

Wer lieber visuell lernt, findet in unserem Videoguide „Was ist ein Honeypot?“ eine Schritt-für-Schritt-Anleitung

Honeypots ersetzen keinen Schutz

Honeypots liefern unübertroffene Einblicke in die Mechanismen von Angriffen in Echtzeit. So gelang SophosLabs die Entdeckung des Chalubo-Botnets dank eines Honeypot-Servers, der vorgab, für verteilte Denial-of-Service-Angriffe (DDoS) anfällig zu sein. Dabei stellte sich heraus, dass eine zentrale Komponente von Chalubo ein Downloader war, der speziell für Hardware mit Intel-x86-Prozessoren optimiert wurde.
Genau an diesem Punkt zeigen sich allerdings die Grenzen des Honeypots. Für die angegriffenen Endpunkte bietet er kaum echten Schutz: Jene Intel-Prozessoren müssen weiterhin verteidigt werden.
Der Endpunktschutz von NinjaOne gibt IT-Teams und MSPs die vollständige Kontrolle über die Anwendungen und Konfigurationen ihrer IT-Umgebung. Erfahren Sie, wie die Ein-Klick-Integration von NinjaOne die Granularität Ihrer Antivirus-Software verbessert und Ihr technisches Support-Team stärkt.