Honeypot was ist das?

Ein Honeypot, auf deutsch: Honigtopf, ist in der IT die Bezeichnung für einen Sicherheitsmechanismus, mit dem getäuscht werden sollen. Sie simulieren Anwendungsprogramme oder Netzwerkdienst, die ein lohnendes Ziel darstellen. Werden zwei oder mehr in einem Netzwerk eingerichtet, bilden sie ein Honeynet. Eine Honeyfarm ist eine zentralisierte Sammlung mehrerer Honeypots.

Welchen Zweck haben Honeypots?

Mit ihnen können zwei Ziele verfolgt werden. Einerseits werden sie dazu verwendet, um mithilfe simulierter Anwendungen oder Netzwerkdienste zu täuschen und Cyberangriffe ins Leere laufen zu lassen. Er ist eine virtuelle Falle oder ein Köder, mit der Hacker angelockt werden sollen, um sie von realen Produktivsystemen abzulenken und diese dadurch zu schützen. Der zweite Anwendungszweck ist das Sammeln von Informationen darüber, wie automatisierte oder manuelle Hacking Angriffe durchgeführt werden. Durch die Analyse der gesammelten Informationen können Sicherheitssysteme verbessert und Schwachstellen behoben werden. Je nachdem, welches Ziel mit einem Honeypot verfolgt werden soll, kann serverseitig oder clientseitig installiert werden

Serverseitige und clientseitige Honeypots

Serverseitige Honeypots sind isolierte Systeme, mit denen Hacker angelockt und vom eigentlichen System und sensiblen Teilen eines Netzwerks ferngehalten werden sollen. Durch die Simulation von Netzwerkservern können Angriffe nachverfolgt und aufgezeichnet werden, ohne das Produktivsystem zu gefährden. Sie können als realer oder virtueller Server eingerichtet werden. Serverseitige dienen in erster Linie der Nachverfolgung und Analyse manuell oder automatisiert durchgeführter Angriffe. Wichtig bei serverseitigen Honeypots ist, dass sie möglichst vollständig isoliert implementiert werden, um ein Übergreifen der Hacker auf das zu schützende System zu verhindern.

Bei einem clientseitigen Honeypot handelt es sich um simulierte Anwendungssoftware. Beispielsweise die Simulation eines Webbrowsers oder Office 365. Ein simulierter Browser wird dazu verwendet, um unsichere Webseiten zu analysieren und Informationen über Sicherheitslücken zu sammeln. Erfolgt über eine dieser Seiten ein Angriff auf den Browser, wird der Angriff für eine spätere Auswertung aufgezeichnet. Die gesammelten Informationen können zur Verbesserung der Software verwendet werden.

Verschiedene Arten

Reine

Reine Honeypots sind vollständige Produktionssysteme. Sie werden durch Abhören der Verbindungen, die den Honeypot mit dem Netzwerk verbinden, überwacht. Die Überwachung erfolgt durch einen sogenannten Bug-Trap. Der Bug-Trap wird in der Verbindung des Honeypots zum Netzwerk installiert. Sie sind, da sie meist vollständig OS-basiert sind, nur schwer skalier- und vorsätzlich kompromittierbar.

Low-Interaction

Low-Interaction-Honeypots simulieren nur Dienste und Systeme, die häufig die Aufmerksamkeit von Kriminellen auf sich ziehen. Beispielsweise SSH oder HTTP-Server. Die Simulation der Dienste oder Anwendungen erfolgt nur in dem Maße, dass der Honeypot Angreifern als lohnenswertes Ziel erscheint. Sie werden oft eingesetzt, um Informationen über Angriffe von Botnets oder mit Malware zu sammeln.

High-Interaction

High-Interaction-Honeypots sind komplexe Setups, die sich wie eine echte Produktionsinfrastruktur verhalten. Die Aktivitäten der Angreifer werden nicht eingeschränkt. Sie ermöglichen Angreifen umfassende Einblicke in die Sicherheitseinrichtungen des Systems. High-Interaction-Honeypots sind wartungsintensiv und erfordern ein umfangreiches Fachwissen. Sie werden oft auf virtuellen Maschinen eingerichtet, um sicherzustellen, dass Angreifer nicht auf das reale System zugreifen können.

Beispiele für die Anwendung

Ein Beispiel sind Malware Honeypots. Malware wird in zunehmendem Maße dazu verwendet, auf Servern nach Kryptowährungen zu suchen, um diese zu stehlen. Sie werden wie Antivirus Software zur Erkennung von Malware verwendet. USB-Flash-Laufwerke können mithilfe Honeypots auf Anzeichen von unerwünschten Änderungen überprüft werden.

Spam ist ein weiteres Beispiel für den Einsatz von Honeypots. Spammer nutzen häufig offene Mail-Relays oder Proxies, die E-Mails von jedem Absender annehmen und ans Ziel weiterleiten. Ein Spam Honeypot gibt sich als ein solcher Mailserver aus, um die Aktivitäten von Spammern aufzudecken. Sie werden von E-Mail Dienstleistern zusätzlich zu SPAM-Filtern eingesetzt, um Nutzer vor Spam zu schützen.

Vor- und Nachteile

Obwohl sie Erfahrung und Ressourcen erfordern, bietet ein Honeypot auch erhebliche Vorteile. Von Honeypots können echte Daten von echten Cyberangriffen gesammelt werden und für die Verbesserung von Sicherheitsthemen verwendet werden. Im Gegensatz zu anderen Technologien verursachen sie kaum Fehlalarme, da berechtigte Benutzer keinen Anlass haben, auf sie zuzugreifen. Zudem sind sie eine kosteneffektive Schutzmöglichkeit. Sie benötigen keine Hochleistungsressourcen, da sie nur mit bösartigen Aktivitäten interagieren. Es gibt jedoch auch ein paar Nachteile. Sie sammeln immer nur dann Informationen, wenn ein Cyberangriff stattfindet. Zudem können versierte Hacker einen Honeypot von realen Produktionssystemen unterscheiden und beispielsweise mithilfe von System-Finger-Print Tec.