Honeypots sind kein Hexenwerk. Sie brauchen keine Millionen für ein SIEM oder ein Security Operations Center. Schon ein gut platzierter, bewusst verwundbarer Köder reicht, um Attacken sichtbar zu machen. Entscheidend ist, dass Sie den Betrieb sauber aufsetzen, pflegen und die Erkenntnisse auswerten.
Kurzer Einstieg in 8 Schritten: So setzen Sie Honeypots pragmatisch ein
- Ziele klären: Überlegen Sie zuerst: Was wollen Sie beobachten? Klassische Einsatzszenarien sind z. B. Angriffe auf SMB-Freigaben, RDP, SSH oder Admin-Konten.
- Systemwahl: Nutzen Sie Open-Source-Honeypots wie Dionaea, Cowrie (SSH/Telnet) oder HoneyDB, wenn Sie nur leichte Ressourcen haben. Für Windows-Umgebungen kann ein simpler File-Share mit Lockdateien reichen.
- Virtualisierung nutzen: Setzen Sie Honeypots als VM auf. So lassen sich Kompromittierungen zurücksetzen und Sie laufen nicht Gefahr, dass ein Angreifer aus dem Köder-System ausbricht.
- Isolierung nicht vergessen: Ein Honeypot gehört in ein eigenes, gut abgeschottetes Netzwerksegment. Keine Verbindung zu Produktivsystemen!
- Logging aktivieren: Sorgen Sie dafür, dass Angriffsversuche detailliert geloggt werden – am besten zentral auf ein Syslog- oder ELK-Stack-System. So gehen keine Spuren verloren.
- Täuschung verfeinern: Ein guter Honeypot sieht echt aus. Legen Sie Fake-Dateien an, konfigurieren Sie Standard-Ports, geben Sie dem System realistische Namen. So bleibt der Köder verlockend.
- Alarme einrichten: Definieren Sie Schwellenwerte, ab wann ein Alarm an Ihr Team oder SIEM-System geht. So reagieren Sie nicht auf jeden Fehlalarm, behalten aber verdächtige Muster im Blick.
- Ergebnisse auswerten: Ein Honeypot bringt nur etwas, wenn Sie die gesammelten Daten auch deuten. Wer greift an? Mit welchen Tools? Daraus lassen sich interne Schwachstellen ableiten.
Wann lohnt sich ein Honeypot besonders? Das sollten Sie wissen.
- Wenn Sie keine 24/7-SOC-Überwachung haben, aber wissen wollen, ob sich jemand in Ihrem Netz bewegt.
- Als Ergänzung zu IDS/IPS-Systemen, um Angriffe abseits der „Main Street“ zu erkennen.
- Um das Sicherheitsbewusstsein im Team zu schärfen, denn ein Honeypot macht Angriffe greifbar und liefert Fakten für Schulungen.