Ein Honeypot ist ein bewusst präpariertes Computersystem oder Netzwerkressource, das so gestaltet ist, dass es für Angreifer attraktiv wirkt. Sein Zweck ist es, unerlaubte Zugriffe anzulocken, zu beobachten und zu analysieren, ohne dass echte Systeme gefährdet werden. Honeypots sind ein wichtiges Werkzeug in der IT‑Sicherheit, um Angriffsverhalten zu verstehen und Schutzmaßnahmen zu verbessern.
Ziele eines Honeypots
- Angreifer ablenken und von echten Systemen fernhalten
- Angriffsmethoden analysieren
- Neue Schwachstellen erkennen
- Frühwarnsystem für laufende Angriffe
- Forensische Daten sammeln
Ein Honeypot ist also sowohl ein Schutz- als auch ein Forschungsinstrument.
Arten von Honeypots
1. Low‑Interaction Honeypots
- Simulieren nur grundlegende Dienste
- Geringes Risiko
- Einfach zu betreiben
- Beispiel: Fake‑SSH‑ oder Fake‑FTP‑Server
2. High‑Interaction Honeypots
- Vollwertige Systeme, die realistisch wirken
- Sehr detaillierte Angriffsanalysen möglich
- Höheres Risiko, da echte Kompromittierung möglich
- Beispiel: Ein echter Server mit absichtlich eingebauten Schwachstellen
3. Honeynets
- Ein ganzes Netzwerk aus Honeypots
- Wird oft in Forschung und großen Unternehmen eingesetzt
Was ein Honeypot sammelt
- IP‑Adressen der Angreifer
- Verwendete Exploits
- Malware‑Samples
- Kommandos, die Angreifer ausführen
- Zeitpunkte und Muster der Angriffe
Diese Daten helfen, Sicherheitsstrategien zu verbessern.
Vorteile eines Honeypots
- Erkennt Angriffe, die andere Systeme übersehen
- Liefert wertvolle Informationen über neue Bedrohungen
- Geringe False‑Positive‑Rate
- Kann Angreifer verlangsamen oder ablenken
- Unterstützt Forschung und Incident Response
Risiken und Herausforderungen
- Ein schlecht isolierter Honeypot kann selbst zur Angriffsplattform werden
- Er erkennt nur Angriffe, die ihn tatsächlich erreichen
- Erfordert Fachwissen für Einrichtung und Analyse
- Rechtliche Rahmenbedingungen müssen beachtet werden
Typische Einsatzbereiche
- Unternehmen mit hohen Sicherheitsanforderungen
- Forschungseinrichtungen
- CERTs (Computer Emergency Response Teams)
- Sicherheitsfirmen
- Netzbetreiber
