Hacker anlocken und einfangen
Honeypots – beliebige Computersysteme mit Sicherheitslücken – dienen als digitale Fallen um die Vorgehensweise von Hackern zu analysieren.
Normalerweise hält sich ein guter Administrator Cyberkriminelle so weit weg vom Hals wie nur möglich. Die Admins am Horst Görtz-Institut für IT-Sicherheit der Ruhruniversität Bochum machen genau das Gegenteil – jedenfalls mit einigen ihrer Computer. Das Institut forscht unter der Leitung von Professor Dr. Thorsten Holz unter anderem an sogenannten „Honeypots“, Köderfallen im Internet.
Das sind Computersysteme, die Cracker, Spamversender oder Bordnetz-Admins anlocken soll. Diese Lockvögel haben zwei Aufgaben: Zum einen erlauben sie die Analyse der Angriffsmethoden und Vorgehensweisen von Crackern, zum anderen arbeiten sie als Frühwarnsystem.
Forensische Analyse von Angriffen
Grundsätzlich ist ein Honeypot ein beliebiges Computersystem, auf dem sich Sicherheitslücken befinden – allerdings kontrollierte. Für diesen Zweck gibt es Spezialsoftware, mit der ein Computer maskiert werden kann. Er wirkt dann zum Beispiel aus dem Internet wie ein lange nicht gepatchtes Windows-XP-System – ein wegen der veralteten Technologie besonders attraktives Ziel für Trojaner.
Der wichtigste Nutzen ist die Arbeit als kostengünstiges Intrusion Detection System. So können zum Beispiel relativ einfach vorhandene Altgeräte umgerüstet werden. Die mangelhafte Arbeitsgeschwindigkeit und ungenügende Ressourcen sind für den Einsatz als Falle zweitrangig. Damit können Unternehmen sehr leicht feststellen, ob ihre Netzwerke und IT-Systeme das Ziel von Angriffen sind.
Außerdem werden diese digitalen Fallen sehr häufig zur Analyse der Vorgehensweise von Crackern eingesetzt. Im Gegensatz zu einer herkömmlichen forensischen Untersuchung erlauben gezielte Veränderungen im Betriebssystem des Honeypots das direkte Mitschneiden aller Aktivitäten eines Angreifers.
„Wir erhalten konkrete Informationen zum Ablauf eines Angriffs“, sagt Thomas Holz. „Durch die Vielfalt der so gewonnenen Daten kann man schneller und genauer die Angriffswege, Motive und Methoden von Angreifern erforschen.”
Entdeckung von neuen Schwachstellen
Die Detailinfos über das Verhalten von Crackern erlauben das Verbessern der Abwehrmaßnahmen, betont Honeypot-Experte Holz. „Effizienter werden Abwehrmaßnahmen dadurch, dass man nur die Angriffe untersucht, die auch eine konkrete Bedrohung für die eigenen Rechner in einem Netzwerk darstellen.”
Außerdem können effektiv neue Schwachstellen entdeckt und analysiert werden. Diese Möglichkeit ist vor allem für Softwarehersteller, aber auch für Mobilfunkprovider interessant. So hat zum Beispiel die Telekom in ihrem Mobilfunknetz eine gewisse Anzahl an Smartphone-Honeypots aufgebaut – iPhones und Androiden mit Schwachstellen.
Die Telekom nutzt die Erkenntnisse aus der Überwachung und Analyse der Ergebnisse für die Weiterentwicklung ihrer eigenen Software. Sie schließt damit Sicherheitslücken gezielt und schützt neue Systeme bereits während der Entwicklung gegen die bekannten Gefahren.
Ein weiterer Anwendungsbereich für Honeypots hat allerdings nichts mit Informationstechnologie zu tun: Durch die Köderfalle kann ein Hackerangriff gerichtsfest dokumentiert werden. Die Protokolldateien gelten als Beweismittel und können durch IT-Forensik auch zur Identifikation des Angreifers genutzt werden.
Bildquelle: Thinkstock/ iStock
