Honeypots: Effiziente IT-Frühwarnsysteme

Mit Speck fängt man Mäuse, mit einer Köderfalle namens “Honeypot” Cracker. Das ist ein Computersystem, das Cracker, Spamversender oder Botnetz-Admins anlocken soll. Er hat zwei Aufgaben: Zum einen erlaubt er die Analyse der Angriffsmethoden und Vorgehensweisen von Crackern, zum anderen arbeitet er als Frühwarnssystem.

Grundsätzlich ist ein Honeypot ein beliebiges Computersystem, auf dem sich Sicherheitslücken befinden - allerdings kontrollierte. Für diesen Zweck gibt es Spezialsoftware, mit der ein Computer maskiert werden kann. Er wirkt dann zum Beispiel aus dem Internet wie ein lange nicht gepatchtes Windows-XP-System.

Vor ein paar Jahren gab es eine sehr große Euphorie Sachen Honeypots. Davon ist nicht mehr viel übrig geblieben, die IT-Leimfallen sind ein wenig ins Hintertreffen geraten. Das findet Sicherheitsexperte Roger A. Grimes etwas verwunderlich, denn Honeypots haben aus seiner Sicht viele Vorteile.

Der wichtigste Nutzen ist die Arbeit als kostengünstiges Intrusion Detection System. So können zum Beispiel relativ einfach vorhandene Altgeräte umgerüstet werden. Die mangelhafte Arbeitsgeschwindigkeit und ungenügende Ressourcen sind für den Einsatz als Falle zweitrangig. Damit können Unternehmen sehr leicht feststellen, ob ihre Netzwerke und IT-Systeme das Ziel von Angriffen sind.

“Honeypots sind exzellente Frühwarnsysteme,” meint Grimes in seinem Artikel. “Nach etwas Feinarbeit bei der Einrichtung funktionieren sie wartungsarm und erzeugen nur wenig falsch-positive Meldungen - anders als Firewalls und herkömmliche Intrusion Detection Systeme.”

In der Praxis werden diese digitalen Fallen sehr häufig ausschließlich zur Analyse der Vorgehensweise von Crackern eingesetzt. Im Gegensatz zu einer herkömmlichen forensischen Untersuchung erlauben gezielte Veränderungen im Betriebssystem des Honeypots das direkte Mitschneiden aller Aktivitäten eines Angreifers.

“Wir erhalten konkrete Informationen zum Ablauf eines Angriffs“, sagt Professor Dr. Thorsten Holz vom Lehrstuhl für Systemsicherheit der Ruhruni Bochum. “Durch die Vielfalt der so gewonnenen Daten kann man schneller und genauer die Angriffswege, Motive und Methoden von Angreifern erforschen.”

Die Detailinfos über das Verhalten von Crackern erlauben das Verbessern der Abwehrmaßnahmen, betont Honeypot-Experte Holz. “Effizienter werden Abwehrmaßnahmen dadurch, dass man nur die Angriffe untersucht, die auch eine konkrete Bedrohung für die eigenen Rechner in einem Netzwerk darstellen.”

Außerdem können effektiv neue Schwachstellen entdeckt und analysiert werden. Diese Möglichkeit ist vor allem für Softwarehersteller, aber auch für Mobilfunkprovider interessant. So hat zum Beispiel die Telekom in ihrem Mobilfunknetz eine gewisse Anzahl an Smartphone-Honeypots aufgebaut - iPhones und Androiden mit Schwachstellen.

Für solche Köderfallen setzt die Telekom keine echten Handys ein, sondern spezielle Hilfsprogramme, die Geräte und Betriebssystemversionen lediglich vortäuschen. Dies bedeutet aber auch, dass die Konfiguration eines Honeypots keine einfache Aufgabe ist.

Genau solche Probleme bei der praktischen Anwendung stellte die “European Network and Information Security Agency (ENISA)” in ihrer Studie zu Honeypots fest. Dafür wurden 30 verschiedene Tools intensiv geprüft. Hauptsächliche Kritikpunkte sind fehlende Dokumentation und Softwarestabilität sowie mangelnde Entwicklungsunterstützung und Standardisierung.

Honeypots sind kostengünstige und effiziente Intrusion Detection Systeme. Ihr Einsatz erfordert aber umfassendes und damit wertvolles Knowhow.

Bildquelle: Ruhruni Bochum