Als Honigtopf oder auch englisch Honeypot wird eine Einrichtung bezeichnet, die einen Angreifer oder Feind vom eigentlichen Ziel ablenken soll oder die Personen in einen Bereich hineinziehen soll, der sie sonst nicht interessiert hätte. Der Ursprung stammt aus der Beschäftigung mit Bären, die man mit einem Honigtopf sowohl von einem Angriff auf die eigene Person oder das eigene Lebensmittellager ablenken, als auch in eine Falle locken kann.
Im übertragenen Sinne werden sehr verschiedene Dinge als „Honeypot“ bezeichnet.
In der Computersicherheit wird ein Computerprogramm oder ein Server als Honeypot (oder früher auch Iron Box) bezeichnet, das Netzwerkdienste eines Computers, eines ganzen Rechnernetzes oder das Verhalten eines Anwenders simuliert. Honeypots werden eingesetzt, um Informationen über Angriffsmuster und Angreiferverhalten zu erhalten. Erfolgt ein Zugriff auf einen derartigen virtuellen Dienst oder Nutzer, werden alle damit verbundenen Aktionen protokolliert und gegebenenfalls ein Alarm ausgelöst. Das wertvolle reale Netzwerk bleibt von Angriffsversuchen möglichst verschont, da es besser gesichert ist als der Honeypot.
Die Idee hinter Honeypot-Diensten ist, in einem Netzwerk einen oder mehrere Honeypots zu installieren, die keine vom Anwender selbst oder seinen Kommunikationspartnern benötigten Dienste bieten und daher im Normalbetrieb niemals angesprochen werden. Ein Angreifer, der nicht zwischen echten Servern/Programmen und Honeypots unterscheiden kann und routinemäßig alle Netzkomponenten auf Schwachstellen untersucht, wird früher oder später die von einem Honeypot angebotenen Dienste in Anspruch nehmen und dabei von dem Honeypot protokolliert werden. Da es ein ungenutztes System ist, ist jeder Zugriff darauf als ein Angriffsversuch zu werten.
Honeypots, die Anwender simulieren (honeyclients), nutzen normale Webbrowser und besuchen Websites, um Angriffe auf den Browser oder Browser-Plug-ins festzustellen.
Mehrere Honeypots können zu einem Honeynet zusammengeschlossen werden.
Ein physischer Honeypot ist ein realer Rechner im Netzwerk mit eigener Netzwerkadresse. Ein virtueller Honeypot ist ein logisch eigenständiges System, das durch einen anderen Rechner simuliert wird. Beim Client Honeypot wird ein realer Server von einer Honeypot-Software angesprochen. Beim Server Honeypot werden reale Clients von einer Honeypot-Software „bedient“.
Man unterscheidet unabhängig von der Art der Implementierung jeweils zwischen low interaction und high interaction Honeypots.
Ein Low-Interaction server Honeypot ist meist ein Programm, das einen oder mehrere Dienste emuliert. Der Informationsgewinn durch ein Low-Interaction-Honeypot ist daher beschränkt. Er wird insbesondere zur Gewinnung statistischer Daten eingesetzt. Ein versierter Angreifer hat wenig Probleme, einen Low-Interaction-Honeypot zu erkennen. Um automatisierte Angriffe beispielsweise von Computerwürmern zu protokollieren, reicht ein Low-Interaction Honeypot allerdings vollständig aus. In diesem Sinn kann er als ein Intrusion Detection System genutzt werden.
Einige Beispiele für Low-Interaction Honeypots sind:
Low-Interaction Client Honeypots sind eigenständige Programme, die ohne die Verwendung von normalen WebBrowsern Webseiten besuchen und versuchen Angriffe auf den emulierten Browser zu erkennen.
phoneyc ist ein in Python geschriebener Client Honeypot, der Websites besucht um Angriffe auf bekannte Lücken in WebBrowsern und Plugins zu finden. phoneyc nutzt, die ebenfalls von Firefox verwendete, Javascript Engine SpiderMonkey um Angriffe zu erkennen.
High-Interaction Honeypots sind zumeist vollständige Server, die Dienste anbieten. Sie sind schwieriger einzurichten und zu verwalten als Low-Interaction Honeypots. Der Fokus bei einem High-Interaction-Honeypot liegt nicht auf automatisierten Angriffen, sondern darauf, manuell ausgeführte Angriffe zu beobachten und protokollieren, um so neue Methoden der Angreifer rechtzeitig erkennen zu können. Zu diesem Zweck ist es sinnvoll, dass es sich bei einem High-Interaction-Honeypot um ein high value target handelt, einen Server, dem von potentiellen Angreifern ein hoher Wert nachgesagt wird.
Zur Überwachung eines High-Interaction-Honeypots wird eine spezielle Software eingesetzt, meist das frei verfügbare Sebek, die vom Kernelspace aus alle Programme des Userspace überwacht und die anfallenden Daten vom Kernelspace aus an einen loggenden Server sendet. Ziel von Sebek ist es, unerkannt zu bleiben; ein Angreifer soll nicht wissen und auch nicht ahnen können, dass er überwacht wird.
Der auf Qemu basierende Argos Honeypot kommt ohne eine spezielle Überwachungssoftware aus. Um Angriffe über das Netzwerk zu erkennen, werden Speicherinhalte, die Daten enthalten, die über das Netzwerk empfangen wurden, von dem modifiziertem Qemu als verseucht (tainted) markiert. Speicherinhalte die durch verseuchte Speicherinhalte erzeugt wurden, gelten ebenfalls als verseucht. Sobald verseuchter Speicherinhalt von der CPU ausgeführt werden soll, schreibt Argos den Datenstrom und Speicherinhalt zu weiteren forensischen Analyse nieder, und beendet sich. Durch den für die Emulation und Überprüfung des Speichers notwendigen Mehraufwand erreicht ein Argos Honeypot nur einen Bruchteil der Geschwindigkeit eines nativen Systems auf gleicher Hardware.
High-Interaction Client Honeypots laufen auf regulären Betriebssystemen und nutzen reguläre Webbrowser um Angriffe auf Browser zu erkennen.
Capture-HPC nutzt eine Client-Server Architektur, bei der der Server die zu besuchenden Websites vorhält, die von den Clients besucht werden, und an den die Ergebnisse zurückgemeldet werden.
Tarpits (engl. für „Teergrube“) dienen beispielsweise dazu, die Verbreitungsgeschwindigkeit von Würmern zu verringern. Das Verfahren ist auch unter dem Namen LaBrea bekannt. Teergruben täuschen große Netzwerke vor und verlangsamen oder behindern so beispielsweise die Verbreitung von Internetwürmern und/oder die Durchführung von Netzwerkscans. Ebenso gibt es aber auch Teergruben, die offene Proxyserver emulieren und – falls jemand versucht, Spam über diesen Dienst zu verschicken – den Sender dadurch ausbremsen, dass sie die Daten nur sehr langsam übertragen.
Angelehnt an das Honeypot-Konzept existieren weitere Ansätze zum Entlarven von potenziellen Angreifern auf Web-Anwendungen. Spezielle Web Application Firewalls injizieren hierzu in HTML-Kommentaren versteckte Links auf nicht existierende Seiten bzw. potenziell interessante Teilbereiche einer Web-Anwendung. Diese sogenannten Honeylinks werden von den Nutzern nicht wahrgenommen, von potenziellen Angreifern im Rahmen einer Code-Analyse des HTML-Codes jedoch schon. Wenn nun ein solcher Honeylink aufgerufen wird, kann die WAF (Web Application Firewall) dies als Angriffsversuch werten und weitere Schutzmaßnahmen (z. B. ein Beenden der Web-Session) ergreifen.
Mit Hilfe sogenannter SQL Injection Attacken wird versucht direkt auf die Datenbanken einer Webseite zu gelangen. Da eine normale Firewall diese Zugriffe nicht erkennt (der Angriff kommt über die Webseite und somit von einem bekannten System), verwenden Unternehmen sogenannte Datenbank-Firewalls. Diese können so konfiguriert werden, dass Angreifer glauben erfolgreich zu sein in Wirklichkeit aber arbeiten sie auf einer Honeypot-Datenbank.[1]
Auch in Bezug auf die Verfolgung von Urheberrechtsverletzungen taucht manchmal der Begriff Honeypot auf. In diesem Fall werden urheberrechtlich geschützte Werke von Organisationen wie der Gesellschaft zur Verfolgung von Urheberrechtsverletzungen (GVU) angeboten, um unvorsichtige Erwerber oder Filesharer zu fassen.
Strafverfolgungsbehörden, insbesondere das US-amerikanische FBI, fahnden auch mit Hilfe von Honeypots z. B. nach Konsumenten von Kinderpornografie. Dazu werden Server eingerichtet, welche vorgeben, Kinderpornographie zum Download anzubieten. Tatsächlich werden strafrechtlich irrelevante Daten angeboten, die Zugriffe protokolliert und anschließend Strafverfahren gegen die zugreifenden Personen eingeleitet. Im Zuge dieser Strafverfahren werden über die Internetdienstanbieter die Identität der Personen ermittelt und Durchsuchungsbeschlüsse eingeholt. Dieses Verfahren wurde nach dem Einspruch eines Betroffenen durch ein Gericht für zulässig erklärt.[2] Auf mögliche Statistik-Verfälschungen durch diese Honeypot-Website-Strategien machte Bettina Winsemann 2010 aufmerksam.[3]
Ebenso wurden seit 2004 Webseiten des deutschen Bundeskriminalamts als „honeypot“ verwendet, um Mitglieder der militanten gruppe zu identifizieren. Dabei wurden nach einem getarnten Lockbeitrag in der Publikation Interim IP-Adressen der Besucher gespeichert, um diese Adressen bestimmten Kreisen zuzuordnen. Das Unternehmen war insgesamt erfolglos.[4] 2009 untersagte das Bundesinnenministerium die Überwachung von Verbindungsdaten, da es diese für einen schwerwiegenden „Eingriff in das Grundrecht auf informationelle Selbstbestimmung“ hält.[5]
Ähnlich ging die Polizei in Heilbronn vor, die während Mai 2007 und Januar 2008 ihre Internetseite als „honeypot“ verwendete. Die Besucher wurden mit Hilfe des Bundeskriminalamts registriert, in der Hoffnung, damit die Täter des zuvor ereigneten Polizistenmordes zu identifizieren. Die Zeitschrift Focus zitierte im Mai 2012 aus internen Akten, dass die Aktion rechtlich auf „sehr wackeligen Beinen“ stand und deswegen der Öffentlichkeit verschwiegen worden war. Auch diese Aktion war erfolglos.[6]
Klassische Fallbeschreibungen:
auf deutsch „Kuckucksei“, erschienen im Fischer-Verlag
Dieser Artikel basiert auf dem Artikel Honeypot aus der freien Enzyklopädie Wikipedia und ist unter der Lizenz Creative Commons Attribution/Share Alike verfügbar. Zusätzliche Bedingungen können anwendbar sein. In der Wikipedia ist eine Liste der Autoren verfügbar. |
Wetter
