TL;DR
- Jeder Honeypot-Alarm sagt Ihnen, dass etwas geschehen ist. Nur manche sagen, was geschehen ist.
- Ein Low-Interaction-Decoy sagt vor allem, dass jemand es berührt hat. Höhere Interaktion kann zeigen, welche Zugangsdaten versucht, welche Befehle abgesetzt, welche Werkzeuge genutzt wurden und was der Angreifer wollte.
- Low Interaction ist nicht minderwertig: Sie priorisiert bewusst nahezu null Fehlalarme, geringes Risiko und minimale Wartung gegenüber Ermittlungstiefe.
- Die Abwägung zählt erst nach einem Alarm, wenn Responder erklären müssen, was geschehen ist, und bestimmen müssen, wonach sie anderswo suchen.
- Sie müssen nicht eine Interaktionsstufe für das gesamte Netz wählen. Meist ist es besser, die Tiefe auf Segment und Sensor abzustimmen.
Was Interaktionsstufe wirklich bedeutet
Die Interaktionsstufe beschreibt, wie weit ein Decoy einen Angreifer gehen lässt, bevor die Illusion endet. Die praktische Frage ist einfach: Wenn ein Angreifer mit dem Decoy interagiert, reagiert das Decoy zurück?
- Niedrig — das Decoy öffnet einen Port oder gibt ein Banner zurück. Sie erfahren: Quell-IP, Zeitstempel, Port, Protokoll.
- Mittel — das Decoy emuliert Verhalten auf Anwendungsebene. Sie erfahren: versuchte Zugangsdaten, Befehle, Ablauf der Session.
- Hoch — das Decoy betreibt einen echten Dienst oder ein abgeschottetes System. Sie erfahren: vollständiges Verhalten, Werkzeuge, Dateien und Versuche lateraler Bewegung.
Anbieter verwenden diese Bezeichnungen unterschiedlich. Vergleichen Sie deshalb den tatsächlichen Erkennungsdatensatz statt des Produktlabels.
Low Interaction: das Stolperdraht-Modell
Ein Low-Interaction-Decoy wirkt wie ein Bewegungsmelder dort, wo legitime Nutzer und Systeme nichts zu suchen haben. Seine Stärken sind erheblich: nahezu null Fehlalarme, kaum Tuning, minimales Ausbruchsrisiko und sehr geringer Betriebsaufwand. Für ein schlankes Team, dem es vor allem um Frühwarnung geht, kann das genau die richtige Abwägung sein.
Lautet der Reaktionsplan schlicht isolieren und eskalieren, sind ausführliche Verhaltensbeweise womöglich überflüssig.
Höhere Interaktion: der Beobachtungsposten
Decoys mit höherer Interaktion tauschen Einfachheit gegen Beweise. Statt nur festzuhalten, dass ein SSH-Dienst berührt wurde, können sie einen funktionierend wirkenden Dienst emulieren oder betreiben und den Austausch aufzeichnen. Das kann versuchte Zugangsdaten, Befehlsfolgen, Hinweise auf Werkzeuge und Automatisierung sowie die Absicht des Angreifers offenlegen.
Solche Beweise können Untersuchungen verkürzen: Zugangsdaten können ein kompromittiertes Konto benennen, während Befehle und Verhalten Muster für breiteres Threat Hunting und forensische Berichte liefern.
Die Fragen, die Responder beantwortet brauchen
Sowohl niedrige als auch hohe Interaktion kann die erste Frage beantworten: Ist das echt? Eine Quell-IP kann zudem einen internen Host offenlegen, der bereits kompromittiert ist. Deutlicher wird der Unterschied bei zwei späteren Fragen: Was wollten sie tun, und wo waren sie sonst noch? Ein Verbindungsdatensatz zeigt selten Absicht; ein Sessionprotokoll schon.
Verhaltensdetails liefern zudem stärkere Suchindikatoren als eine IP-Adresse allein.
Was Tiefe kostet
Höhere Interaktion bringt reale Betriebskosten mit sich. Mehr Daten bedeuten mehr Entscheidungen: Jemand muss die Session prüfen. Mehr Angriffsfläche verlangt mehr Sorgfalt: Echte Dienste erfordern Segmentierung, Egress-Beschränkungen und klare Containment-Regeln. Breiteres Sensing kann mehr Rauschen erzeugen: Portscan- und ICMP-Sensoren können bei autorisierten Scans und Asset Discovery auslösen.
Low Interaction ist daher eine stimmige Wahl. Das Gleichgewicht verschiebt sich, sobald eine Organisation einen Vorfall erklären und nicht nur erkennen muss.
Die richtige Stufe wählen
Tiefere Interaktion ist wertvoller bei Reaktion im eigenen Haus, detaillierter Berichterstattung, segmentierten oder kritischen Umgebungen und wenn Deception-Daten in SIEM-, SOAR- oder Threat-Intelligence-Prozesse fließen.
Führen die meisten Alarme ohnehin nur zu Isolierung und Eskalation, ist ein stiller Stolperdraht möglicherweise wirtschaftlicher. Kaufen Sie keine Ermittlungstiefe, für die niemand Zeit oder Zuständigkeit hat.
Ein Mittelweg: Interaktion pro Sensor
Die Gegenüberstellung niedrig gegen hoch kann in die Irre führen, denn die Interaktionsstufe muss keine plattformweite Entscheidung sein. SecurityHive kombiniert reine Erkennungssensoren, Layer-7-Emulation und einen echten HTTP-Dienst in einem Honeypot. Zu den reinen Erkennungsoptionen zählen Blackhole-, Ping- und Portscan-Sensoren; auf Anwendungsebene stehen SSH, FTP, SMB, MSSQL, MySQL und UPnP zur Verfügung.
Erweiterte Konfiguration und Unterstützung mehrerer VLANs erlauben einen stillen Stolperdraht im einen Segment und tiefere Emulation rund um sensible Systeme.
Was Sie einen Anbieter fragen sollten
- Zeigen Sie mir einen echten Erkennungsdatensatz. Fragen Sie nach den tatsächlich erfassten Daten, sensible Werte geschwärzt.
- Welche Dienste emulieren ein Protokoll und welche öffnen nur einen Port? Lassen Sie sich das Sensor für Sensor beantworten.
- Lässt sich die Interaktion pro Sensor oder pro Decoy konfigurieren? Nehmen Sie nicht an, dass ein Produktlabel jeden Dienst beschreibt.
- Was geschieht mit den erfassten Daten? Fragen Sie, wo sie gespeichert werden, wie lange und ob sie exportierbar sind.
- Was genau ist das Web-Decoy? Klären Sie, ob es eine statische Seite, ein emulierter Dienst oder ein echter HTTP-Server ist.
Was das für Sie bedeutet
Die Interaktionsstufe ist eine Abwägung, keine Rangordnung. Low Interaction erkauft Einfachheit; höhere Interaktion erkauft Beweise. Das beste Design passt zu jedem Segment und zur Reaktionsfähigkeit Ihres Teams.
Sehen Sie, wie ein Erkennungsdatensatz wirklich aussieht. Mit einem kostenlosen SecurityHive-Test setzen Sie ein Decoy auf, lösen es selbst aus und prüfen, was zurückkommt.
Häufig gestellte Fragen
Ist ein High-Interaction-Honeypot im Produktionsnetz gefährlich?
Er verlangt mehr Sorgfalt, denn ein Decoy mit echten Diensten darf kein Brückenkopf werden. Nutzen Sie strikte Segmentierung, enge Egress-Regeln, keine echten Zugangsdaten oder wertvollen Daten und überwachen Sie das Decoy selbst. Fragen Sie den Anbieter genau, was das Decoy erreichen darf.
Erzeugt eine höhere Interaktionsstufe nicht mehr Fehlalarme?
Nicht zwangsläufig. Ein Decoy, das legitime Nutzer nie berühren sollten, liefert weiterhin ein starkes Signal. Das Alarmvolumen steigt vor allem durch breiteres Sensing, etwa Scan-Erkennung und ICMP-Sensoren, die auch autorisierte Schwachstellenscans oder Asset Discovery sehen. Durchdachte Sensorplatzierung ist die Antwort.
Welche Daten sollte ein Honeypot für forensische Zwecke erfassen?
Mindestens: Quell- und Zieladressen, exakte Zeitstempel, Protokoll und Dienst sowie nach Möglichkeit den Sessioninhalt — einschließlich versuchter Zugangsdaten, abgesetzter Befehle, angeforderter Dateien und der Reihenfolge der Ereignisse. Aufbewahrung und Exportierbarkeit sind ebenso wichtig.
Kann ich Interaktionsstufen in einem Rollout mischen?
Ja. Ein praktisches Muster ist reine Erkennung in lauten oder weniger wertvollen Segmenten und tiefere Emulation rund um sensible Systeme. Prüfen Sie, ob die Plattform Konfiguration pro Sensor und pro Decoy unterstützt, statt eine globale Stufe zu erzwingen.