Nach dem Alarm: Wie viele forensische Beweise liefert Ihr Honeypot wirklich?

TL;DR

• Ein Alarm beweist, dass ein Einbruch stattgefunden hat. Viel mehr beweist er selten.
• Die Lücke zeigt sich in dem Moment, in dem jemand den Incident-Report schreiben und beantworten muss: Was haben sie getan? Nicht nur: Ist etwas passiert?
• Vier Dinge entscheiden, ob Ihr Decoy nach dem Alarm noch nützt: Sessiondetails, Erfassung von Zugangsdaten, Aufbewahrungsdauer und Exportformat.
• Die Aufbewahrungsdauer wird am häufigsten übersehen. Einbrüche werden oft erst Monate nach ihrem Beginn entdeckt; ein Decoy mit 90 Tagen Logs kann einen Angriff, der im März begann, nicht rekonstruieren.
• Testen Sie das, bevor Sie kaufen. Setzen Sie ein Decoy auf, greifen Sie es selbst an und lesen Sie, was zurückkommt.

Deception-Technologie wird mit einem Versprechen verkauft: Sie erfahren es früh. Dieses Versprechen ist berechtigt, und deshalb haben Decoys ihren Platz im Security-Stack mittelgroßer Organisationen verdient.

Doch mit der Frühwarnung endet die Arbeit des Produkts und beginnt Ihre. Um 03:40 Uhr ist der Alarm nützlich. Um 09:00 Uhr, in einem Raum mit Ihrem CISO, dem Fragebogen Ihres Versicherers und womöglich einer Meldefrist der Aufsichtsbehörde, nützt der Alarm allein fast nichts mehr. Dann zählen die Beweise dahinter.

Die vier Fragen, die Ihr Incident-Report beantworten muss

Jede ernsthafte Aufarbeitung beantwortet dieselben vier Fragen:

• Wie sind sie hineingekommen?
• Was haben sie getan?
• Worauf hatten sie es abgesehen?
• Sind sie noch da?

Ein Decoy, das nur eine Quell-IP, einen Zeitstempel und einen Port festhält, beantwortet die erste Frage teilweise und die übrigen gar nicht. Ist die Quelle ein interner Host, wissen Sie, dass dieser Host kompromittiert ist — wirklich wertvoll, und genau deshalb funktioniert Deception. Über Absicht, Methode oder Ausmaß wissen Sie damit aber noch nichts.

Dünne Beweise gegen belastbare Beweise

Ein dünner Erkennungsdatensatz sieht ungefähr so aus:

10.14.2.71 → decoy-fs01, SSH (22), 03:41:07

Ein belastbarer enthält die Session selbst: die versuchten Benutzernamen und Passwörter und in welcher Reihenfolge, die nach dem Verbinden abgesetzten Befehle, die angeforderten Dateien sowie die Protokolleigenheiten und das Timing, die das eingesetzte Werkzeug verraten.

Dieser Unterschied prägt die nächsten 48 Stunden. Zugangsdaten, die gegen ein Decoy versucht wurden, lassen sich mit Ihrem echten Verzeichnisdienst abgleichen — stimmen sie überein, wissen Sie soeben, dass Ihr Verzeichnis abgeflossen ist und welches Konto Sie zuerst zurücksetzen müssen. Befehlsfolgen werden zum Suchmuster für die Jagd im übrigen Netz. Timing- und Tooling-Signaturen unterscheiden einen opportunistischen Scanner von jemandem, der weiß, wonach er sucht.

Ohne dieses Material jagen Sie einer IP-Adresse hinterher, die jeder kompetente Eindringling längst gewechselt hat.

Aufbewahrung: die vergessene Hälfte

Detailtiefe nützt nichts, wenn die Daten abgelaufen sind.

Einbrüche werden regelmäßig lange nach ihrem Beginn entdeckt; Verweildauern von vielen Monaten sind weiterhin üblich. Wenn Sie im Oktober endlich einen Angreifer entdecken, drehen sich die Fragen um das, was im Juni geschah. Eine Plattform, die 90 Tage an Erkennungen vorhält, kann sie nicht beantworten.

Das ist eine Spezifikation, die Sie auf der Preisseite prüfen, und keine Funktion, die Sie in einer Demo besprechen. SecurityHive bewahrt Erkennungsdaten bei Core ein Jahr und bei Advanced zwei Jahre auf und deckt damit eine realistische Verweildauer ab statt eines bequemen Quartals.

Bekommen Sie die Beweise auch wieder heraus?

Drei praktische Tests, die alle leicht übersehen werden:

• Export. Können Sie einem forensischen Ermittler eine Datei übergeben, mit der er arbeiten kann, oder nur einen Screenshot eines Dashboards?
• Integration. Können Erkennungen nahezu in Echtzeit in Ihr SIEM fließen? Webhooks an eigene HTTPS-Endpunkte sind die Untergrenze.
• Unabhängigkeit. Was geschieht mit der Historie, wenn Sie den Vertrag kündigen?

Testen Sie es, bevor Sie kaufen

Das Nützlichste, was Sie während einer Evaluierung tun können, dauert zwanzig Minuten:

• Setzen Sie ein Decoy in einem Testsegment auf.
• Greifen Sie es selbst an — scannen Sie die Ports, versuchen Sie SSH-Logins mit drei erfundenen Zugangsdaten, durchsuchen Sie die Dateifreigaben.
• Öffnen Sie den Erkennungsdatensatz und fragen Sie sich, ob Sie daraus einen Incident-Report schreiben könnten.

Lautet die Antwort Nein, wissen Sie das nach zwanzig Minuten statt während Ihres ersten echten Sicherheitsvorfalls. Es ist zugleich der schnellste Weg, zwei Produkte ehrlich zu vergleichen — und genau deshalb ist ein verfügbarer Self-Service-Test ein inhaltliches Kriterium und keine Bequemlichkeit.

Kostenlos mit SecurityHive starten — Decoy aufsetzen, bewusst auslösen und lesen, was zurückkommt.

Häufig gestellte Fragen

Welche Daten sollte ein Honeypot für forensische Zwecke erfassen?

Mindestens: Quell- und Zieladressen, exakte Zeitstempel, das genutzte Protokoll und den Dienst sowie den vollständigen Sessioninhalt, soweit das Protokoll es zulässt — versuchte Zugangsdaten, abgesetzte Befehle, angeforderte Dateien und deren Reihenfolge. Die Reihenfolge wiegt ebenso schwer wie der Inhalt; sie verrät Werkzeug und Absicht.

Wie lange sollten Erkennungsdaten eines Honeypots aufbewahrt werden?

Lange genug, um eine realistische Verweildauer abzudecken, und die misst man in Monaten, nicht in Wochen. Ein Jahr ist eine sinnvolle Untergrenze; zwei Jahre sind sicherer für regulierte Branchen und für Organisationen, die aus Versicherungs- oder Vertragsgründen im Nachhinein Beweise vorlegen müssen.

Sind Honeypot-Daten als Beweismittel zulässig?

Das hängt vollständig von der Rechtsordnung und vom Umgang mit den Daten ab — Integrität, Zeitstempelung und Chain of Custody zählen alle, und darüber entscheidet nicht der Anbieter. Behandeln Sie die Ausgabe eines Decoys als Ermittlungsmaterial, das einen Incident-Response-Prozess stützt, und ziehen Sie frühzeitig Rechtsbeistand hinzu, wenn Sie ein Verfahren erwarten.

Schafft die Erfassung von mehr Details Datenschutzprobleme?

Weniger, als Sie vermuten. Ein Decoy hat keine legitimen Nutzer, alles was es aufzeichnet, ist also per Definition unbefugte Aktivität und kein Mitarbeiterverhalten. Allerdings können Quell-IP-Adressen nach DSGVO personenbezogene Daten sein: Dokumentieren Sie Ihre Rechtsgrundlage, Ihre Aufbewahrungsfrist und den Speicherort — was zugleich ein Grund ist, die Hosting-Jurisdiktion Ihrer Plattform zu prüfen.