Low-interaction versus high-interaction honeypots: wat je alarm je niet vertelt

TL;DR

• Elk honeypotalarm vertelt je dát er iets gebeurde. Slechts sommige vertellen wát er gebeurde.
• Een low-interaction decoy vertelt vooral dat iemand hem heeft aangeraakt. Meer interactie kan laten zien welke inloggegevens zijn geprobeerd, welke commando's zijn uitgevoerd, welk gereedschap is gebruikt en wat de aanvaller wilde.
• Low interaction is niet minderwaardig: het kiest bewust voor vrijwel nul valse positieven, laag risico en minimaal onderhoud in plaats van onderzoeksdiepte.
• Die afweging gaat pas tellen ná een alarm, wanneer responders moeten uitleggen wat er gebeurde en moeten bepalen waar ze elders op moeten jagen.
• Je hoeft niet één interactieniveau voor je hele netwerk te kiezen. Vaak is het beter om de diepgang af te stemmen op het segment en de sensor.

Wat interactieniveau eigenlijk betekent

Het interactieniveau beschrijft hoe ver een decoy een aanvaller laat gaan voordat de illusie stopt. De praktische vraag is simpel: als een aanvaller contact maakt met de decoy, doet de decoy dan iets terug?

• Laag — de decoy opent een poort of geeft een banner terug. Je leert: bron-IP, tijdstempel, poort, protocol.
• Middel — de decoy emuleert gedrag op applicatieniveau. Je leert: geprobeerde inloggegevens, commando's, de volgorde van de sessie.
• Hoog — de decoy draait een echte dienst of een afgeschermd systeem. Je leert: volledig gedrag, gereedschap, bestanden en pogingen tot laterale beweging.

Leveranciers gebruiken deze labels verschillend, dus vergelijk de daadwerkelijke detectieregistratie in plaats van het productlabel.

Low interaction: het struikeldraadmodel

Een low-interaction decoy werkt als een bewegingsmelder op een plek waar legitieme gebruikers en systemen niets te zoeken hebben. De sterke punten zijn aanzienlijk: vrijwel nul valse positieven, nauwelijks tuning, minimaal risico op uitbraak en zeer lage operationele last. Voor een kleine ploeg die vooral vroege waarschuwing wil, kan dat precies de juiste afweging zijn.

Is het responseplan simpelweg isoleren en escaleren, dan is uitgebreid gedragsbewijs misschien overbodig.

Meer interactie: de observatiepost

Decoys met meer interactie ruilen eenvoud in voor bewijs. In plaats van alleen vast te leggen dát een SSH-dienst is aangeraakt, kunnen ze een werkend ogende dienst emuleren of draaien en de uitwisseling vastleggen. Dat kan geprobeerde inloggegevens, commandoreeksen, signalen over gereedschap en automatisering en de intentie van de aanvaller blootleggen.

Dat bewijs kan onderzoek bekorten: inloggegevens wijzen mogelijk een gecompromitteerd account aan, terwijl commando's en gedrag patronen opleveren voor bredere threat hunting en forensische rapportage.

De vragen waar responders antwoord op nodig hebben

Zowel lage als hoge interactie kan de eerste vraag beantwoorden: is dit echt? Een bron-IP kan bovendien een interne host aanwijzen die al gecompromitteerd is. Het verschil wordt scherper bij twee latere vragen: wat wilden ze doen, en waar zijn ze nog meer geweest? Een verbindingsregistratie laat zelden intentie zien; een sessietranscript wel.

Gedragsdetail levert ook sterkere zoekindicatoren op dan een IP-adres alleen.

Wat diepgang kost

Meer interactie brengt echte operationele kosten mee. Meer data betekent meer beslissingen: iemand moet de sessie beoordelen. Meer oppervlak vraagt meer zorg: echte diensten vereisen segmentatie, uitgaande beperkingen en heldere containment. Breder waarnemen kan meer ruis geven: poortscan- en ICMP-sensoren kunnen afgaan tijdens geautoriseerde scans en asset discovery.

Low interaction is daarmee een samenhangende keuze. De balans verschuift zodra een organisatie een incident moet uitleggen en niet alleen moet detecteren.

Het juiste niveau kiezen

Diepere interactie is waardevoller bij respons in eigen huis, gedetailleerde rapportage, gesegmenteerde of kritieke omgevingen, en wanneer deceptiedata SIEM-, SOAR- of threat-intelligenceprocessen voedt.

Leiden de meeste alarmen simpelweg tot isoleren en escaleren, dan is een stille struikeldraad wellicht kosteneffectiever. Koop geen onderzoeksdiepte die niemand tijd of verantwoordelijkheid heeft om te gebruiken.

Een middenweg: interactie per sensor

De tegenstelling laag versus hoog kan misleiden, want het interactieniveau hoeft geen keuze te zijn voor het hele platform. SecurityHive combineert sensoren die alleen detecteren, Layer 7-emulatie en een echte HTTP-dienst binnen één honeypot. Detectie-only opties zijn onder meer blackhole-, ping- en poortscansensoren; sensoren op applicatieniveau zijn onder meer SSH, FTP, SMB, MSSQL, MySQL en UPnP.

Geavanceerde configuratie en ondersteuning voor meerdere VLAN's maken een stille struikeldraad in het ene segment mogelijk en diepere emulatie rond gevoelige systemen.

Wat je een leverancier moet vragen

• Laat me een echte detectieregistratie zien. Vraag om de daadwerkelijk vastgelegde data, met gevoelige waarden weggelakt.
• Welke diensten emuleren een protocol en welke openen alleen een poort? Vraag het per sensor.
• Kan interactie per sensor of per decoy worden ingesteld? Ga er niet van uit dat één productlabel elke dienst beschrijft.
• Wat gebeurt er met de vastgelegde data? Vraag waar die wordt opgeslagen, hoe lang en of die te exporteren is.
• Wat is de webdecoy precies? Bepaal of het een statische pagina, een geëmuleerde dienst of een echte HTTP-server is.

Waar dit je brengt

Interactieniveau is een afweging, geen rangorde. Low interaction koopt eenvoud; meer interactie koopt bewijs. Het beste ontwerp sluit aan op elk segment en op wat je team aankan qua respons.

Bekijk hoe een detectieregistratie er echt uitziet. Met een gratis SecurityHive-trial zet je een decoy neer, laat je hem zelf afgaan en bekijk je wat eruit komt.

Veelgestelde vragen

Is een high-interaction honeypot gevaarlijk op mijn productienetwerk?

Hij vraagt meer zorg, want een decoy die echte diensten draait mag geen bruggenhoofd worden. Gebruik strikte segmentatie, strakke uitgaande regels, geen echte inloggegevens of waardevolle data, en monitor de decoy zelf. Vraag de leverancier precies wat de decoy mag bereiken.

Levert een hoger interactieniveau niet meer valse positieven op?

Niet per se. Een decoy die legitieme gebruikers nooit horen aan te raken, geeft nog steeds een sterk signaal. Het aantal alarmen stijgt vooral door breder waarnemen, zoals scandetectie en ICMP-sensoren die ook geautoriseerde kwetsbaarheidsscans of asset discovery zien. Doordachte plaatsing van sensoren is het antwoord.

Welke gegevens moet een honeypot vastleggen voor forensisch gebruik?

Minimaal: bron- en bestemmingsadressen, exacte tijdstempels, protocol en dienst, plus sessie-inhoud waar mogelijk — inclusief geprobeerde inloggegevens, uitgevoerde commando's, opgevraagde bestanden en de volgorde van gebeurtenissen. Bewaartermijn en exporteerbaarheid zijn even belangrijk.

Kan ik interactieniveaus mengen in één uitrol?

Ja. Een praktisch patroon is alleen detectie in rumoerige of minder waardevolle segmenten en diepere emulatie rond gevoelige systemen. Controleer of het platform configuratie per sensor en per decoy ondersteunt in plaats van één globaal niveau af te dwingen.