Na het alarm: hoeveel forensisch bewijs levert je honeypot eigenlijk op?

TL;DR

• Een alarm bewijst dat er een inbraak was. Veel meer bewijst het zelden.
• Het gat wordt zichtbaar op het moment dat iemand het incidentrapport moet schrijven en antwoord moet geven op: wat hebben ze gedaan. Niet alleen: is er iets gebeurd.
• Vier dingen bepalen of je decoy ná het alarm nog nut heeft: sessiedetail, het vastleggen van inloggegevens, de bewaartermijn en het exportformaat.
• De bewaartermijn wordt het vaakst over het hoofd gezien. Inbraken worden regelmatig pas maanden na aanvang ontdekt; een decoy met logs van 90 dagen kan een inbraak die in maart begon niet reconstrueren.
• Test dit voordat je koopt. Zet een decoy neer, val hem zelf aan en lees wat eruit komt.

Deceptietechnologie wordt verkocht op één belofte: je komt er vroeg achter. Die belofte is terecht, en daarom hebben decoys hun plek verdiend in de securitystack van middelgrote organisaties.

Maar bij die vroege waarschuwing houdt het werk van het product op en begint dat van jou. Om 03:40 is het alarm nuttig. Om 09:00, in een kamer met je CISO, de vragenlijst van je verzekeraar en mogelijk een meldtermijn van de toezichthouder, heb je aan het alarm alleen bijna niets. Dan telt het bewijs dat erachter zit.

De vier vragen die je incidentrapport moet beantwoorden

Elke serieuze evaluatie achteraf beantwoordt dezelfde vier vragen:

• Hoe zijn ze binnengekomen?
• Wat hebben ze gedaan?
• Waar waren ze op uit?
• Zitten ze er nog?

Een decoy die alleen een bron-IP, een tijdstempel en een poort vastlegt, beantwoordt de eerste vraag gedeeltelijk en de rest niet. Is de bron een interne host, dan weet je dat die host gecompromitteerd is — echt waardevol, en precies waarom deceptie werkt. Maar over intentie, methode of omvang weet je dan nog niets.

Dun bewijs versus rijk bewijs

Een dunne detectieregistratie ziet er ongeveer zo uit:

10.14.2.71 → decoy-fs01, SSH (22), 03:41:07

Een rijke registratie bevat de sessie zelf: de gebruikersnamen en wachtwoorden die zijn geprobeerd en in welke volgorde, de commando's na het verbinden, de opgevraagde bestanden, en de protocoleigenaardigheden en timing die het gebruikte gereedschap verraden.

Dat verschil bepaalt de volgende 48 uur. Inloggegevens die tegen een decoy zijn geprobeerd, kun je vergelijken met je echte directory — en komen ze overeen, dan weet je zojuist dat je directory is gelekt en welk account je als eerste moet resetten. Commandoreeksen worden het zoekpatroon waarmee je de rest van je omgeving doorzoekt. Timing- en toolingsignaturen onderscheiden een opportunistische scanner van iemand die weet wat hij zoekt.

Zonder dat materiaal jaag je op een IP-adres, en dat heeft elke competente indringer allang gewisseld.

Bewaartermijn: de vergeten helft

Diepgang is waardeloos als de data verlopen is.

Inbraken worden standaard pas lang na aanvang ontdekt; verblijftijden van vele maanden zijn nog altijd gewoon. Ontdek je in oktober eindelijk een aanvaller, dan gaan de vragen over wat er in juni is gebeurd. Een platform dat 90 dagen aan detecties bewaart, kan die vragen niet beantwoorden.

Dit is een specificatie die je op de prijspagina controleert, geen functie die je in een demo bespreekt. SecurityHive bewaart detectiedata één jaar op Core en twee jaar op Advanced, en dekt daarmee een realistische verblijftijd in plaats van een comfortabel kwartaal.

Krijg je het bewijs er ook uit?

Drie praktische tests, alle drie makkelijk over het hoofd te zien:

• Export. Kun je een forensisch onderzoeker een bestand geven waar hij mee kan werken, of alleen een schermafbeelding van een dashboard?
• Integratie. Kunnen detecties vrijwel realtime je SIEM in stromen? Webhooks naar eigen HTTPS-endpoints zijn de ondergrens.
• Onafhankelijkheid. Wat gebeurt er met de historie als je het contract opzegt?

Test het voordat je koopt

Het nuttigste wat je tijdens een evaluatie kunt doen, kost twintig minuten:

• Zet één decoy in een testsegment.
• Val hem zelf aan — scan de poorten, probeer SSH-logins met drie verzonnen inloggegevens, blader door de fileshares.
• Open de detectieregistratie en vraag je af of je hier een incidentrapport mee zou kunnen schrijven.

Is het antwoord nee, dan weet je dat na twintig minuten in plaats van tijdens je eerste echte inbraak. Het is ook de snelste manier om twee producten eerlijk te vergelijken, en precies daarom is de beschikbaarheid van een self-service trial een inhoudelijk criterium en geen luxe.

Begin gratis met SecurityHive — zet een decoy neer, laat hem bewust afgaan en lees wat eruit komt.

Veelgestelde vragen

Welke gegevens moet een honeypot vastleggen voor forensisch gebruik?

Minimaal: bron- en bestemmingsadressen, exacte tijdstempels, het protocol en de dienst die is benaderd, en de volledige sessie-inhoud waar het protocol dat toelaat — geprobeerde inloggegevens, uitgevoerde commando's, opgevraagde bestanden en de volgorde daarvan. Volgorde telt net zo zwaar als inhoud; die verraadt het gereedschap en de intentie.

Hoe lang moet detectiedata van een honeypot bewaard blijven?

Lang genoeg om een realistische verblijftijd te dekken, en die meet je in maanden, niet in weken. Eén jaar is een verstandige ondergrens; twee jaar is veiliger voor gereguleerde sectoren en voor organisaties die vanuit verzekering of contract achteraf bewijs moeten kunnen leveren.

Is honeypotdata bruikbaar als bewijs?

Dat hangt volledig af van de jurisdictie en van hoe er met de data is omgegaan — integriteit, tijdstempeling en chain of custody tellen allemaal mee, en daar gaat de leverancier niet over. Behandel de output van een decoy als onderzoeksmateriaal dat een incidentresponsproces ondersteunt, en betrek een jurist vroeg als je een procedure verwacht.

Levert het vastleggen van meer detail privacyproblemen op?

Minder dan je zou denken. Een decoy heeft geen legitieme gebruikers, dus alles wat hij vastlegt is per definitie ongeautoriseerde activiteit en geen gedrag van medewerkers. Wel kunnen bron-IP-adressen onder de AVG persoonsgegevens zijn, dus leg je grondslag, je bewaartermijn en de locatie van de data vast — en dat is meteen een reden om te kijken in welke jurisdictie je platform gehost wordt.