Dafür gibt es keinen guten Grund

Die meiste Arbeit an einer Sicherheitsmeldung entsteht nicht durch die Reaktion, sondern durch die Frage davor. Hat sich da jemand von außen angemeldet, oder war es der Kollege aus dem Rechenzentrum? Ist der Zugriff ungewöhnlich oder nur ungewohnt? Ein großer Teil dessen, was ein Sicherheitsteam tut, ist das Aussortieren von Vorgängen mit harmloser Erklärung.

Deception dreht diese Reihenfolge um. Statt echten Verkehr zu bewerten, legt man etwas aus, das keinen betrieblichen Zweck hat, und wartet.

Was ausgelegt wird

Drei Ebenen greifen ineinander. Auf eigenen Hosts laufen Täuschsysteme mit nachgebildeten Diensten, die aussehen wie ein Fernzugang, eine Dateifreigabe oder ein Webserver, aber keine Daten haben. Auf echten Arbeitsplätzen liegen Köder aus, die zu diesen Systemen führen: eine gespeicherte Verbindung im Fernzugriffsprogramm, eine hinterlegte Sitzung, ein Netzlaufwerk, eine Konfigurationsdatei mit Zugangsdaten. Und im Verzeichnisdienst steht ein Konto, das nach etwas Interessantem klingt und für nichts benutzt wird.

Alles davon ist unsichtbar, solange man seine Arbeit macht. Es fällt nur auf, wenn jemand systematisch schaut, was auf einem Rechner an Zugängen herumliegt. Also genau in dem Moment, den man erkennen möchte.

Nicht nur dass, sondern woher

Jeder Köder bekommt eine eindeutige Markierung. Das klingt nach Buchhaltung und ist der eigentliche Ertrag: Eine Warnung sagt nicht nur, dass jemand angebissen hat, sondern welcher Köder es war und auf welchem Rechner er lag.

Damit steht im selben Moment die wichtigste Information fest, die man in einem Vorfall braucht: der wahrscheinlich übernommene Arbeitsplatz. Ohne Köder wäre das die Frage, die man in den nächsten Stunden zu beantworten versucht.

Die Ausnahme, die die Sache ehrlich macht

Ganz ohne Fehlalarm geht es nicht. Der eigene Schwachstellenscanner klopft an jeden Port, auch an die der Täuschsysteme. Ein beauftragter Penetrationstest tut genau das, was ein Angreifer täte, und findet die Köder zuverlässig. Beides sind erwartete Auslöser.

Dafür gibt es Ausnahmen, befristet für den Testzeitraum oder dauerhaft für die Adresse des Scanners. Wichtig ist, was dabei nicht passiert: Der Treffer wird nicht verworfen. Er wird als erwartet markiert und bleibt sichtbar, er löst nur keine Alarmierung aus.

Der Unterschied wirkt klein und ist es nicht. Eine Ausnahme, die Vorgänge verschwinden lässt, macht ein System blind an genau der Stelle, an der jemand sie später bräuchte, etwa wenn sich herausstellt, dass der vermeintliche Scanner keiner war.

Was das Modul bewusst nicht protokolliert

Täuschsysteme melden sich regelmäßig, damit man merkt, wenn eines ausfällt. Diese Lebenszeichen und die Zähler für wiederholte Treffer stehen ausdrücklich nicht im revisionssicheren Änderungsprotokoll. Sie ändern sich im Minutentakt und würden es fluten, bis darin nichts mehr auffindbar ist.

Protokolliert wird, was eine Entscheidung ist: dass ein Köder ausgelegt wurde, dass eine Ausnahme erteilt wurde, dass jemand eine Warnung bewertet hat.

Jede Warnung trägt ihre Technik

Seit dem jüngsten Ausbau steht an jeder Frühwarnung zusätzlich die zugehörige MITRE-ATT&CK-Technik. Ein Anmeldeversuch am nachgebildeten Fernzugang wird als T1021.001 geführt, ein Serviceticket für das Köder-Konto im Verzeichnis als T1558.003, ein unspezifischer Treffer als Netzwerk-Erkundung T1046. Ist der ATT&CK-Katalog importiert, führt ein Klick aus der Warnung direkt hinein, vorgefiltert auf genau diese Technik. Die Frage aus dem Artikel über Sichtbarkeit, woran man eine Technik merken würde, hat hier also eine besonders kurze Antwort: am Köder, und der nennt die Technik gleich mit.

Wann sich das lohnt

Deception ersetzt keine Erkennung, es ergänzt sie an der Stelle, an der die anderen Verfahren teuer werden. Ein Angreifer, der sich bereits im Netz bewegt, verhält sich weitgehend wie ein Mitarbeiter, weil er dessen Konto benutzt. Genau dort hilft ein Köder: Er unterscheidet nicht nach Verhalten, sondern danach, ob jemand die Wege kennt.

Mehr auf der Modulseite Deception.