Kein Abwägen nötig
Ein Köder hat keine betriebliche Verwendung. Wer ihn benutzt, sucht etwas, das ihm nicht gehört. Das erspart die Diskussion, die jeden gewöhnlichen Alarm begleitet.
Security Operations
Deception – IT-Frühwarnsystem
Ein Alarm, für den es keine harmlose Erklärung gibt
Die meisten Sicherheitsmeldungen kosten vor allem Zeit für die Frage, ob sie etwas bedeuten. War das der Administrator, ein Sicherungslauf, ein neues Werkzeug? Deception dreht diese Reihenfolge um: Ein Köder hat keinen betrieblichen Zweck. Niemand hat einen Grund, sich an einer hinterlegten Anmeldung anzumelden, die zu keinem echten System gehört. Das Modul betreibt dafür Täuschsysteme mit emulierten Diensten, streut Köder auf echten Arbeitsplätzen aus, von RDP-Verknüpfungen über gespeicherte Sitzungen bis zu Konfigurationsdateien mit Zugangsdaten, und legt Honeytoken-Konten im Verzeichnis an. Jeder Verbindungsversuch und jede Nutzung löst eine Frühwarnung aus, die sagt, welcher Köder und von welchem Rechner aus.
ISO 27001NIS2
Funktionen
Ihre Vorteile
Nicht nur dass, sondern woher
Jeder Köder trägt eine eindeutige Markierung. Eine Warnung nennt deshalb den Köder und den Rechner, auf dem er ausgelegt war, also den vermutlich übernommenen Arbeitsplatz.
Erwartete Auslöser werden markiert, nicht verworfen
Der eigene Schwachstellenscanner und ein beauftragter Penetrationstest lösen ebenfalls aus. Dafür gibt es befristete oder dauerhafte Ausnahmen. Der Treffer bleibt trotzdem sichtbar, er wird nur nicht alarmiert.
Täuschsysteme statt Produktivsysteme
Die Dienste laufen als Attrappen auf eigenen Hosts, nicht als geöffnete Ports auf produktiven Servern. Ein Täuschsystem hat keine Daten, die verloren gehen können.
Funktionsumfang
Alle Fähigkeiten im Überblick
- Täuschsysteme mit emulierten Diensten (RDP, SSH, SMB, HTTP)
- Köder-Katalog: RDP-Verknüpfung, PuTTY- und WinSCP-Sitzung
- Windows-Anmeldeinformationen und Netzlaufwerk-Verknüpfung als Köder
- Konfigurationsdateien mit Köder-Zugangsdaten
- Honeytoken-Konten im Active Directory mit eigener Wache
- Ausbringung über den Agenten, als PowerShell oder Registry-Paket
- Eindeutige Markierung je Köder für die Zuordnung zum Trägerhost
- Frühwarnung mit Triage-Ablauf und Bearbeitungsstand
- Ausnahmen für Scanner und Penetrationstests, befristet oder dauerhaft
- Zusammenfassung wiederholter Treffer statt Alarmflut
- Weitergabe an das SIEM, sofern vorhanden
- Datei-Köder auf Freigaben und in Nutzerprofilen, deren Berührung sofort meldet
- Meldung mit Akteur und Prozess über das Windows-Sicherheitsprotokoll (Ereignis 4663)
- Office-Köder melden zusätzlich beim Öffnen, zurückdatiert und ohne verstecktes Attribut
- Deckt DET.4.10 „Host-basierte Köder" des BSI-Grundschutz-Nachfolgers ab
Ergebnis
Eine Meldung, die selten kommt und dann etwas heißt: Jemand bewegt sich im Netz, der die Wege nicht kennt.
Deception – IT-Frühwarnsystem live erleben
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.