Vergleiche Anbieter von Deception-Technologie — wo liegen die Unterschiede, ist das für ein 20-Leute-Team zu viel?

Was soll sich denn bei 20 Leuten im Honeypot verfangen? Euer Netz besteht doch wahrscheinlich aus einem einzigen Subnetz und ein paar Cloud-Instanzen. Deception ist dafür da Lateral Movement in Riesennetzen mit Tausenden Servern und komplexen Berechtigungsstrukturen abzufangen. Da will nur ein Sales-Rep seine Quote vollmachen.

Der größte Unterschied liegt zwischen statischer Emulation und echten OS-Ködern. Billige Lösungen simulieren nur offene Ports, da merkt jeder Angreifer nach zwei Befehlen, was Sache ist. Die teuren fahren echte VMs hoch – aber da habt ihr dann wieder den ganzen Zirkus mit Patches und Lizenzen an der Backe.

Wenn ihr das Konzept testen wollt, müsst ihr kein Geld verbrennen. Fahrt einfach ein paar Open-Source-Honeypots in einem isolierten Subnetz in der Cloud hoch oder legt Canary-Tokens in wichtige Verzeichnisse, die bei Zugriff 'ne Mail triggern. Reicht völlig, um das Prinzip zu verstehen.

Den Fehler haben wir letztes Jahr mit 35 Leuten gemacht. 15.000 Dollar hingelegt. In einem ganzen Jahr gab es exakt 2 Alerts – beides Mal ein Portscan von unserem neuen Praktikanten. Hätten wir die Hälfte der Kohle in zwei ordentliche Penetrationstests gesteckt, wären echte Lücken gefixt worden.

In der Security-Pyramide kommt Prevention immer vor Detection. Habt ihr MFA lückenlos durchgezogen? Werden Fehlkonfigurationen in der Cloud gescannt? Gibt es Phishing-Simulationen fürs Team? Wenn das nicht zu 100 % sitzt, ist Deception nur ein teures Spielzeug.

Wenn ihr Anbieter vergleicht, achtet auf drei Punkte: 1) Bremsen die injizierten Köder reale Systeme aus? 2) Kann das Dashboard Alerts direkt an eure internen Chat- oder Ticketsysteme pushen? 3) Wie viele Stunden Engineering-Zeit frisst die Pflege pro Woche?

Ihr habt Gesundheitsdaten, da greifen strenge Vorgaben. Habt ihr die vorgeschriebene Verschlüsselung und das Access-Logging komplett sauber umgesetzt? Wenn der Auditor kommt und die Basis-Logs fehlen, rettet euch auch das beste Deception-Tool nicht vor Strafen.

Das hier Beschriebene ist genau das was wir erlebt haben. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

An deiner Stelle würde ich so vorgehen.

Ich habe mich lange damit beschäftigt. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

Ich würde sagen lass uns nichts überstürzen. Schaut zuerst welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Die obige Antwort bringt es auf den Punkt. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Ich hoffe, das hilft dir weiter.

das hört man oft, aber bei uns war es nie so aber naja wenn du zu einem Thema drei verschiedee Antworten bekommst, war die Frage falsch gestellt.

Vielen Dank, ich werde es heute testen.

Beim Umsetzen gibt es drei Dinge zu beachten. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen dass er sich nicht lohnt.

Wie habt ihr das Problem gelöst? Sicherheit ist nicht absolut; es bedeutet den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.

Vor zwei Jahren habe ich genau dasselbe erlebt. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Viel Erfolg.

Ich erkläre mal die technische Seite. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste. An deiner Stelle würde ich so vorgehen.

notiert, danke.