Der Anbieter sagt, Deception-Technologie sei nicht dasselbe wie ein Honeypot – was ist der Unterschied?

Was der Anbieter sagt, ist technisch korrekt, aber sie haben die Marketingsprache übertrieben. Der Honeypot ist passiv, diese Systeme verteilen Köder an die Endpunkte. Aber in einem 45-Mann-Unternehmen ist es die falsche Investition, Geld für so ein Luxus-Level auszugeben, bevor grundlegende Zugriffskontrollen, Multi-Faktor-Authentifizierung und Patch-Management sitzen.

Wenn der Angreifer schon so weit ist, dass er in eure Maschine eindringt und den Speicher liest bemerkt er meistens auch den installierten kommerziellen Sicherheitsagenten. Die Köder kommerzieller Deception-Tools werden nach einer Weile auch zu Signaturen die Angriffstools kennen. Statt 18.000 USD auszugeben lasst mit dem Geld lieber einen guten Penetrationstest machen.

Der Unterschied liegt direkt im Auslösemechanismus. Ein Honeypot überwacht IP-basiert, wenn der Angreifer keinen Portscan auf diese IP macht, bringt es nichts. Deception-Tools hingegen injizieren gefälschte Tickets oder gefälschte SSH-Schlüssel in die Local Security Authority (LSA). Wenn der Angreifer mit diesem Schlüssel Rechte eskalieren will, wird das System zentral gesperrt.

Bevor ihr irgendeine Lizenz kauft, probiert die kostenlos angebotenen Köder-Token aus. Legt eine Datei mit einem gefälschten Link in kritische Ordner oder definiert ein gefälschtes Dienstkonto auf dem Server. Wenn jemand diese Köder anfasst, bekommt ihr eine Benachrichtigung. Für kleine Teams reicht diese Methode monatelang als Schutz.

Wir haben in einem 60-Personen-Büro ein ähnliches Tool getestet. Drei Monate lang kam nicht eine einzige Warnung, dann hat eines Tages der neue Praktikant die gefälschte Buchhaltungstabelle im geteilten Netzwerkordner geöffnet und sofort gingen die Sirenen los. Die Fehlalarmrate ist wirklich null, aber wenn kein Angriff da ist, vergisst man seine Existenz völlig.

Bevor Sie das Jahresbudget von 18.000 USD genehmigen, würde ich empfehlen, vom Anbieter eine zweiwöchige Proof-of-Concept-Studie (PoC) im Netzwerk Ihrer Organisation zu verlangen. Ohne die Qualität der in der eigenen Infrastruktur erzeugten Telemetrie zu sehen, sollte kein Vertrag unterschrieben werden.

zum alten Honeypot ettwas KI-Soße, auf die Endpunkte noch zwei gefälschte Passwörter gestreut und schon haben sie es Deception-Technologie genannt. der Preis ist auch prompt auf das Fünffache gestiegen. der größte Täuschungserfolg des Verkäufers wäre diese 18-Tausend-Dollar-Rechnung genehmigt zu bekommen.

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

hier ist etwas zu beachten dann ein automatisierter Scan-Report ist kein Penetrationstest.

in den ersten drei Monaten läuft alles gut die Probleme tauchen im vierten Monat auf... also viel Erfolg.

An diesem Punkt widerspreche ich dir. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss. Wenn es jemand anders macht, würde mich das auch interessieren.

ich bin derselben Meinung. lösungen die im kleinen Maßstab funktionieren brechen bei Wachtsum zusammen das habe ich spät gelernt.

bei uns war der größte Zeitfresser die Unklarheit darüber wer entscheidet.

Es gibt auch noch die Mess-Seite. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Dieser Ansatz hat seinen Preis, der aber nicht thematisiert wird. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt. Ich hoffe, das hilft dir weiter.

Danke fürs Schreiben. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Das war's, entschuldige, wenn ich zu lang war.

kurzfassung für Neueinsteiger: Das allein zu versuchen, ist der teuerste Weg.

wenn es jemand anders macht, würde mich das auch interessieren.

Bei unterschied deception technologie honeypot ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Ein nicht getestetes Backup ist kein Backup.

Mich interessiert das auch.

Das wusste ich nicht.

An diesem Punkt widerspreche ich dir. Ein automatisierter Scan-Report ist kein Penetrationstest.

Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.