Uns wurde ein Honeypot empfohlen – was ist das und macht das für ein KMU mit zwei Servern Sinn?

Wenn ein Honeypot nicht sauber isoliert ist, kann der Schuss gewaltig nach hinten losgehen. Setzt der ITler da laienhaft ein High-Interaction-System auf und ein Angreifer übernimmt das Ding, dient der Honeypot am Ende noch als Sprungbrett direkt in euer internes Netzwerk oder auf den ERP-Server. Das sauber aufzusetzen und zu überwachen erfordert richtiges Expertenwissen.

Typische IT-Verkäufer-Masche. In der Firma laufen wahrscheinlich alle mit dem Passwort '123456' rum Backups werden nicht mal vernünftig gezogen aber der Kollege will euch eine NASA-Falle andrehen um monatlich Rechnungen schreiben zu können.

Steckt das Budget lieber sofort in ein Offline-Backup-System. Nachts Backup ziehen, Verbindung zum Netzwerk trennen. Wenn morgen Ransomware zuschlägt, rettet euch kein Honeypot, sondern genau diese getrennte Sicherung.

Uns wurde das in unserem 20-Leute-Büro auch mal aufgeschwatzt: 600 Euro für die Einrichtung, 100 Euro monatlich für die Wartung. Nach einem Monat hatten wir 40.000 Warnmeldungen wegen Bot-Scans. Kein Mensch hat diese Logs gelesen, nach drei Monaten haben wir das Teil wieder komplett abgeschaltet.

Hat Ihr IT-Dienstleister eigentlich den Remote-Port des ERP-Servers im Büro dichtgemacht, bevor er mit dem Honeypot ankam? Hat er 2FA für alle Nutzer eingerichtet? Wenn die Antwort auf diese beiden Fragen 'Nein' lautet sollten Sie seine Absichten ernsthaft hinterfragen.

für ne klitsche mit zwei servern ist ein honeypot völlig übertriebene spielerei. ehrlich gesagt vernünftige firewall alles hnters vpn, starke passwörter und gut ist.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Honeypot-Architekturen sind in der Regel nur in großen Unternehmen sinnvoll, die ein eigenes Security Operations Center (SOC) betreiben oder direkt im Visier gezielter Cyber-Spionage stehen. Im KMU-Maßstab ist die Risiko-Nutzen- und Kostenabwägung definitiv nicht rational.

ich würde das Angebot höflich ablehnen. steck dein Geld lieber in die Schließung grundlegender Sicherheitslücken und ein gutes Backup-System dann schläfst du nachts deutlich ruhiger.

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

Hier muss man eine Unterscheidung treffen. Ein nicht getestetes Backup ist kein Backup.

Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll. Aus Erfahrung weiß ich das.

So klar geschriebene Texte sind selten.

Ich probiere es aus. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Wenn deine Situation anders ist, ändert sich das natürlich.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern. Ich hoffe, das hilft dir weiter.

Ich probiere es aus. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Aus Erfahrung weiß ich das.

Genau so und das ist zudem kaum bekannt. Fehler auf der was ist ein honeypot-Seite sind meist rückgängig zu machen, aber teuer.

Wenn ich dich richtig verstehe, meinst du Folgendes: Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Schreibt mir wenn ihr Fragen habt ich antworte so gut ich kann.

Ich sehe das anders. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn es jemand anders macht, würde mich das auch interessieren.

Ich bin in derselben Situation, deshalb frage ich. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

an diesem Punkt widerspreche ich dir. dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.