Wir wollten einen Honeypot auf den Server setzen — bringt das was für einen Kleinbetrieb, gibt es Risiken?

Ein Honeypot ist kein Verteidigungswerkzeug, sondern ein nachrichtendienstliches Werkzeug. Große Organisationen setzen es ein, um Angriffstechniken zu untersuchen. Auf KMU-Ebene bringt es dem Unternehmen keinen kommerziellen oder technischen Nutzen, zufällige Bots zu beobachten, die eindringen wollen. Steckt eure Zeit in Sicherheitspatches und Backup-Disziplin.

Die 40.000 eingehenden Versuche sind wahrscheinlich einfache Brute-Force-Bots, die das Internet zufällig scannen. Wenn es nicht mal ein gezielter Angriff auf euch ist, ist der Versuch ein Tuzak-System aufzustellen und Logs zu überwachen, wie Feuer zu machen, während man die Nadel im Heuhaufen sucht. Mit falscher Netzkonfiguration macht ihr den Hauptserver zum offenen Ziel.

Euer Entwickler ist begeistert, aber es ist überhaupt nicht nötig. Verlegt den SSH-Port von 22 auf einen zufälligen fünfstelligen Port, schließt die Passwort-Anmeldung und macht nur SSH-Schlüssel verpflichtend, und installiert fail2ban auf dem Server. Die 40.000 Versuche gehen an einem Tag auf null zurück, und ihr habt Ruhe.

Wir haben letztes Jahr aus Neugier auf einer separaten IP einen niedrig interaktiven Honeypot aufgestellt. In einer Woche hat er 180.000 IPs erfasst. Die ersten drei Tage haben wir gespannt reingeschaut, danach hat nicht mal mehr jemand die Logs geöffnet. Es hat außer 450 TL zusätzlicher monatlicher Serverkosten nichts gebracht, nach zwei Monaten haben wir es abgeschaltet.

aber glaubt der Angreifer der in diese Falle tappt, wirklich, dass er den Server übernommen hat? halt also muss man da gefälschte Kundendaten oder so reinsetzen, damit es überzeugend ist?

wir habens auch mal versucht, die logdatei ist angeschwollen und hat die platte vollgemacht, dann ist mitten in der nacht die hauptdatenbank abgeschmiert. ehrlich gesagt ich würd sagen, lasst die finger davon die standard sicherheitsschritte reichen aus.

Wenn das Team trotzdem darauf besteht, es aufzustellen, dann haltet euch unbedingt an diese Regeln: 1) Hostet die Falle auf keinen Fall im selben lokalen Netz wie den Hauptserver, haltet sie auf einem völlig isolierten virtuellen Server. 2) Erlaubt niemals ausgehende Verbindungen, damit euer Server nicht als Zombie für Angriffe auf andere missbraucht wird. 3) Wendet tägliche Rotation an, damit die Logs nicht den Speicherplatz füllen.

Zusammenfassend: Ein Tuzak-System ist für große Sicherheitsteams, die gezielte Angriffe beobachten. Für kleine E-Commerce-Seiten bedeutet es unnötiges Risiko und operative Last. Den Port zu ändern und auf schlüsselbasierte Anmeldung umzusteigen, löst euer Problem vollständig.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Viel Erfolg.

Ich stimme zu.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Je schwerer es ist eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich möchte kurz warnen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

Ich bin derselben Meinung. Schaut zuerst welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Aus Erfahrung weiß ich das.

Meine Frage ist geklärt, vielen Dank.

Genau so ist es. Das allein zu versuchen, ist der teuerste Weg.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Viel Erfolg.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Fehler auf der was ist ein honeypot-Seite sind meist rückgängig zu machen, aber teuer.

ich habe mich lange damit beschäftigt. schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

vergessene Testmgebungen sind häufiger das Einfallstor als das Live-System.

Da stimme ich zu. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Ich hoffe, das hilft dir weiter.