En honeypot er et kontrolleret lokkemål, der bruges til at tiltrække, registrere og analysere mistænkelig aktivitet.
Begreb
Honeypot
•
2 min
•
Grundlæggende
En honeypot er et bevidst lokkemål i et IT-miljø, som er designet til at tiltrække og registrere mistænkelig aktivitet. Det kan eksempelvis være en server, tjeneste eller konto, der ser interessant ud for en angriber, men som primært bruges til overvågning og analyse.
Hvorfor er begrebet vigtigt?
Honeypots er vigtige, fordi legitim aktivitet normalt ikke bør ramme lokkemålet. Forsøg på login, scanning eller adgang kan derfor være et tydeligt tegn på automatiserede angreb eller målrettet misbrug.
For virksomheder er honeypots relevante ved trusselsdetektion, netværksovervågning, incident response, malwareanalyse, sikkerhedstest og indsamling af viden om angriberes metoder.
Typisk misforståelse
Den mest almindelige fejl er at tro, at en honeypot i sig selv beskytter virksomhedens rigtige systemer. Den kan hjælpe med at opdage og forstå angreb, men den erstatter ikke firewall, opdateringer, adgangsstyring eller andre sikkerhedskontroller.
Eksempel
En virksomhed placerer en isoleret tjeneste i sit netværk, som ingen medarbejdere skal bruge. Når nogen forsøger at logge ind på tjenesten, bliver handlingen registreret og udløser en alert til den IT-ansvarlige.
Best practice
Hold honeypotten adskilt fra virksomhedens rigtige systemer.
Gem ikke rigtige personoplysninger eller forretningsdata i lokkemålet.
Overvåg og log al aktivitet omkring honeypotten.
Definér hvem der reagerer, når den bliver aktiveret.
Brug honeypots som supplement til øvrige sikkerhedskontroller.
Frequently asked questions
Ikke nødvendigvis. Dens primære formål er typisk at opdage og dokumentere aktivitet, så virksomheden kan reagere bedre.
Den kan skabe risiko, hvis den ikke er isoleret eller administreret korrekt. Derfor skal den opsættes med klare begrænsninger og overvågning.