Honeypots und Honeynets: Pheromone für Hacker

Wie die meisten Sicherheitstechniken ist ein Honeypot oder Honeynet schnell installiert. Tools gibt es zu Hauf im Internet, für alle Betriebssysteme, die meisten Varianten sind zudem kostenlos verfügbar. Ein Wort der Warnung vorab: mit vielen der Tools wird Angreifern tatsächlich der Zugang zum Netzwerk oder einem Hostcomputer eröffnet. Wer nicht genau weiß, was er tut, riskiert, sich Hacker ins Haus zu holen, mit denen er nicht mehr fertig wird. Vor allem in Firmennetzen ist ein Honeypot nur etwas für echte Profis mit viel Wissen und der nötigen Zeit, um Logs auszuwerten.

Wer sich trotzdem in die Welt der Honeynets und Honeypots stürzen will, findet erste Anlaufstellen beim Honeynet Project. Dort ist zum einen die „Know Your Enemy“ Reihe an Whitepapers zu Hause, die sehr detailliert erklärt was man tun und vor allem, was man lassen sollte Die Honeywall CD-ROM steht ebenfalls dort zum Download bereit. Sie enthält Tools und Skripte für Linux, um den Zugriff zum Netz regelbasiert zu erlauben und zu blocken sowie Werkzeuge, um Daten zu sammeln und auszuwerten.

Auch die Honeyd-Seite gehört zur Pflichtlektüre, selbst wenn man den Namensgebenden Daemon „honeyd“ nicht einsetzen will. Seit Anfang 2005 ist die Release 1.0 verfügbar, allerdings nur für *ux Betriebssysteme. Darüber hinaus sind die Downloadbörsen im Internet voll von Tools für Honeynets in unterschiedlichen Interaktionsgraden.

Soll Windows als Hostsystem zum Einsatz kommen, ist das Angebot aber mindestens genauso reichhaltig. Das beliebte, weil einfach zu installierende Back Officer Friendly (BOF), gaukelt einem Angreifer diverse Dienste, darunter Telnet, FTP und E-Mail Protokolle vor und informiert den Administrator über Scan-Versuche, wenn der PC mit dem Client-Teil von Back-Orifice gescannt wird. Auch die Shareware KFSensor ist sehr fein konfigurierbar und kombiniert IDS-Mechanismen mit Honeypot-Charakteristika.

Interessant ist auch LaBrea Tarpit. Die Software simuliert unter Windows oder Linux virtuelle Server, die auf Kontaktversuche von Außen mit extrem verlangsamten Replys antworten und den Angreifer so bremsen und aufhalten. Viele Informationen, zusammen mit den notwendigen Tools enthält auch die Seite Tracking-hackers.com. Für Einsteiger ist die Mischung aus Informationen, Anleitungen und Software genau richtig.