Honeytokens als Verteidigung gegen Angriffe auf die Lieferkette im Jahr 2023

Honeytokens wirken wie Stolperdrähte und warnen Unternehmen vor bösartigen Cyber-Bedrohungen, die in die Fußstapfen ihrer sensiblen Daten lauern.

Sie sind ein sehr effektives Intrusion Detection System. So effektiv, dass die Agentur der Europäischen Union für Cybersicherheit (ENISA) ihren Einsatz im Bereich der Netzwerksicherheit dringend empfiehlt.

Wenn Honeytokens strategisch verteilt sind und ein Ökosystem bilden, könnten sie Angriffe auf die Lieferkette verhindern und die Einhaltung der Cybersecurity Executive Order von Joe Biden verbessern.

Was sind Honeytokens?

Honeytokens, auch bekannt als Honeypots, sind gefälschte IT-Ressourcen, die zur Aufdeckung cyberkrimineller Aktivitäten verwendet werden.

Cyberkriminelle halten diese Lockmittel für legitim und versuchen, sie auszunutzen. Diese überflüssigen Versuche werden erkannt und Unternehmen vor bösartigen Aktivitäten in ihren Computersystemen gewarnt.

Honeytokens sind eine proaktive Methode der Cyber-Abwehr. Anstatt auf Cyberangriffe zu reagieren, nachdem sie stattgefunden haben, ermöglichen Honeytokens Unternehmen, Versuche von Datenschutzverletzungen zu erkennen, damit die Zielressourcen am effektivsten verteidigt werden können.

Honeytokens könnten nicht nur potenzielle Angriffsstrategien aufdecken, sondern auch die Identität von Angreifern aufdecken, wodurch es möglich wird, sie zu verfolgen und zu belasten.

Honeytokens verwandeln eine Angriffsfläche gegen Bedrohungsakteure und machen Cyberkriminelle zu Opfern ihrer eigenen bösartigen Schemata.

Können Honeytokens Angriffe auf die Lieferkette verhindern?

Es gibt keine Cyber-Abwehrmethode, die Angriffe auf die Lieferkette verhindern kann. Honeytokens warnen jedoch im Voraus vor bösartigen Aktivitäten in einem Netzwerk, die, wenn schnell mit geeigneten Abhilfemaßnahmen reagiert wird, die Auswirkungen eines Angriffs auf die Lieferkette erheblich begrenzen könnten.

Da Supply-Chain-Angreifer durch kompromittierte Anbieter in die Zielgruppe eindringen, bietet Honeytoken den besten Schutz der digitalen Lieferkette, wenn die Anbieter sie in ihre Informationssicherheit einbeziehen.

Jede Organisation, die Dienstleistungen von Drittanbietern anbietet, sollte die gebotene Sorgfalt walten lassen, indem sie ihre sensiblen Ressourcen mit Honeytoken umgibt.

Honeytokens könnten Stakeholder auch vor Insider-Bedrohungen warnen, die einen Angriff auf die Lieferkette erleichtern.

Arten von Honeytokens

Es gibt verschiedene Formen von Honeytokens, um die vielen verschiedenen Formen sensibler Ressourcen widerzuspiegeln, die Cyberkriminelle anziehen. Im Folgenden sind einige gängige Beispiele aufgeführt:

Kanarienvogel-Token

Canarytokens kann verschiedene Arten von Honeytokens über eine kostenlose Open-Source-Webanwendung generieren. Dies ist die einfachste Methode, um Honeytoken zu erstellen.

Um Canarytokens zu generieren, gehen Sie zu canarytokens.org, wählen Sie Ihren Honeytoken-Typ aus und geben Sie die E-Mail-Adresse an, die kontaktiert werden soll, wenn jedes Honeytoken aktiviert wird.

Aber wie bei allen schnellen Computersicherheitslösungen gibt es Einschränkungen bei der Verwendung von Canarytokens.

Die Domain für die Verfolgung von Canarytokens kann nicht geändert werden und enthält die Canarytokens.org URL. Aufmerksame Cyberkriminelle werden dies bemerken und erkennen, dass sie mit abgehörten Ressourcen interagieren.

Der andere große Nachteil besteht darin, dass Sie die Daten, die Honeytokens generieren, nicht angeben können.

Um diese Einschränkungen zu überwinden, können Canarytokens von einem dedizierten Servicer ausgeführt werden, z. B. von einer virtuellen Maschine in einer öffentlichen Cloud.

Die andere schwerwiegende Einschränkung von Canarytokens besteht darin, dass sie nicht in großem Maßstab generiert, bereitgestellt und verwaltet werden können.

Kleine Ökosysteme könnten ihre Zugangspunkte mit Canarytokens ausstatten, aber mehrdimensionale Infrastrukturen, die Tausende von Honeytokens erfordern, könnten dies nicht.

Komplexe Ökosysteme sollten ihre eigenen Honeytokens in großem Umfang generieren, indem sie AWS-Schlüssel konfigurieren.

Amazon Web Services (AWS)-Schlüssel

AWS steuert den Zugriff in seiner gesamten Infrastruktur über eine Reihe von Schlüsseln. In einer Aufklärungskampagne könnten Schlüssel mit niedrigeren Berechtigungen Angreifern die Informationen liefern, die sie benötigen, um Zugänge mit höheren Berechtigungen zu knacken.

Daher sollten alle AWS-Zugriffsebenen idealerweise über Honeytokens verfügen, die bei Angriffsversuchen ausgelöst werden.

AWS-Schlüssel können als Honeytokens konfiguriert werden, die entlang von Angriffsflächen platziert werden, die von Cyberkriminellen durchquert werden könnten. Dies kann die Lieferkette, GitHub-Repositories, Desktops oder Textdateien umfassen.

So erstellen Sie AWS Honeytokens

Um AWS-Honeytokens zu erstellen, empfiehlt es sich, zunächst ein leeres AWS-Konto zu erstellen. Dies erleichtert das Festlegen von Direktiven erheblich und verringert die durch Fehler verursachte fehlerhafte Leistung.

Standardmäßig haben alle IAM-Benutzer keine Berechtigungen, aber um sicherzustellen, dass dies immer der Fall ist, sollte eine Richtlinie zum Verweigern aller Rechte erzwungen werden.

Hier ist ein Beispiel:

{ "Version": "2021-02-12",
"Anweisung":
{ "Effekt": "Ablehnen",
"Aktion": "*",
"Ressource": "*", } }

AWS CloudTrail muss aktiviert werden, um alle Token-Zugriffsaktivitäten zu protokollieren. Um ein Alarmsystem für alle ausgelösten Token zu integrieren, kann das Open-Source-Tool SteamAlert verwendet werden.

Jedes AWS-Konto hat ein Limit von 5 000 Benutzern und jeder Benutzer kann maximal 2 Token haben. 10.000 Honeytokens sollten für die meisten AWS-Infrastrukturen ausreichen.

AWS verfügt jedoch nicht über die Funktionalität, um Honeytokens in großem Umfang zu konfigurieren. Um diese wesentliche Anforderung zu erfüllen, wurde das Projekt Spacecrab entwickelt.

Was ist Project Spacecrab?

Das Projekt Spacecrab wurde 2018 von Daniel Grzelak, Head of Security bei Atlassian, entwickelt. Grzelak hat das Tool entwickelt, um Unternehmen dabei zu helfen, ihre Cybersicherheitsbemühungen schnell zu skalieren.

Das Open-Source-Tool ist in der Lage, mehrere tausend AWS-Honeytokens über jeden Endpunkt eines Ökosystems hinweg zu generieren.

Nach der Generierung verfolgt Spacecrab den Standort jedes Tokens, wann es generiert wurde und wer es erstellt hat.

Die Alarmpipeline kann auch so konfiguriert werden, dass angegeben wird, wie der Alarm jedes Honeytokens ausgelöst werden soll.

Wie funktioniert Project Spacecrab?

Standardmäßig verfügen alle von Project Spacecrab generierten AWS-Schlüssel über eine Deny-All-Richtlinie, sodass sie nicht für den Zugriff auf vertrauliche Ressourcen verwendet werden können. Wenn ein Angreifer versucht, ein Spacecrab-Honeytoken zu verwenden, werden die Aktionen in einen S3-Bucket und dann in eine Lambada-Funktion zur Analyse geladen.

Honeytoken-Ereignisse werden an ein AWS SNS-Thema gesendet, das für jede der konfigurierten Warnmethoden weitere Lambadas auslöst.

Zu den beiden Standard-Warnaktionen gehören der Simple Email Service von Amazon und die PagerDuty Events API v2. Zusätzliche benutzerdefinierte Alarmfunktionen können entwickelt und implementiert werden.

Gefälschte Datenbankeinträge

SQL-Injection ist eine gängige Angriffsmethode, bei der Bedrohungsakteure SQL-Befehle in Textfelder einfügen, um auf Backend-Datenbanken zuzugreifen und diese zu manipulieren.

Gefälschte Datenbankeinträge lenken Bedrohungsakteure von echten sensiblen Datensätzen ab, und die Kompromittierung dieser gefälschten Datensätze wird Schlupflöcher in der Datenbanksicherheit aufdecken.

Gefälschte Aufzeichnungen müssen für Cyberkriminelle sehr attraktiv sein. Sensible Informationen wie Finanzunterlagen und Aufzeichnungen mit privilegierten Namen sind für Bedrohungsakteure unwiderstehlich.

Gefälschte ausführbare Dateien

Dies ist eine fortgeschrittene Form von Honeytoken. Gefälschte ausführbare Dateien sind voll funktionsfähige Ködersoftwareprogramme. Wenn auf sie zugegriffen wird, wird ein verdecktes Signal von der Software gesendet, das anzeigt, wann sie verwendet werden.

Diese Signale identifizieren die IP-Adresse des Angreifers und alle Namen, die mit seinen Systemen verknüpft sind.

Gefälschte ausführbare Dateien können sehr effektiv sein, um Angriffsversuche in der Lieferkette zu identifizieren, bei denen Software manipuliert wird. Der Angriff auf die Lieferkette von SolarWinds resultierte aus einem kompromittierten Update des Orion-Produkts.

Aber Honeytoken-Software wird nur dann belastende Details preisgeben, wenn die externen Ports des Angreifers blockiert sind, wenn die Lockprogramme laufen.

Es ist unwahrscheinlich, dass raffinierte Cyberkriminelle ihre Computer ungeschützt lassen, aber Cyberkriminalität wird nicht nur von scharfsinnigen Hackern praktiziert.

Sophomorphe Kriminelle versuchen häufig Cyberangriffe, die mit gefälschten ausführbaren Dateien vereitelt werden könnten.

Wenn Ködersoftware-Honeytokens verwendet werden, muss darauf geachtet werden, dass keine Cybersicherheitsgesetze verletzt werden.

Verdeckte eingebettete Links

Diese Art von Honeytoken funktioniert auch nur, wenn der Computer eines Angreifers ungeschützt ist. Eingebettete Links in Ressourcendateien senden beim Anklicken ein Cladestine-Signal an die Organisation, die angegriffen wird, mit Details zur Identifizierung und den Angriffsmethoden des Angreifers.

Web-Beacons

Web-Beacon-Honeytoken verwenden den gleichen Tracking-Mechanismus wie Marketing-Tools. Ein Web Beacon ist ein Link zu einem versteckten eingebetteten Objekt. Dabei kann es sich um ein transparentes Bild oder ein Pixel handeln.

Web Beacons können an jeden Dokumenttyp angehängt werden, der für Cyberangreifer wie eine sensible Ressource erscheinen könnte.

Wenn auf den Weblink innerhalb des Web-Beacons geklickt wird, gibt der Computer des Angreifers seine identifizierenden Informationen heimlich an die angegriffene Organisation weiter.

Web Beacons können die folgenden Informationen über einen Angreifer aufdecken:

• Browser-Versionen
• E-Mail-Adressen
• IP-Adresse
• Details zum Betriebssystem
• Ort

Wie eingebettete Links und gefälschte ausführbare Dateien funktionieren Web Beacons nur, wenn ein Angreifer nicht hinter einer Firewall geschützt ist.

Browser-Cookies

Browser-Cookies sind Datenpakete, die Details über Benutzer offenlegen, die Websites durchsuchen. Da sie identifizierbare Informationen enthalten, ist ihre Verwendung in Europa streng reguliert.

Browser-Cookies sind eine sehr effektive Form von Honeytoken, da sie blockierte Endpunkte umgehen können. Es ist immer noch ein menschlicher Fehlerfaktor erforderlich, damit diese Honeytokens funktionieren.

Browser-Cookies liefern nur nützliche Informationen über Cyberkriminalität, Kriminelle löschen ihre Browser-Verfolgungsinformationen nicht regelmäßig. Aber solche routinemäßigen Wartungsarbeiten werden in der Regel übersehen, selbst von erfahrenen Cyberkriminellen.

Gefälschte E-Mail-Adressen

Dies ist eine sehr einfache Art von Honeytoken. Wenn eine gefälschte E-Mail-Adresse innerhalb einer Unternehmensressource Phishing-E-Mails erhält, ist dies ein Hinweis darauf, dass die Unternehmensressource verletzt wurde.

Phishing-E-Mails sind nicht die einzigen Indikatoren für eine Kompromittierung, auch gehackte E-Mails können im Dark Web durchgesickert sein. Solche Ereignisse sind ohne eine ausgeklügelte Lösung zur Erkennung von Datenlecks schwer zu entdecken.

Damit ein gefälschter E-Mail-Honeytoken überzeugend ist, muss er so aussehen, als gehöre er einem privilegierten Mitarbeiter in der Zielorganisation.

So stellen Sie Honeytokens bereit

Honeytokens sollten strategisch eingesetzt werden, um alle Ressourcen abzudecken, die ein Angreifer möglicherweise zu kompromittieren versucht.

Es gibt 3 Phasen des effizienten Einsatzes von Honeytokens.

Phase 1: Identifizieren Sie alle Honeytoken-Bereitstellungspunkte

Zunächst müssen alle kritischen Ressourcen und Endpunkte identifiziert und protokolliert werden, damit sie durch Honeytokens geschützt werden können.

Zu den kritischen Bereitstellungspunkten könnten gehören:

• Laptops
• VPN-Server
• Bastion-Hosts
• Datenbanken
• Produktionsserver

Für jeden Honeytoken-Bereitstellungspunkt sollte ein Protokoll geführt werden. Komplexe Ökosysteme sollten eine Token-Management-Lösung wie Project Spacecrab verwenden.

Anstatt generierte Honeytoken zur Bereitstellung an verschiedene Teams zu senden, sollte jedes Team sein eigenes Honeytoken lokal generieren. Andernfalls kann jede Phase des Übermittlungspfads falsch positive Ergebnisse auslösen.

Phase 2: Integrieren Sie Honeytoken-Ereignisse in den Incident Response Plan

Damit die Bemühungen um die Bereitstellung von Honeytoken skalierbar sind, anstatt nur per E-Mail benachrichtigt zu werden, sollten ausgelöste Ereignisse autonom in Incident Response Plans eingespeist werden.

Dies kann das Pushen von Trigger-Ereignissen in Slack, PageDuty oder Jira beinhalten. Wenn Sie Canarytokens verwenden, erfolgt dies, indem Sie beim Generieren von Token Webhooks anstelle einer E-Mail angeben.

So richten Sie eingehende Webhooks für Slack ein.

So richten Sie eingehende Webhooks für PageDuty ein.

So richten Sie eingehende Webhooks für Jira ein.

Triggerwarnungen sind jedoch nur dann nützlich, wenn sie die Standorte der einzelnen Ereignisse identifizieren. Um dies zu erreichen, sollten Nachschlagetabellen in Erkennungsregeln integriert werden.

Nachschlagetabellen sollten sehr aussagekräftig sein, damit Zielressourcen schnell isoliert und verteidigt werden können.

Zum Beispiel:

"Honeytoken <Schlüssel-ID einfügen> befindet sich in Annas Microsoft Surface Pro 7 mit der Seriennummer <Seriennummer einfügen> in ~/.aws/credentials"

Phase 3: Skalieren von Honeytokens-Bereitstellungen

Nachdem nun alle potenziellen Bereitstellungspunkte identifiziert und Tokentriggerereignisse konfiguriert wurden, ist es an der Zeit, alle Honeytokens bereitzustellen.

Im Idealfall sollte dies ein automatisierter Prozess sein, andernfalls muss das Projekt manuell verwaltet werden, um sicherzustellen, dass alle Abteilungen ihre Honeytokens korrekt verwalten.

Je mehr Honeytokens eingesetzt werden, desto mehr Verifizierungen gibt es für jedes ausgelöste Ereignis. Dadurch werden Fehlalarme minimiert, die überflüssige Reaktionen auf Vorfälle verursachen und Sicherheitsressourcen verschwenden.

So reagieren Sie auf Honeytoken-Auslöser

Nachdem bestätigt wurde, dass es sich bei einem ausgelösten Ereignis nicht um einen Fehlalarm handelt, sollte eine Organisation sofort ihren Incident Response Plan (IRP) befolgen.

IRPs stellen sicher, dass alle Mitglieder des Sicherheitsteams während eines Cyberangriffs mit hohem Aufwand konzentriert und unter Kontrolle bleiben.

Ein IRP sollte skizzieren, wie jedes umfasste System anhand von Honeytoken-Trigger-Informationen schnell lokalisiert werden kann.

Nach der Eingrenzung sollten die Ressourcen sofort isoliert werden. Dies kann das Deaktivieren des Benutzerzugriffs, das Senden von Risikobewertungen von Drittanbietern oder das Trennen von Servern umfassen.