Den Angriff erkennen,
beim ersten Kontakt.

01Kurzfassung

Erkennung, die keinen guten Grund hat, falsch zu liegen.

02Die Erkennungslücke

Warum Eindringlinge noch immer tagelang unbemerkt bleiben.

Prävention und Erkennung haben sich seit einem Jahrzehnt verbessert, und trotzdem bewegen sich Angreifer lange genug in Netzwerken, dass es ins Gewicht fällt. Zwei strukturelle Probleme erklären, warum.

Die Verweildauer wird noch in Tagen gemessen, nicht in Sekunden

Ein Angriff ist nur so schlimm wie die Zeit, die der Angreifer unentdeckt bleibt. Mandiants jährlicher M-Trends-Bericht zeigt, dass die globale mittlere Verweildauer (Dwell Time) stark gefallen ist, von deutlich über einem Jahr vor einem Jahrzehnt auf rund zehn Tage in den jüngsten Berichten^[1]. Zehn Tage sind ein Fortschritt, und sie sind zugleich eine Ewigkeit: reichlich Zeit, ein Verzeichnis zu durchforsten, sich lateral zu bewegen und Daten zur Exfiltration vorzubereiten. Schlimmer noch, ein Median verbirgt die Ausreisser; viele Angriffe, besonders solche, die gültige Zugangsdaten und Bordmittel missbrauchen, werden erst entdeckt, wenn etwas hochgeht oder ein Dritter den Hinweis gibt.

Prävention jagt Bekanntes, und das Unbekannte kommt durch

Signatur-Engines und die meisten Verhaltensmodelle sind darauf trainiert, wie Angriffe bisher ausgesehen haben. Neuartige Werkzeuge, Living-off-the-Land-Techniken und die Nutzung gestohlener, aber gültiger Zugangsdaten sehen alle genug nach normaler Administration aus, um durchzukommen. Der Data Breach Investigations Report von Verizon zählt die Nutzung gestohlener Zugangsdaten wiederholt zu den häufigsten Wegen in eine Organisation^[2]. Ein Login mit einem echten Passwort ist für sich genommen nicht bösartig, und genau das ist das Problem: das stärkste Signal, das ein Präventions-Stack hat, ist oft ein schwaches.

Und das Rauschen hat seinen eigenen Preis

Der Preis des Ratens sind Fehlalarme. Eine Erkennungsschicht, die auf Wahrscheinlichkeit auslöst, erzeugt einen Strom von Vielleichts, und die knappe Ressource in jedem Security-Team ist die Aufmerksamkeit, sie zu triagieren. Alarmmüdigkeit ist kein weiches Problem; sie ist der Grund, warum echte Alarme als Rauschen abgetan werden. Eine Methode, die weit seltener danebenliegt, ist nicht nur angenehmer, sie verändert, was ein kleines Team abdecken kann.

03Die Deception-These

Ein Köder hat keinen legitimen Grund, berührt zu werden.

Deception umgeht die schwierige Frage. Statt zu entscheiden, ob beobachtete Aktivität bösartig ist, platziert sie Objekte in der Umgebung, deren einziger Zweck es ist, von der falschen Person berührt zu werden. Ein Köder-Host, -Dienst, -Zugangsdatum oder -Dokument leistet keine Arbeit für das Unternehmen. Kein Benutzer, Skript oder Scanner, der dorthin gehört, hat irgendeinen Grund, damit zu interagieren.

Aus dieser einen Eigenschaft folgt das gesamte Nutzenversprechen. Wenn nichts Legitimes einen Köder berührt, dann ist jede Interaktion mit ihm konstruktionsbedingt anomal. Kein Modell muss trainiert, keine Baseline erlernt, kein Schwellenwert justiert werden. Der Köder verwandelt ein schwieriges Klassifikationsproblem in ein triviales und drückt damit die Fehlalarmrate gegen null. Ein Alarm ist ein Fussabdruck, keine Vermutung.

Das ist eine alte Idee, Honeypots und Honeytokens sind älter als modernes EDR^[3], aber sie hat historisch in Forschungsnetzen und vereinzelten Fallen gelebt. Neu ist, sie betriebstauglich zu machen: Köder, die echt genug sind, um der Inspektion eines Angreifers standzuhalten, in Flottengrösse über viele Netzwerke ausbringbar, und mit den Stellen verdrahtet, an denen ein Analyst ohnehin hinsieht.

Wo sie im Verhältnis zur Prävention steht

Deception ersetzt nicht Firewalls, Patching oder EDR; sie ergänzt sie. Prävention senkt die Zahl der Angreifer, die hineinkommen. Deception nimmt an, dass es einige ohnehin schaffen, und macht ihren ersten Schritt teuer, denn der Schritt, der ihnen hilft, das Umsehen, ist der Schritt, der sie verrät. Die zwei Schichten versagen auf unterschiedliche Weise, und genau darum betreibt man beide.

04Bedrohungsmodell

An welcher Stelle der Kill Chain ein Köder auslöst.

Ein Eindringling, der Fuss gefasst hat, muss das Netzwerk kennenlernen, bevor er darin handeln kann. Diese Lernphase (Aufklärung, Discovery und laterale Bewegung) ist unvermeidlich, und genau hier ist Deception am stärksten. Auf der Intrusion Kill Chain von Lockheed Martin^[4] lösen Köder in den Phasen vor den Actions on Objectives aus, solange der Angreifer noch kartiert und greift, nicht erst, wenn die Daten weg sind.

Konkret ordnet die Tabelle unten gängiges Angreifer-Verhalten, in MITRE-ATT&CK- Begriffen^[5], dem Köder zu, der es fängt.

Ein Angriff, Schritt für Schritt

Ein Angreifer landet mit erbeuteten Zugangsdaten auf einer Workstation. Sein erster Instinkt ist, sich umzusehen: er tastet das lokale Segment nach aktiven Hosts und Diensten ab. Das Abtasten erreicht einen Klaxon-Sensor in der Haut einer Netzwerk-Appliance, und der Alarm löst aus, bevor er ein einziges echtes System berührt hat. Neugierig öffnet er die Login-Seite der Appliance, einen originalgetreuen Klon, und probiert die Zugangsdaten, die er hat. Auch dieser zweite Kontakt wird erfasst, mit Quelle, Benutzername und dem genauen Zeitpunkt. Er erreicht nie ein echtes Asset; die Reaktion des Analysten hat bereits begonnen. Der früheste, unvermeidliche Schritt des Angreifers ist der, der ihn verrät.

05Architektur

Eine Konsole, eine Flotte gehärteter Sensoren.

Klaxon ist eine einzelne Konsole, die viele Sensoren steuert. Die Konsole ist das Gehirn und die führende Datenquelle; die Sensoren sind die Köder auf der Leitung. Sie sind über einen verschlüsselten Tunnel verbunden, sodass ein Sensor in einem Segment sitzen kann, das die Konsole nie direkt erreicht, auch in Netzen hinter NAT oder ganz ohne eingehenden Pfad.

Die Bausteine

• Konsole. Enrollment, Sensor-Konfiguration, die Alarm-Pipeline und das Audit-Protokoll. In der lizenzierten Edition ist sie mandantenfähig, jede Organisation isoliert, mit auditierter Support-Übergabe, sodass ein Betreiber im Namen eines Kunden handeln kann, ohne die Identität zu verschleiern.
• Sensor-Knoten. Ein kleines Board, eine virtuelle Maschine oder ein Container in einem Segment. Jeder betreibt die Köder und wacht über Kontakt. Knoten halten keine dauerhaften Geheimnisse, die zu stehlen sich lohnt, und bieten keinen Allzweck-Zugriff (siehe Sensor-Sicherheit).
• Der Tunnel. Sensoren melden sich ausgehend über WireGuard an, sodass die Konsole sie ohne eingehende Route in das Kundennetz verwaltet. Ein Sensor kann überall leben, solange er die Konsole einmal erreicht.
• Der Alarmpfad. Erkennungen gehen über DNS, Webhook, Push und, in der lizenzierten Edition, SIEM und E-Mail hinaus, auch aus Segmenten, in denen gewöhnlicher Egress blockiert ist.

06Erkennungsmechanismen

Wie ein Köder überzeugend bleibt, und wie er es Ihnen sagt.

Ein Köder funktioniert nur, wenn ein Angreifer ihn nicht vom Original unterscheiden kann, und er zählt nur, wenn seine Erkennung Sie erreicht. Vier Mechanismen tragen das meiste Gewicht.

Klonen über die Leitung

Statt generische Vorlagen auszuliefern, bildet ein Sensor ein gewähltes echtes Ziel so nach, wie es im Netz erscheint: die Login-Seite einer Appliance, die Dienst-Banner, das Zertifikatsprofil, bis hin zur echten Antwort bei falschem Passwort. Die Originaltreue ist alles. Ein Angreifer, der den Köder sondiert, sieht, was er zu sehen erwartet, und genau deshalb kommt die Interaktion überhaupt zustande. Port-treue Dienste und passendes TLS beseitigen die billigen Anzeichen, die einen generischen Honeypot verraten.

Dienste, die antworten

Über eine Login-Seite hinaus stellen Sensoren Köder-Dienste bereit, SSH, SMB, HTTP, LDAP, RDP, Datenbanken und industrielle Protokolle, die wie das Original antworten. Eine Verbindung oder ein Authentifizierungsversuch gegen einen von ihnen ist Kontakt, und Kontakt ist der Alarm. Der Dienst muss nicht ausgenutzt werden; danach zu greifen genügt.

Stolperdrähte für Zugangsdaten und Verzeichnisse

Hinterlegte Geheimnisse, ein API-Schlüssel in einer Konfigurationsdatei, ein Passwort in einem Skript, eine gespeicherte Sitzung, sind darauf ausgelegt, gefunden und ausprobiert zu werden. Da die Zugangsdaten dem System bekannt sind, leuchtet ihre Verwendung an beliebiger Stelle sofort auf. Die Verzeichnis-Variante geht weiter: Köder-Konten werden in einem echten Verzeichnis platziert und an einen einzelnen Sensor gebunden, sodass jeder Versuch, sie zu nutzen, insbesondere eine Kerberos-Service-Ticket-Anfrage für ein Köder-Konto (Kerberoasting, T1558.003), bereits zum Anfragezeitpunkt gefangen wird. Der Angreifer erntet den Köder und verrät sich in dem Moment, in dem er ihn verwendet.

Der Egress-resistente Alarmkanal

Am schwersten lässt sich ein Alarm dort herausbringen, wo er am nötigsten ist: in einem segmentierten oder per Air-Gap getrennten Netz ohne ausgehendes HTTP. Klaxon kodiert eine Erkennung in die DNS-Auflösung, jenes eine Protokoll, das solche Netze fast immer noch durchlassen, sodass der Alarm als gewöhnliche Namensauflösung genau den Weg nach draussen nimmt, den das Netz ohnehin erlaubt. Es ist ein Einweg-Benachrichtigungskanal, kein Tunnel: er trägt die Meldung einer Erkennung nach aussen, ohne ein eingehendes Loch oder eine Route zu öffnen, die ein Angreifer nutzen könnte.

DNS selbst ist Klartext, aber die Erkennung, die es trägt, wird dadurch nicht offengelegt. Die Nutzlast wird mit authentifizierter Verschlüsselung (AES-256-GCM) unter einem für Ihre Konsole eindeutigen Schlüssel versiegelt, bevor sie in den Abfragenamen kodiert wird, sodass der Kanal Vertraulichkeit und Integrität zugleich trägt. Wer den Resolver-Pfad beobachtet, sieht nur eine undurchsichtige Auflösung in einer Zone, nie die Quelle, den Sensor oder die Zugangsdaten. Und weil jede Abfrage ein Authentifizierungs-Tag trägt, akzeptiert eine Konsole nur Nutzlasten, die unter ihrem eigenen Schlüssel verifizieren: eine gefälschte oder veränderte Auflösung wird verworfen, sodass der unverschlüsselte Transport nicht genutzt werden kann, um einen falschen Alarm einzuschleusen oder einen echten zu manipulieren.

07Über Fehlalarme

Was „null per Design" bedeutet, und wo es nachgibt.

Die Behauptung, ein Köder erzeuge keine Fehlalarme, ist eine Aussage über das Design, keine Messung. Sie gilt wegen der Invariante: ein Köder hat keine produktive Rolle, also hat kein legitimer Arbeitsablauf einen Grund, ihn zu erreichen. Entfernt man die legitimen Gründe, entfernt man die Fehlalarme. Das ist eine kategorisch andere Garantie als ein justierter Schwellenwert.

Ehrlichkeit verlangt, die Randbedingungen zu benennen, die Fälle, in denen etwas Gutartiges einen Köder berührt:

• Autorisierte Scanner. Ein Schwachstellen-Scanner oder ein Asset-Discovery-Werkzeug, das den ganzen Bereich abtastet, berührt auch Köder. Das ist real, erwartbar und über Scoping geregelt: autorisierte Scanner-Quellen ausschliessen oder ihren Kontakt als das bekannte Ereignis behandeln, das er ist.
• Monitoring und Verwaltung. Eine fehlkonfigurierte Monitoring-Sonde, die auf eine Köder-Adresse zeigt, löst ihn aus. Die Abhilfe sind Platzierung und eine Allowlist, kein Neutraining eines Modells.
• Menschlicher Fehler. Ein Administrator, der sich bei der Adresse eines Köders vertippt, löst ihn aus. Dieser Alarm arbeitet wohl bestimmungsgemäss; er ist selten, zuordenbar und schnell abgetan.

Der Unterschied, auf den es ankommt: das sind aufzählbare, erklärbare Ereignisse, an bekannte Quellen gebunden, kein statistisches Nieseln von Vielleichts. Man unterdrückt sie, indem man sie einmal benennt, und was bleibt, ist Signal. Ein probabilistischer Detektor kann dasselbe nicht versprechen, denn sein Rauschen ist keine Liste, es ist eine Rate.

08Sensor-Sicherheit

Eine Falle, die kein Sprungbrett werden kann.

Ein Sensor sitzt in einem Kundennetz und lädt Angreifer ein, mit ihm zu interagieren. Damit ist seine eigene Sicherheit nicht verhandelbar: ein Köder, der sich in ein Sprungbrett verwandeln liesse, wäre schlimmer als gar kein Köder. Das Design nimmt an, dass der Sensor selbst ein Ziel ist.

• Kein eingehendes Vertrauen. Sensoren verbinden sich ausgehend über WireGuard. Es gibt keinen lauschenden Verwaltungs-Port, den ein Angreifer im Segment erreichen könnte, und die Konsole steuert den Knoten, nicht umgekehrt.
• Geringste Rechte auf dem Knoten. Der Verwaltungspfad ist auf einen validierten Satz von Operationen beschränkt, statt auf allgemeinen Shell- oder Container- Zugriff, und das Konto, unter dem er läuft, trägt keine weitreichenden Host-Rechte. Eine kompromittierte Konsole kann nicht zur beliebigen Befehlsausführung auf dem Knoten werden.
• Signierte Updates mit Rollback-Schutz. Der Knoten-Agent akzeptiert nur signierte Updates und verweigert das Zurückstufen auf einen älteren, potenziell schwächeren Build.
• Eine vertrauenswürdige Lieferkette. Die Konsole wird als einzelner selbstentpackender Installer ausgeliefert, der ein signiertes Manifest trägt, geprüft, bevor irgendetwas entpackt wird. Installierter Code wird beim Start gegen ein signiertes Manifest geprüft, und die Lizenzlogik ist zu einem nativen Modul kompiliert, statt als editierbarer Quelltext zu verbleiben.
• Minimaler dauerhafter Wert. Sensoren halten keine produktiven Geheimnisse, die zu stehlen sich lohnt. Was ein Angreifer findet, wenn er einen erreicht, ist mehr Köder, nicht die Schlüssel zum Netz.

09Ausbringung

Die Platzierung ist das Programm.

Deception fängt nur einen Angreifer, der einen Köder berührt, also ist die ganze operative Frage, wo die Köder sitzen. Das Ziel ist, die Pfade, die ein Eindringling gehen muss, durch einen Stolperdraht zu führen.

Dichte und Platzierung

Eine Handvoll gut platzierter Köder schlägt einen Wildwuchs offensichtlicher Köder. Setzen Sie Sensoren auf die Segmente, die ein Angreifer überqueren muss, neben die Assets, nach denen er suchen wird: einen Köder-Dateiserver neben die echten, eine Köder-Appliance ins Management-VLAN, Honey-Accounts in das Verzeichnis, das er durchforsten wird. Abdeckung ergibt sich aus der Platzierung entlang der Routen, die zählen, nicht aus der reinen Anzahl.

Zeit bis scharf, und Justierung

Ein Sensor geht in Minuten von der Anmeldung in den Live-Betrieb, und weil die Erkennungslogik keine Schwellenwerte kennt, gibt es danach wenig zu justieren. Die operative Arbeit besteht darin, bekannte gutartige Quellen (den autorisierten Scanner, die Monitoring-Sonde) einmal zu erfassen und die Fallen dann still zu lassen, bis sie zählen.

In das bestehende SOC

Eine Klaxon-Erkennung soll dort landen, wo das Team ohnehin arbeitet. Alarme gehen für kleine Teams an Webhooks und Push und werden, in der lizenzierten Edition, als CEF über Syslog an ein SIEM und nach Schweregrad per E-Mail weitergeleitet. Für einen Managed-Provider läuft jeder Kunde in einer Konsole mit Isolation je Mandant, sodass ein Team viele Netze betreibt, ohne Kreuzkontamination.

10Editionen und Lizenzierung

Eine Engine, zwei Wege, sie zu betreiben.

Der Erkennungskern ist in beiden Editionen identisch; was sich unterscheidet, sind Skalierung und Betrieb, nie die Originaltreue. Community ist die vollständige Engine, selbst gehostet und kostenlos, ausgelegt für eine kleine feste Zahl von Sensoren an einer Konsole. Enterprise ergänzt die verteilte Flotte, die Mandantenfähigkeit und das unternehmensweite Alarm-Routing, auf dem ein Provider sein Geschäft betreibt.

Eine saubere Open-Core-Grenze

Die Grenze ist kein Laufzeit-Schalter. Ein Community-Build wird ohne den Enterprise-Code auf der Platte ausgeliefert: die Module für Flotte, Mandantenfähigkeit und Integrationen sind physisch nicht vorhanden, es gibt also nichts freizuschalten und nichts, das durchsickern könnte. Enterprise wird durch eine signierte Lizenz aktiviert, ein kompaktes signiertes Token, lokal gegen einen eingebauten öffentlichen Schlüssel verifiziert, sodass die Konsole keinen Call-Home braucht, um zu wissen, wozu sie berechtigt ist. Lizenzen tragen ein Ablaufdatum und einen expliziten Funktionsumfang, sind per stabilem, nicht geheimem Maschinen-Fingerabdruck an eine Konsole node-locked und werden pro Sensor bepreist: das Token kodiert die Sensor-Berechtigung, sodass Wachstum eine Zahl auf der Lizenz ist, keine Migration. Die Aktivierung erfolgt im Self-Service, den Installations-Fingerabdruck auslesen, die Lizenz einfügen, und sie wirkt ohne Neustart.

Sie betreiben ein Homelab und wünschen sich eine bestimmte Enterprise-Funktion? Melden Sie sich und schildern Sie, wie Sie Klaxon in Ihrem Lab nutzen würden; Lizenzierung für Hobbyisten regeln wir gern von Fall zu Fall.

11Grenzen

Was Deception nicht leistet.

Eine Methode ist nur dann vertrauenswürdig, wenn sie ihre Grenzen benennt. Deception ist eine starke Erkennungsschicht, kein vollständiges Sicherheitsprogramm, und sie hat echte Kanten.

• Sie fängt nur Kontakt. Ein Angreifer, der sein Ziel erreicht, ohne je einen Köder zu berühren, wird von Deception nicht gesehen. Die Abdeckung ist durch Platzierung und Dichte begrenzt, und genau darum ist die Platzierung, nicht ihre blosse Anzahl, das Programm.
• Sie ist eine Ergänzung, kein Ersatz. Deception erkennt; sie patcht, segmentiert oder blockiert nicht. Sie setzt voraus, dass Prävention ebenfalls vorhanden ist, und ist am wertvollsten als die Schicht, die fängt, was die Prävention verpasst hat.
• Originaltreue ist ein Wettrüsten. Ein sorgfältiger Angreifer kann versuchen, Köder zu fingerprinten. Echte Ziele auf der Leitung zu klonen, legt diese Hürde deutlich höher, aber kein Köder ist für immer perfekt ununterscheidbar, und die Arbeit, sie überzeugend zu halten, ist fortlaufend.
• Sie erkennt, dann sind Sie am Zug. Klaxon löst beim ersten Fussabdruck einen präzisen Alarm aus; Eindämmung und Reaktion liegen beim Analysten, idealerweise schnell, denn die Frühwarnung ist es, die die Zeit verschafft.

Klar gesagt: Deception gibt Ihnen früh einen vertrauenswürdigen Alarm, unter der Annahme, dass ein Angreifer sich umsieht, bevor er handelt. Sie verspricht nicht, einen Angreifer zu sehen, der das nie tut.

12Fazit

Machen Sie den ersten Schritt zum Verräter.

Erkennung, die rät, wird immer Fehlschläge gegen Rauschen abwägen. Deception verweigert diesen Handel, indem sie die Frage ändert: nicht „ist das bösartig?", sondern „hat jemand berührt, was nichts Legitimes berühren sollte?" Diese Eigenschaft, ein Köder ohne produktiven Zweck, ist es, die den Alarm um drei Uhr morgens vertrauenswürdig macht und die ein kleines Team ein grosses Netz abdecken lässt. Klaxons Beitrag ist, diese Eigenschaft betriebstauglich zu machen: Köder, echt genug, um berührt zu werden, gehärtet, sodass sie nicht umgedreht werden können, verteilt über Netze, die die Konsole sonst nicht erreicht, und mit den Stellen verdrahtet, an denen ein Analyst ohnehin hinsieht. Der erste, unvermeidliche Schritt eines Eindringlings, das Umsehen, ist der Schritt, der ihn verrät.

13Quellen

Quellen.

1. Mandiant. M-Trends Report (jährlich). Globale Median-Verweildauer. mandiant.com.
2. Verizon. Data Breach Investigations Report (DBIR), jährlich. verizon.com/dbir.
3. Spitzner, L. Honeypots: Tracking Hackers. Addison-Wesley, 2002.
4. Hutchins, E. M., Cloppert, M. J., Amin, R. M. Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains. Lockheed Martin, 2011.
5. MITRE. ATT&CK Knowledge Base. attack.mitre.org.