Wat is een honeypot?
Ik eet elke morgen een geroosterde boterham met honing. Maar nee, het is niet die pot honing. De honeypot hier is een onzichtbare ‘pot met honing’ die zich ergens online bevindt – en die virussen naar binnen lokt. Ik wist niet van het bestaan af, maar een honeypot is een heel gaaf instrument dat een boel ellende helpt op te sporen. Jelte legt mij via Teams uit hoe het werkt. En hij gebruikt Winnie de Pooh als voorbeeld ;-).
Hoe werkt een honeypot?
Grappig weetje: de naam honeypot komt eigenlijk van Winnie de Pooh, die altijd op zoek is naar potten honing.
Om te weten wat een honeypot is, moet je ook weten wat een botnet is. Dat lees je uitgebreid in de blog over botnets. Kort samengevat: een botnet bestaat uit pc’s die geïnfecteerd zijn met een virus en aan een ‘command and controlserver’ vragen wat ze doen moeten. De beheerder van het botnet kan allerlei opdrachten geven aan dat botnet om virussen, malware, phishing of spam te versturen. Die pc’s gaan dat allemaal tegelijk doen. Dat heet ook wel een DDos-aanval. Je kunt een botnet inhuren (bijvoorbeeld via darkweb) om een bank te hacken, of een site plat te leggen.
De bedoeling van een honeypot is dat een botnet, een ander virus of iets anders fouts bij de honeypot terecht komt.
Wat doet een honeypot?
Een botnet kan ook op zoek gaan naar kwetsbare systemen. De bedoeling van een honeypot is dat een botnet, een ander virus of iets anders fouts bij de honeypot terecht komt. Op het moment dat ‘het’ verbinding maakt met een honeypot, weet de honeypot dat het fout is. De beheerder van de honeypot stuurt een mail naar abusehub.nl, dat is een een plek waar alle misbruikmeldingen samenkomen. En waar ook meldingen worden uitgewisseld door bijvoorbeeld bedrijven. Abusehub verzamelt die meldingen en stuurt ze door naar de eigenaar van het ip-adres waar het virus zich schuilhoudt. Lees over Kliksafe en Abusehub.
Het begin van een vaccin
Een honeypot stelt zich bewust kwetsbaar open voor virussen en andere aanvallen als brute forces. Het gaat erom dat hij te weten komt hoe het virus zich verspreidt. Een virus heeft een ‘signature’, een bepaald gedrag waaraan je kunt zien dat het een virus is.
Als je namelijk weet hoe een virus zich gedraagt, weet je ook hoe je dit kan bestrijden. Denk maar aan het coronavirus. De honeypot is eigenlijk ook een soort begin van een vaccin. Als een antivirusmaker weet hoe het virus zich verspreidt, kan hij een vaccin maken - en dat is dan een antivirusprogramma. Bij elk virus heb je eigenlijk een ander vaccin nodig.
Wat wij doen met een honeypot
Kliksafe heeft op zich niet rechtstreeks te maken met een honeypot. Maar we krijgen wel dagelijks meldingen binnen van Abusehub – mails dat er een activiteit is dat op een virus lijkt. Het zijn zo’n 20 meldingen per dag. De meeste meldingen zijn echter geen virus of aanval. Af en toe komt er een binnen die wel menens is. Wij (afdeling NOC) sturen dan een ticket naar ons klantcontactcentrum (kcc), dat de klant een virus heeft.
Een kcc-medewerker neemt contact op met de klant, en loopt al zijn computers en apparaten langs om te kijken of er een virus is. Soms wordt er geen virus gedetecteerd. Kan Jelte dan zien dat het probleem opgelost is? Het antwoord is nee. Want het kan maar zo zijn dat de virusscanner het virus nog niet kent.
Denk aan Winnie de Pooh. Die heeft dus een honingpot leeggegeten, en daarvan hebben we een bericht ontvangen. Maar Winnie loopt verder en struint het bos af naar meer honing. Hij stuit op een bijenkast en daar neemt hij ook wat honing. Maar dat weten wij dus niet.
Waarschuwing!
Een honeypot waarschuwt je dus. Hij doet op zich niks met die virussen. Vooral leveranciers van virusscanners, antivirusprogramma’s etc. gebruiken honeypots. Daardoor kunnen zij hun antivirusprogramma’s verbeteren.
Virussen lokken
Honeypot is een verzamelnaam voor computers die vroeger werden gebruikt voor command and control. Command en control is de plek waar de botnetbeheerder de commando’s verstuurt en de controle heeft over die botnets. Een honeypot kan een oud botnet zijn, maar het kan ook een server zijn die kwetsbaar is gemaakt om virussen te lokken.
Wat kun je als klant met deze info?
- Wij van Kliksafe kunnen dankzij honeypots onze klanten waarschuwen als ze een virus hebben.
- Als klant kun je al je apparaten scannen op virussen. Het liefst met verschillende virus-oplossingen.
- Verder kan je er niks mee, het is puur informatief. Maar omdat het bestrijden van virussen een heel belangrijk onderdeel van veiligheid is, vonden we het leuk om je te laten weten hoe het werkt.
Reageren?