Das bringt ein KI-Honeypot

loading="lazy" width="400px">KI kann Honeypots für Angreifer attraktiver gestalten.Eugenia Lucasenco – shutterstock.com



Ein Cyberkrimineller sendet eine Anfrage an einen Server, den er für ungeschützt hält. Nur um dann festzustellen, dass die scheinbar sensiblen Informationen, die dieser zurücksendet, alles andere als das sind. Der Cyber-Unhold ist auf einen Honeypot gestoßen: Eine digitale Falle, mit der Unternehmen Angreifer anlocken und ihre Aktionen erfassen. Das kann unter anderem ermöglichen, neue Angriffskampagnen aufzudecken.



In der Praxis hängt die Wirksamkeit solcher Honeypots jedoch ganz wesentlich davon ab, wie viel Aufwand die Entwickler betreiben, um die Umgebung möglichst realistisch erscheinen zu lassen. Da es richtig ins Geld gehen kann, solche Server zu warten, hält sich das Engagement im Regelfall jedoch eher in Grenzen. Das ändert sich nun mit KI – beziehungsweise Large Language Models (LLMs): Die Technologie macht es möglich, überzeugend wirkende Umgebungen zu einem Bruchteil der bisherigen Kosten zu generieren. Auf diese Weise können sowohl einzelne Unternehmen als auch die Security-Community insgesamt Bedrohungsinformationen schneller gewinnen.          



Der Honeypot im Wandel der Zeit



„Erfunden“ wurde der Honeypot im Jahr 1986. Damals lockte der Astronom und Publizist Clifford Stoll deutsche Hacker in die Falle (“KGB-Hack“), die über eine ARPANET-Verbindung US-Militärgeheimnisse stehlen wollten. Seine Innovation bildete die Grundlage für die Entwicklung klassischer Honeypot-Server. „Security-Forscher lieben Honeypots, denn sie gehören mit zu den besten Möglichkeiten, reale TTPs von Angreifern zu sammeln und neue Malware-Kampagnen aufzudecken“, ordnet Mario Candela, Gründer des italienischen Security-Spezialisten Beelzebub, ein.



Das Aufkommen von LLMs führte schließlich zu ersten wissenschaftlichen Experimenten, bei denen KI in Honeypots integriert wurde. Einen dieser Versuche verantwortete Abdullah Canbaz, Assistenzprofessor für Informationswissenschaften an der Universität von Albany. Ein Student hatte den Akademiker auf die Idee gebracht, KI und Honeypot zusammenzubringen. In der Folge bauten sie gemeinsam ein eigenes LLM auf und trainierten dieses darauf, Traffic-Daten zu analysieren und Linux-Befehle zu verarbeiten.



Das resultierende Whitepaper (PDF) erschien 2024, auf dem Höhepunkt des akademischen Interesses an KI-gestützten Honeypots. „Seitdem habe ich viele Anrufe erhalten – oft von Leuten, die unsere Veröffentlichung nutzen möchten, um darauf ein Startup aufzubauen“, konstatiert Canbaz.



KI erobert den Honeypot



KI-gestützte Honeypots sind jedoch keineswegs nur ein akademisches Spielzeug. Sie werden mittlerweile von kleinen und auch großen Organisationen in der Praxis eingesetzt. Zum Beispiel die Lösung von Candelas Unternehmen: Bei Beelzebub handelt es sich um einen Low-Code-Honeypot auf Open-Source-Basis, der interaktive, LLM-gesteuerte Umgebungen verspricht. Diese sollen dynamisch auf Angreifer reagieren und die Unholde länger beschäftigen, um so umfangreichere Threat-Informationen einzuholen.



Ein weiterer Akteur im Bereich der KI-gestützten Honeypots ist die Deutsche Telekom. Das Unternehmen ist sowohl Nutzer als auch Anbieter eines KI-Honeypots – über seine kostenlose Open-Source-Plattform T-Pot. Thomas Tschersich, Chief Security Officer bei der Telekom, erklärt den Unterschied zwischen einem klassischen und einem KI-gestützten Honeypot mit einer Film-Analogie: „Sowohl komplexe Kulissen aus Holz als auch CGI-Effekte sind Fassaden – aber letzteres ist deutlich kostengünstiger und im Ergebnis kaum noch von einer physischen Kulisse zu unterscheiden.“



Auch die Telekom verspricht, dass sich ihr KI-Honeypot in Echtzeit an die Anfragen von Cyberkriminellen anpasst, um diese möglichst lange in der Falle zu halten. Wobei sie im Idealfall gar nicht erst bemerken sollen, dass sie sich in einer befinden. Dass KI-Honeypots künftig ihre traditionellen Pendants vollständig verdrängen werden, ist laut dem Telekom-CSO jedoch trotzdem nicht unbedingt zu erwarten: „Statische Honeypot-Implementierungen werden durch KI-gestützte Honeypots eher ergänzt, um auf eine hochautomatisierte und KI-gesteuerte Bedrohungslandschaft zu reagieren.“



KI-Honeypots bergen jedoch auch Risiken: Schließlich sind die Ergebnisse, die LLMs liefern, im Wesentlichen das Ergebnis einer (High-Level-)Mustererkennung. Cyberkriminelle, die auf unkonventionelle Angriffe setzen, fallen so womöglich durch das Raster. Wie Candela nahelegt, könnten künftig auch Anbieter von „Deception-Detection-as-a-Service“ auf den Plan treten, um Cyberkriminelle dabei zu unterstützen, KI-gestützte Honeypots in Unternehmen noch vor ihren Angriffsversuchen zu identifizieren. „Zudem könnten raffinierte Akteure versuchen, Honeypot-Daten zu vergiften oder den Deception Layer zu manipulieren, wenn dieser nicht isoliert ist“, warnt der Sicherheitsexperte. (fm)