Vad är en honeypot?

Vår bedömning i korthet

• En honeypot ersätter inte brandvägg, backup eller skydd på datorerna. Den fyller ett annat hål: den visar att någon redan är inne och letar.
• Den ger få men tydliga larm, eftersom ingen legitim trafik ska nå den.
• Den passar särskilt bra efter en incident ("datorn är rensad, men är angriparen borta?") och i nät med servrar, NAS, produktionsutrustning eller fjärråtkomst.

Hur fungerar en honeypot?

När en angripare har tagit sig in letar den efter fler datorer, servrar och lösenord. Det steget är ofta svårt att se, eftersom trafiken redan är innanför brandväggen. En honeypot står där angriparen letar. Den registrerar allt som skannar, knackar på eller försöker logga in, och skickar larm.

Vad en honeypot kan

• Visa att någon rör sig i nätet efter ett intrång
• Ge få men tydliga larm
• Fungera utan att läsa filer eller mejl

Vad en honeypot inte kan

• Stoppa ett angrepp på egen hand
• Upptäcka angrepp som aldrig rör lockbetet
• Ersätta e-postskydd, backup eller skydd på datorerna

Varför honeypots fångar AI-agenter

En honeypot är en av de mest effektiva metoderna för att upptäcka automatiserade angripare och AI-agenter inne i nätet. Den har ingen funktion i ert vardagliga arbete, så ingen anställd har anledning att röra den. En autonom angripare som kartlägger nätverket och testar allt den hittar gör det däremot. Därför är varje kontakt med den en tydlig varningssignal.

Forskning visar att AI-agenter redan har observerats i verkliga angreppsförsök och kan upptäckas med honeypots (Palisade Research, arXiv:2410.13919 (öppnas i ny flik)).

Ett etablerat grepp, inte en nyhet

Lockbeten är en känd säkerhetsåtgärd. NIST SP 800-53 Rev. 5 har en egen åtgärd för dem, SC-26 Decoys: system som är byggda för att vara mål för angrepp, så att angreppen kan upptäckas, ledas bort och analyseras. MITRE Engage beskriver hur försvarare kan använda vilseledning och lockbeten för att upptäcka och studera angripare.

Vad bör ni göra nu, och vad kan vänta?

Nu: Har ni haft en incident nyligen? Ta reda på hur angriparen kom in och om vägen är stängd. Ett lockbete i nätet kan visa om någon fortfarande letar.

Kan vänta: Lockbeten på flera nät eller platser. Börja där de viktigaste systemen finns.

Så har vi resonerat

Vi utgår från hur angrepp brukar gå till efter ett intrång (angriparen kartlägger nätet och rör sig vidare), från etablerade ramverk (NIST SC-26, MITRE Engage) och från publicerad forskning om AI-agenter. Det som är osäkert är hur vanliga AI-drivna angrepp kommer att bli. Forskningen beskriver dem som tidiga, och vi uppdaterar artikeln när vi vet mer.

Vill ni ha en honeypot i ert nät?

Vi kör honeypots åt våra kunder. Läs mer om Honeypot för företag, eller se hur den kompletterar en SOC-tjänst och hotdetektion.

Källor

• Reworr och D. Volkov, "LLM Agent Honeypot: Monitoring AI Hacking Agents in the Wild", arXiv:2410.13919 (öppnas i ny flik) (Palisade Research)
• MITRE Engage, engage.mitre.org (öppnas i ny flik)
• NIST SP 800-53 Rev. 5, SC-26 Decoys, doi.org/10.6028/NIST.SP.800-53r5 (öppnas i ny flik)