Um den unterschiedlichen Anforderungen von großen Unternehmen und KMU gerecht zu werden, hat der Hersteller zwei unterschiedliche Versionen der Deception-Lösung entwickelt: Enterprise und Pro.

Mit Enterprise erhalten Partner den vollen Funktionsumfang der Deception-Technologie. Per Design Workshops passt CyberTrap die Köder maßgeschneidert an die IT-Landschaft des Endkunden an. Im Gegensatz dazu ist die Pro-Version für kleine und mittelständische Unternehmen adaptiert. Hier werden nicht alle Funktionen benötigt, sodass die Deception Services auf die Port Listener RDP, SSH, SMB und TCP begrenzt sind.

Mithilfe der Technologie können Unternehmen das Verhalten von Cyberangreifern besser verstehen. „Als ‚low-hanging-fruit‘ halten interne Angreifer die Köder für leichte Ziele und gehen den Weg des geringsten Widerstandes. Das machen wir uns zu Nutze in dem wir nicht alle Türen fest abschließen“, sagt Timo Bertsch, IT-Security Consultant beim Managed Service Provider und CyberTrap-Partner Twinsec.

Um die Angreifer in die Fallen zu locken, werden Köder auf den Systemen des Produktivnetzwerks, den Endpoints, ausgerollt. Bei den Fallen handelt es sich um echte und authentische Systeme, keine Simulationen oder Emulation. Die Cyberkriminellen können hier keinen Schaden anrichten, da sie nur systemtypische, aber gefälschte Daten wie Passwörter und Informationen über Services vorfinden. „Um ein Höchstmaß an Sicherheit zu erreichen, empfehlen wir auf allen Endpoints verschiedene Köder, passend zu den Gegebenheiten in verschiedenen Abteilungen zu verteilen“, ergänzt Weber.

CyberTrap unterscheidet darüber hinaus zwischen Endpoint, Web Application und Active Directory Deception. Alle drei Techniken haben gemein, dass sie den Cyberangreifer von den produktiven Services ablenken und ihn auf die täuschend ähnlichen Server locken wollen.

Bei der Active Directory Deception gaukelt die Lösung dem Angreifer vor, dass sich ein Benutzer mit besonderen Rechten für die zentrale IT-Verwaltung auf einem System befindet. Dadurch wird das System zu einem verlockenden Ziel für den Kriminellen.

Die Endpoint Deception fasst mehrere Services wie Remote Access, Datenbanken, Datenhaltung oder Authentifizierung zusammen und verwendet diese zur Täuschung.

Und die Web Application Deception bietet CyberTrap an, um Internet-Präsenzen oder Web Applications hinsichtlich krimineller Aktivitäten überwachen zu können. Dabei wird die produktive Umgebung mit Ködern versehen, die den Cyberangreifer auf ein Fallensystem umleiten.

Ergänzend bietet der Hersteller mit dem TrackDown Service eine Deception für Dokumente an. Hierbei handelt es sich um echt aussehende PDFs oder MS Office. Diese werden mit einem Beacon versehen und auf Endgeräten abgelegt. Sobald diese Dokumente das Unternehmen verlassen und der Dieb sie öffnet, erhalten die Unternehmen einen Alarm sowie Informationen in das Dashboard eingespielt über den Diebstahl und die Art der Entschlüsselung.

Carsten Keil, Sales Director bei CyberTrap

Der Installationsaufwand der Pro-Version ist geringer und die Anzahl der Endgeräte, die mit Ködern versehen werden können, auf 900 begrenzt. Ebenso entfallen Enterprise-Funktionen wie die Anbindung von SIEM-Systemen, da diese in kleineren Unternehmen meist nicht verwendet werden. „Die Pro-Version ist für KMU ideal, da diese dank unserer budgetfreundlichen Konditionen ein neues Sicherheitsniveau erreichen können“, sagt Carsten Keil, Sales Director bei CyberTrap.

Für diese kleinen Unternehmen oder Unternehmen die kein Security Operations Center (SOC), wenig Security Knowhow oder kaum IT-Personal haben, spielen Managed Security Services (MSS) eine wesentliche Rolle. Daher legt CyberTrap einen besonderen Fokus auf Managed Services mit Deception.

Die Partner können hier als Berater beim Design der Deception-Umgebung aktiv werden. Außerdem übernehmen sie den Betrieb der Lösung bei den Endkunden sowie die Analyse der Alarme.

„Wir suchen Partner im Channel, die ihren Kunden Managed Services anbieten und mit Deception einen weiteren Baustein in ihrem Security-Portfolio aufnehmen wollen“, sagt Weber.

Das österreichische Systemhaus Anovis setzt die Lösung von CyberTrap bereits als Ergänzung zu Managed Services für die IT-Infrastruktursicherheit sowie als Stand-alone-Lösung ein. Laut Gerhard Iby, Head of Sales bei Anovis, ergibt sich daraus rasch „ein greifbarer Mehrwert in Bezug auf Sichtbarkeit und Erkennungsgeschwindigkeit von Cyberangriffen“.

Doch wie grenzt sich die Lösung nach eigener Darstellung zur Konkurrenz Attivo oder Illusive ab? „Zum einen sind wir ein europäischer Hersteller und fokussieren uns auf den DACH-Markt und Europa, anders als bei den amerikanischen und israelischen Unternehmen“, argumentiert Weber. „Unsere Support-Mitarbeiter und Entwickler sprechen deutsch und englisch. Außerdem arbeiten unsere Köder komplett ohne Agenten und wir brauchen keine Adminrechte, um sie in der IT-Landschaft zu platzieren.“

Wollen Unternehmen eine Deception-Lösung einsetzen, müssen sie nicht alle anderen Produkte, die sie für viel Geld gekauft haben, auf den Müll werfen. „Wir haben grundsätzlich die Philosophie: Deception ergänzt und ersetzt keine anderen Lösungen“, sagt Keil.

Als Ergänzung zu Endpoint Detection and Response (EDR) oder Extended Detection and Response (XDR) eignet sich Deception laut Weber sehr gut. „Während EDR und XDR meist die Erkennung oder Abwehr als Ziel haben, bietet Deception ergänzend die Möglichkeit zur Analyse des Angriffs und die Bestimmung des Angreifers. Die daraus gewonnenen Erkenntnisse lassen sich dann in anderen Security-Lösungen verwenden.“

Dem stimmt auch Bertsch zu: „EDR passt gut zur Deception-Technologie und ist häufig ein Projekt auf dem Weg zum SIEM. Deception ermöglicht es, von Anfang an Angreifer im Netz zu finden und kann nach Abschluss des Aufbaus für ein SIEM als hoch gewichtete Datenquelle angebunden werden.“

Die eigene Lösung entwickelt CyberTrap ebenfalls ständig weiter. Aktuell arbeitet der Hersteller an der Version 3, mit der die Analyse der Methoden der Cyberangreifer automatisiert erfolgen soll. „Angriffe werden hinsichtlich der Angreifer, den Angriffsphasen, Taktiken und Techniken analysiert, klassifiziert und aggregiert“, erklärt Weber. „Das reduziert den Aufwand für den Analysten. Außerdem kommen weitere Services hinzu, zum Beispiel aus dem OT-Bereich.“

Die baldige SaaS-Version soll es den Partnern ermöglichen, ihre Kunden schnell an die Deception-Plattform von CyberTrap anzubinden und diese in ihr Service-Portfolio zu integrieren.

Gemeinsam mit dem technischen Verband VGB hat CyberTrap bereits eine Lösung für den OT-Bereich (Operational Technology) entwickelt und wird diese auf der „VGB Conference Digitalization in Hydropower“ vorstellen.

Deception-Technologie

Das Trojanische Pferd von Illusive Networks