SuckerPotDas SuckerPot-Netzwerk
Viele Honeypots. Ein Bericht.
Ein Honeypot sieht einen Angriff. Viele sehen ein Muster. Knoten bündeln, was sie beobachten, damit ein schlechter Host einmal mit stärkeren Belegen gemeldet wird, statt vielmals mit schwachen.
Was es ist
Ein Pool, dem du jederzeit beitreten und den du jederzeit verlassen kannst.
- Freiwillig. Ein Knoten, der nicht beitritt, sendet nichts.
- Kein Konto und keine E-Mail. Ein Knoten hat höchstens ein optionales Pseudonym.
- Geteilt werden nur die Fakten, die eine Meldung enthalten würde. Der Hub speichert nie die Adresse eines Knotens.
- Malware-Links, die mehrere Knoten gesehen haben, gehen nach einer menschlichen Prüfung an abuse.ch.
- Austreten dauert einen Klick oder einen Befehl.
Konsens
Ein einzelner Knoten kann nie etwas veröffentlichen.
Vergiftung heißt, falsche Sichtungen zu senden, um eine unschuldige Adresse listen zu lassen. Ein Ziel gilt nur als bestätigt, wenn alle diese Bedingungen erfüllt sind. Die Zahlen sind Voreinstellungen, die der Hub-Betreiber ändern kann.
Das macht Vergiftung teuer, nicht unmöglich: Ein geduldiger Betreiber mit genug braven Knoten könnte trotzdem ein falsches Ziel durchbringen. Die menschliche Prüfung der Meldungen ist die letzte Schranke.
- Mindestens 5 berechtigte Knoten haben es gesehen.
- Die Sichtungen stammen von mindestens zwei verschiedenen Tagen oder von 10 Knoten.
- Keine einzelne Anmeldewoche liefert mehr als die Hälfte der Knoten, daher kann eine Farm, die sich auf einmal anmeldet, nicht allein bestätigen.
- Eine Adresse, die von 5 bis 9 Knoten gesehen wurde, braucht zusätzlich ein Signal für bekannt schlecht aus einer externen Reputationsquelle, sonst 10 Knoten.
- Ein Befehlsserver zählt nur mit einer Datei, die mindestens zwei berechtigte Knoten abgerufen haben.
- Öffentliche DNS-Resolver, große CDN- und SaaS-Domains, Paket-Registries und reservierte Bereiche werden nie bestätigt.
- Ein berechtigter Knoten ist mindestens 14 Tage alt und hat an mindestens 7 der letzten 14 Tage Daten gesendet.
Abschaltungen
Hat die Meldung gewirkt?
SuckerPot kann die Ziele deiner Meldungen verfolgen: Wird die Malware-Datei noch ausgeliefert, ist die angreifende Adresse noch aktiv, wie lange dauerte die Abschaltung. Die Nachverfolgung ist optional und standardmäßig aus.
Es jagt nie zurück
| Ziel | Kontaktiert? |
|---|---|
| Eine Malware-URL, die dem Sammelmodul eine Probe ausgeliefert hat | Ja, eine begrenzte Anfrage über das VPN, genauso wie der erste Abruf. |
| Ein Command-and-Control-Server | Nie. Keine Verbindung, kein Ping, kein Banner-Grabbing. |
| Eine angreifende IP-Adresse | Nie. Keine Verbindung, kein Ping, kein Traceroute. |
| Jeder Host, für Portscans oder Reverse-Lookups | Nie. |
Was du siehst
- Jedes Ziel hat einen Zustand, dargestellt als Symbol und Wort: noch online, liefert eine neue Datei, offline oder unbekannt.
- Eine einzelne fehlgeschlagene Prüfung heißt nie offline. Eine URL ist offline, wenn ihre letzten zwei Prüfungen übereinstimmen und weit genug auseinanderliegen.
- Die Zeit bis zur Abschaltung ist ein Zeitfenster, zum Beispiel „offline zwischen 14:00 und 20:00, 19 Stunden nach der Meldung“.
- Die Ergebnisseite zählt Abschaltungen innerhalb von 48 Stunden, nur bei Zielen, die über die ganzen 48 Stunden beobachtet wurden.
- Anbieter, die antworten, und solche, die Meldungen ignorieren, werden nebeneinander gezeigt.
Meldungen und Nachverfolgung nutzen den anonymen VPN-Weg. Bestätigte Malware-Hosts und Befehlsserver können auch an abuse.ch gehen, wo URLhaus und ThreatFox sie für alle listen. Das ist standardmäßig aus, und eine Person prüft jede Einreichung.
Füge deine Sensoren dem Pool hinzu.
Beitreten gibt dir keine private Liste und keine frühe Kopie. Es macht die freien Listen für alle schneller und genauer.