Het Cybersecurity and Infrastructure Security Agency heeft een nieuw idee voor het verdedigen van energiecentrales, waterbedrijven en andere kritieke infrastructuur: stop met proberen elke aanvaller buiten te houden, en begin degene die binnenkomen te voeden met een dieet van valse gegevens. De nieuw uitgegeven richtlijnen van CISA adviseren exploitanten van kritieke infrastructuur om cyberlokvogels en honeytokens in te zetten, goedkope digitale vallen die zijn ontworpen om indringers vroeg te detecteren en te vertragen voordat ze echte systemen bereiken. Het is een opmerkelijke toonverschuiving van een agentschap dat jarenlang bijna uitsluitend gericht was op patchen, perimeterverdediging en toegangscontrole.

Wat de richtlijnen van CISA daadwerkelijk aanbevelen

In de kern beschrijven de richtlijnen twee verwante hulpmiddelen. Honeytokens zijn nepbestanden, inloggegevens, databaserecords of secrets die in een netwerk zijn geplant en geen legitiem zakelijk doel dienen. Hun enige taak is daar te zitten en er waardevol uit te zien. Als iemand er toegang toe krijgt of probeert er een te gebruiken, is dat onmiddellijk een rode vlag, want geen enkele geautoriseerde medewerker of systeem zou er ooit mee in aanraking mogen komen. Honeypots gaan een stap verder: ze zetten volledige loksystemen op die zijn ontworpen om op echte servers, werkstations of industriële besturingsassets te lijken, en lokken aanvallers weg van de werkelijke omgeving en geven verdedigers de tijd om hun tactieken te observeren.

CISA presenteert deze als toegankelijke opties voor organisaties op elk niveau van cyberbeveiligingsvolwassenheid, niet alleen voor agentschappen met grote beveiligingsbudgetten. Dat is belangrijk voor exploitanten van kritieke infrastructuur, waarvan velen met kleine IT- en beveiligingsteams werken en zich geen platformen voor bedreigingsdetectie van ondernemingsniveau kunnen veroorloven. Een honeytoken kan daarentegen zo simpel zijn als een nep-inloggegeven dat in een bestandsshare wordt geplaatst. De implementatie kost weinig, maar kan een betrouwbare melding genereren op het moment dat iemand ermee interacteert.

Hoe lokvogels samenwerken met VPN's en netwerksegmentatie

Deceptietechnologie is niet bedoeld om de hulpmiddelen te vervangen waarop organisaties al vertrouwen, zoals VPN's, firewalls en netwerksegmentatie. Het is bedoeld om het gat te vullen dat die hulpmiddelen achterlaten. VPN's en toegangscontroles zijn gebouwd om ongeautoriseerde gebruikers in de eerste plaats buiten te houden. Maar aanvallers vinden steeds vaker manieren om die verdedigingen te omzeilen door misbruik te maken van gecompromitteerde inloggegevens of kwetsbaarheden in de remote-accessinfrastructuur zelf. CISA's eigen advies over Gunra-ransomware die zich richt op VPN's is een duidelijk voorbeeld: dreigingsactoren onderzoeken actief zwakke plekken in remote access om een voet aan de grond te krijgen, wat betekent dat perimeterverdediging alleen niet langer voldoende is.

Honeytokens en lokvogels werken vanuit de veronderstelling dat vastberaden aanvallers uiteindelijk de perimeter zullen doorbreken, of dat nu via een gestolen VPN-inloggegeven, een phishing-e-mail of een ongepatchte kwetsbaarheid is. Eenmaal binnen fungeren lokvogels als struikeldraden. Als een indringer door een gesegmenteerd netwerk beweegt op zoek naar waardevolle gegevens of systemen, kan een honeytoken die op de verkeerde plek is geplant hem bijna onmiddellijk betrappen, vaak voordat hij noemenswaardige schade heeft aangericht. Het is een gelaagde aanpak: VPN's en segmentatie vertragen aanvallers en beperken hun bereik, terwijl lokvogels het veel moeilijker maken om onopgemerkt te blijven bewegen zodra ze binnen zijn.

Waarom exploitanten van kritieke infrastructuur het prioriteitsdoel zijn

CISA's beslissing om deze richtlijnen rechtstreeks op exploitanten van kritieke infrastructuur te richten, weerspiegelt waar de inzet het hoogst is. Watersystemen, energieleveranciers en andere essentiële diensten draaien vaak op een mix van moderne IT-netwerken en oudere operationele technologie die niet met cyberbeveiliging in gedachten is ontworpen. Die combinatie maakt hen aantrekkelijke doelwitten en moeilijk te verdedigen met alleen traditionele hulpmiddelen. De recente cyberaanval op de watervoorziening in Minnesota die meer dan 30 systemen trof in slechts twee dagen illustreert hoe snel gecoördineerde aanvallen zich kunnen verspreiden over infrastructuuraanbieders die mogelijk niet de middelen hebben van een groot bedrijfsbeveiligingsteam. Deceptietechnologie biedt deze organisaties een manier om boven hun gewicht te boksen, door high-fidelity meldingen te genereren zonder constante monitoring of dure detectieplatformen te vereisen.

Wat dit betekent voor het detecteren van laterale beweging na een inbreuk

Een van de moeilijkste problemen bij incidentrespons is uitzoeken hoe ver een aanvaller zich binnen een netwerk heeft verplaatst na de eerste inbreuk. Aanvallers die een voet aan de grond krijgen, brengen vaak dagen of weken door met het stil lateraal bewegen, het escaleren van privileges en het in kaart brengen van waardevolle systemen voordat ze een ransomware-payload lanceren of gegevens exfiltreren. Traditionele beveiligingshulpmiddelen kunnen moeite hebben om deze stille verkenning te onderscheiden van normale netwerkactiviteit.

Honeytokens veranderen die rekensom. Omdat ze geen legitiem gebruik hebben, is elke interactie ermee een bijna gegarandeerd teken van kwaadwillige activiteit, wat door de ruis heen snijdt die vroege waarschuwingssignalen normaal gesproken begraaft. Voor exploitanten van kritieke infrastructuur die indringers proberen te betrappen voordat ze operationele technologie of klantgegevens bereiken, kan dat vroege signaal het verschil zijn tussen een beheerst incident en een volledige storing.

Wat dit voor u betekent

Als u in IT of beveiliging werkt voor een nutsbedrijf, gemeentelijk systeem of andere infrastructuurexploitant, is de richtlijn van CISA het waard om volledig te lezen en te behandelen als een goedkope aanvulling op uw bestaande verdedigingen, niet als vervanging ervan. VPN's, multi-factorauthenticatie en netwerksegmentatie blijven essentieel om aanvallers buiten te houden. Lokvogels en honeytokens gaan over het betrappen van degenen die toch door die verdedigingen heen komen. Zelfs organisaties zonder toegewijd beveiligingspersoneel kunnen klein beginnen, door een handvol nep-inloggegevens of bestanden op gevoelige locaties te plaatsen en meldingen in te stellen voor elke interactie ermee.

Voor alledaagse gebruikers en kleinere organisaties is de grotere boodschap een herinnering dat geen enkele beveiligingslaag waterdicht is. Aanvallers onderzoeken voortdurend remote-accesstools, zoals te zien is in lopende ransomware-campagnes die VPN-zwakheden misbruiken, wat betekent dat defense in depth meer dan ooit van belang is.

Belangrijkste punten

  • De richtlijnen van CISA over cyberlokvogels en honeytokens bieden exploitanten van kritieke infrastructuur een goedkope manier om indringers vroeg te detecteren.
  • Lokvogels vormen een aanvulling op, en geen vervanging van, VPN's, toegangscontroles en netwerksegmentatie.
  • Honeytokens zijn vooral effectief bij het signaleren van laterale beweging na een inbreuk, omdat legitieme gebruikers er nooit mee interacteren.
  • Kleinere infrastructuurexploitanten met beperkte beveiligingsbudgetten zijn een prioriteitspubliek voor deze aanpak.
  • Organisaties moeten deceptietechnologie combineren met sterke perimeterverdedigingen, omdat aanvallers blijven mikken op zwakke plekken in remote access om een eerste voet aan de grond te krijgen.