In der digitalen Welt beruht Sicherheit oft darauf, die Vordertür zu bewachen. Traditionelle Systeme scannen nach bekannten Übeltätern und suchen nach verdächtigen Mustern im Netzwerkverkehr oder unbefugten Anmeldeversuchen. Ein raffinierter Eindringling, der jedoch bereits an der Vordertür vorbeigeschlüpft ist, kann sich mit der stillen Zuversicht eines legitimen Administrators durch ein System bewegen. Er könnte Dateien prüfen, Daten kopieren oder seine Berechtigungen ausweiten, während er wie ein normaler Benutzer erscheint. Zwischen diesem bösartigen Verhalten und routinemäßigen administrativen Arbeiten zu unterscheiden, gehört zu den schwierigsten Herausforderungen der modernen Cybersicherheit. Um dies zu lösen, haben Forscher zu einer Strategie namens Cyber-Deception (Cyber-Täuschung) gegriffen. Anstatt nur höhere Mauern zu bauen, erschaffen sie eine Landschaft voller Fallen – gefälschte Dienste, gefälschte Konten und gefälschte Daten –, die für einen Angreifer wertvoll aussehen, aber keinem realen Zweck dienen. Wenn ein Eindringling mit diesen Fallen interagiert, liefert das System einen starken Hinweis darauf, dass etwas nicht stimmt, da kein legitimer Benutzer jemals eine gefälschte Ressource berühren würde.

Ein Team von Forschern am Sri Krishna College of Engineering and Technology hat einen neuen Ansatz für diese Strategie entwickelt, der speziell für die Linux-Betriebssysteme konzipiert ist, die einen Großteil des Internets antreiben. Sie nennen ihre Kreation Mirage Mesh. Anstatt sich auf eine einzige Art von Falle zu verlassen, haben sie ein Framework entwickelt, das die Täuschung über vier verschiedene Schichten eines Computersystems verteilt: das Netzwerk, das System selbst, die Softwareanwendungen und die Daten. Die Kernidee besteht darin, die gesamte Umgebung wie eine Honigfalle wirken zu lassen, bei der jede Schicht eine andere Art von Köder bietet. Auf der Netzwerkebene haben sie einen gefälschten SSH-Dienst erstellt, welcher eine gängige Methode für Administratoren ist, um eine Fernsteuerung eines Computers zu ermöglichen. Auf der Systemebene haben sie ein gefälschtes Administrationskonto eingerichtet, das wie ein hochrangiger Benutzer aussieht, aber tatsächlich ein Ablenkungsmanöver ist. Für die Softwareschicht haben sie eine gefälschte Web-Benutzeroberfläche gebaut, die eine Login-Maske für ein Managementsystem imitiert. Schließlich haben sie auf der Datenebene eine Datei mit gefälschten Zugangsdaten platziert, einen „Honeytoken“, der keinen realen Nutzen hat, aber darauf ausgelegt ist, von jedem gefunden zu werden, der nach Geheimnissen sucht.

Die Brillanz von Mirage Mesh liegt nicht nur in den Fallen selbst, sondern auch darin, wie die Forscher die von ihnen generierten Informationen handhaben. In vielen Sicherheitssystemen spricht jede Art von Falle eine andere Sprache, was Sicherheitsteams dazu zwingt, jede einzelne separat zu überwachen. Die Forscher lösten dies durch die Erstellung eines universellen Übersetzers für Sicherheitsereignisse. Wann immer eine der vier Fallen ausgelöst wird, konvertiert das System die Rohdaten sofort in ein einziges, standardisiertes Format. Dies ermöglicht es einem zentralen Überwachungssystem, eine gefälschte Anmeldung auf einer Webseite exakt genauso zu behandeln wie einen gefälschten Passwortversuch bei einer Netzwerkverbindung. Diese einheitliche Sichtweise bedeutet, dass ein einziger Satz von Regeln Bedrohungen über das gesamte System hinweg erkennen kann, unabhängig davon, wo die Bedrohung auftrat. Die Forscher testeten dieses Framework, indem sie Angriffe gegen jede Schicht simulierten. Sie fanden heraus, dass das System Ereignisse aus allen vier Schichten erfolgreich verarbeitete, sie in eine gemeinsame Sprache konvertierte und den zentralen Monitor alarmierte, ohne eine separate Logik für jede Falle zu benötigen, obwohl bisher nur zwei Schichten als live end-to-end bestätigt wurden.

Die Studie beinhaltete die Durchführung einer Reihe kontrollierter Tests, um zu sehen, ob das Framework die Komplexität einer mehrschichtigen Verteidigung bewältigen kann. Die Forscher zeichneten zehn spezifische Interaktionen auf, bei denen ein Test-Client versuchte, jede der vier Täuschungsschichten zu durchbrechen. Das System verarbeitete jedes einzelne Ereignis erfolgreich, ordnete die Aktionen des Angreifers bekannten Phasen eines Eindringens zu und identifizierte spezifische Techniken, die von Cyberkriminellen verwendet werden. Wenn der Test-Client beispielsweise versuchte, das Netzwerk zu scannen, erkannte das System dies als Rekognoszierungsversuch (Aufklärungsversuch). Wenn er versuchte, Passwörter beim gefälschten Konto zu erraten, markierte das System dies als Brute-Force-Angriff. Das Framework bestand sechsundneunzig automatisierte Tests, was bestätigte, dass der zugrunde liegende Code wie beabsichtigt funktioniert. Die Forscher weisen jedoch vorsichtig darauf hin, dass das System zwar vollständig aufgebaut und funktionsfähig ist, aber nur zwei der vier Schichten in einer Live-End-to-End-Umgebung vollständig verifiziert wurden. Die anderen zwei Schichten werden noch finalisiert, und das System wurde noch nicht gegen ein massives Volumen an realweltlichem Datenverkehr getestet, um zu messen, wie häufig es Fehlalarme auslösen könnte.

Was diese Arbeit bedeutend macht, ist ihr Fokus auf Einfachheit und Anpassungsfähigkeit. Das Framework ist darauf ausgelegt, leichtgewichtig zu sein, und nutzt Open-Source-Tools, die leicht verfügbar sind, was es für kleinere Organisationen oder akademische Labore geeignet macht, die sich keine teuren Enterprise-Grade-Sicherheitssuiten leisten können. Durch die Normalisierung der Daten aus verschiedenen Fallen haben die Forscher ein System geschaffen, das leicht erweitert werden kann. Wenn in der Zukunft eine neue Art von Falle erfunden wird, kann diese dem Framework einfach hinzugefügt werden, indem man ihr beibringt, die gemeinsame Sprache zu sprechen, ohne das gesamte Erkennungssystem neu schreiben zu müssen. Die Forscher schlugen auch einen Weg vor, um die Effektivität der Täuschung zu messen, indem sie betrachteten, wie viele Schichten ausgelöst wurden, wie tief der Angreifer vordrang und wie schnell das System reagierte. Obwohl sie noch keinen finalen Wert für diese Metriken berechnet haben, da ihnen ein großer Datensatz normaler Aktivitäten zum Vergleich fehlt, bietet das Framework die notwendigen Werkzeuge, um dies in der Zukunft zu tun.

Das Paper kommt zu dem Schluss, dass Mirage Mesh einen praktischen Weg bietet, um die Sichtbarkeit darüber zu erhöhen, was Angreifer tun, sobald sie sich innerhalb eines Systems befinden. Es demonstriert, dass Sicherheitsteams durch die Verteilung der Täuschung über mehrere Schichten und die Vereinheitlichung der Reaktion Angreifer abfangen können, die ansonsten mit normalen Aktivitäten verschmelzen würden. Die Forscher räumen ein, dass ein geschickter Angreifer schließlich herausfinden könnte, dass eine bestimmte Ressource eine Falle ist, und diese vermeiden würde, weslich sie planen, in der Zukunft Funktionen hinzuzufügen, die die Lockvögel automatisch rotieren und verändern können. Für den Moment steht die Arbeit als funktionaler Beweis der Konzeptfähigkeit (Proof of Concept) da und zeigt, dass ein mehrschichtiger, vereinheitlichter Ansatz zur Cyber-Deception nicht nur möglich, sondern auch mit den Werkzeugen aufzubauen ist, die vielen Organisationen bereits zur Verfügung stehen. Es bietet eine stille, beständige Art, in die Schatten zu blicken und sicherzustellen, dass selbst wenn ein Eindringling das Tor passiert, er sich nicht bewegen kann, ohne eine Spur zu hinterlassen.