Fallen für den Angreifer stellen
bevor er vorrückt.
Honeypot-VM im LAN deployed. 14 Leerköder-Dienste (SSH, RDP, SMB, falsches Veeam, MSSQL…), die laterale Bewegung sofort erkennen — oft 14 Tage bevor Ransomware die echten Server trifft.
Niemand hat einen legitimen Grund, sich mit einem falschen Backup-Server oder einer falschen SQL-DB zu verbinden. HoneyPot setzt 14 glaubwürdige Köder im LAN — Veeam-Banner, Samba-Shares Kommerz/HR, MSSQL mit Logs, RDP mit richtigem Hostnamen, Dashboard « BackupServer » mit 200 simulierten Jobs. Bei erster Berührung: kritischer Alarm. Das SOC sieht die laterale Bewegung, isoliert die Quelle und löst ein Playbook aus — bevor das Ransomware startet.
Vom Alert bis zum forensischen Beweis, in Echtzeit.
Der Sensor fängt das Signal, SYLink AI korreliert und entscheidet — Sie behalten die Kontrolle.
Die Technologie, im Detail.
Was das Modul wirklich kann — keine Versprechen, sondern Funktionen.
14 services leurres
- SSH (Cowrie) + Telnet
- RDP (xrdp + recorder)
- SMB (Samba Buchhaltung / Info / HR / Management)
- FTP + 193 Canary-Dateien (UUID)
- MSSQL + MySQL + PostgreSQL + Redis + VNC
- Veeam-Fake (HTTPS) + HTTP-Honeytrap (25 Köder-Routes)
Detektion
- Jede SSH/RDP/SMB-Verbindung zur VM = verdächtig
- Erfassung der versuchten Anmelddaten
- Ausgeführte Befehle (whoami, net user…)
- HASSH-SSH-Client-Fingerprint
- Inotify-Überwachung der Canary-Dateien (Lesen / Kopieren)
- Windows-OS-Spoofing (TTL=128) gegen Scanner
SYLink AI-Steuerung
- Automatisches Triage (kritisch / hoch / mittel)
- Rekonstruktion des Angreiferpfads (Quelle → Köder)
- DPI-Kreuzkorrelation (wer hat mit dem Köder gesprochen?)
- EDR-Kreuzkorrelation (welcher Prozess auf der Quelle?)
- Automatische SOAR-Playbook-Generierung
Lizenz & VM-Robustheit
- Hardware-Fingerprint (UUID + machine-id + MAC)
- Sperrmodus bei fehlender Lizenz
- HMAC-signiertes Enrollment-Token
- Aktivierung per QR + automatische Tenant-Zuordnung
- Fernwiderruf = sofortige Sperre
Lokale Threat-Intel
- Angriffs-IPs in unified_iocs propagiert
- Wenn der Angreifer woanders zuschlägt → Tenant-Alarm
- Erkennung Scan / DDoS / SYN-Flood
- Analyse der Boot-Ereignisse
- SOC-Watchdog: VM down → Ereignis-Wiedergabe
SOAR-Loop
- Automatische IP-Blockierung → Tenant-Firewall + DPI
- Rotation der Cowrie-UserDB
- Analysten-Eskalation im High-Modus
- Regeneration der Köder-Dateien
- TCP Reset nachverfolgbar bis zum Endpoint
Wozu dient das konkret?
Schon im LAN befindlichen Angreifer erkennen
Das Ransomware bereitet sich 7-14 Tage durch laterale Bewegung vor. HoneyPot erkennt den ersten SMB-Versuch auf den falschen Backup-Server → Alarm 14 Tage vor der Verschlüsselung.
Scanner täuschen
Ein Angreifer startet nmap: Die VM antwortet Windows Server, Veeam, MSSQL, RDP. Er verliert 30 Minuten an einen falschen Server — genug Zeit für das SOC.
Laterale Credentials einfangen
Ein Script versucht psexec mit admin/admin1234. Cowrie fängt die Anmelddaten ab → das SOC weiß, welches Konto woanders kompromittiert ist.
Threat Intel propagiert
Die Angreifer-IP wird zu den internen CTI-Feeds hinzugefügt. Wenn sie auf DPI oder EDR wieder auftaucht, sofortiger Alarm. Eine Erkennung speist die ganze Kette.
Angetrieben von SYLink AI, zu 100 % in Frankreich gehostet (HDS v2), unabhängig vom Cloud Act. Jede Entscheidung ist nachvollziehbar und NIS2- sowie DORA-konform.
Ein Baustein des SOC — niemals isoliert.
Jedes Modul speist die anderen über SYLink AI.
Bereit, zu sehen, was wirklich
in Ihrem Netzwerk vor sich geht?
Erstes kostenloses Test, ohne Kreditkarte, ohne Verpflichtung. Auf Ihrer bestehenden Infrastruktur.