OpenCanary — OpenCanary (Honeypot-Daemon)

OpenCanary ist ein quelloffener, schlanker Honeypot-Daemon, der sich als verschiedene Netzwerkdienste ausgibt und Alarm schlägt, sobald jemand mit ihnen interagiert. Er funktioniert wie eine unsichtbare Stolperdraht-Falle im eigenen Netz. Jede Berührung ist verdächtig — und damit ein wertvolles, fehlalarmarmes Signal.

Historie & Fakten. OpenCanary stammt von Thinkst und ist die quelloffene Variante des Gedankens hinter deren kommerziellen „Canary“-Produkten. Es emuliert ressourcenschonend Dienste wie SSH, FTP, SMB oder Datenbanken und meldet jeden Zugriff. Der entscheidende Vorteil: Da niemand legitim mit diesen Ködern arbeiten sollte, ist praktisch jede Interaktion ein echtes Alarmsignal — anders als bei vielen Erkennungssystemen, die in Fehlalarmen ertrinken. Verwandt sind die „Canarytokens“, die dasselbe Prinzip auf einzelne Dateien oder Zugangsdaten anwenden (siehe Honeytoken). Ausblick & Empfehlung. OpenCanary ist ideal, um Angreifer zu entlarven, die sich bereits im Netz bewegen (Lateral Movement): Ein platzierter Köder, den ein Eindringling zwangsläufig anfasst, verrät dessen Anwesenheit früh. Die Einrichtung ist leichtgewichtig, der Erkenntniswert hoch. Im NEOSEC-Stack wird OpenCanary zusammen mit Cowrie eingesetzt und an die zentrale Auswertung angebunden, sodass aus jedem Köder-Treffer unmittelbar ein priorisierter Alarm im SOC wird.

Auch interessant