T-Pot — T-Pot — Multi-Honeypot-Plattform

T-Pot ist eine quelloffene All-in-one-Honeypot-Plattform, die zahlreiche einzelne Honeypots zusammen mit Netzüberwachung und Visualisierung in einem Docker-basierten System bündelt. Gepflegt wird sie von der Telekom Security. Sie ist der einfachste Einstieg, um Angriffe aus dem Internet sichtbar zu machen.

Historie & Fakten. T-Pot wird von der Telekom Security (Deutsche Telekom) entwickelt und über GitHub (telekom-security/tpotce) bereitgestellt. Die Plattform vereint über zwanzig Honeypots — darunter Cowrie (SSH/Telnet), Dionaea (Malware), Conpot (ICS/SCADA), Heralding, ElasticPot und viele mehr — mit der IDS/IPS-Engine Suricata und dem ELK-Stack (Elasticsearch, Logstash, Kibana) zur Auswertung. Alles läuft in Docker-Containern, wodurch sich die Dienste sauber isolieren und bequem aktualisieren lassen. Standardmäßig werden Daten an den Sicherheitstacho übermittelt; das lässt sich in der Konfiguration abschalten. Als Faustregel gelten rund 8–16 GB RAM und 128 GB Speicher; neue Versionen erscheinen etwa alle sechs bis zwölf Monate. Ausblick & Empfehlung. T-Pot eignet sich hervorragend, um schnell ein breites Bild aktueller Angriffsmuster zu gewinnen und eigene Bedrohungsdaten zu erzeugen. Wichtig: Ein Honeypot darf niemals produktive oder sensible Daten enthalten und gehört strikt segmentiert, damit er nicht selbst zum Sprungbrett wird. In einem SOC-Kontext lassen sich die Funde an ein SIEM anbinden — bei NEOSEC etwa, um aus realen Angriffsversuchen verwertbare Indikatoren für XIEM® und die Threat-Intelligence-Plattform zu gewinnen. Für reine OT-Szenarien ist der enthaltene Conpot besonders interessant.

Auch interessant