OpenCanary
OpenCanary (Honeypot-Daemon)
OpenCanary
OpenCanary ist ein quelloffener, schlanker Köder- bzw. Täuschungssystem (Honeypot)-Daemon, der sich als verschiedene Netzwerkdienste ausgibt und Alarm schlägt, sobald jemand mit ihnen interagiert. Er funktioniert wie eine unsichtbare Stolperdraht-Falle im eigenen Netz. Jede Berührung ist verdächtig — und damit ein wertvolles, fehlalarmarmes Signal.
Historie & Fakten. OpenCanary stammt von Thinkst und ist die quelloffene Variante des Gedankens hinter deren kommerziellen „Canary“-Produkten. Es emuliert ressourcenschonend Dienste wie SSH, FTP, SMB oder Datenbanken und meldet jeden Zugriff. Der entscheidende Vorteil: Da niemand legitim mit diesen Ködern arbeiten sollte, ist praktisch jede Interaktion ein echtes Alarmsignal — anders als bei vielen Erkennungssystemen, die in Fehlalarmen ertrinken. Verwandt sind die „Canarytokens“, die dasselbe Prinzip auf einzelne Dateien oder Zugangsdaten anwenden (siehe Honeytoken (Köder-Artefakt) (Honeytoken)).
Ausblick & Empfehlung. OpenCanary ist ideal, um Angreifer zu entlarven, die sich bereits im Netz bewegen (Lateral Movement): Ein platzierter Köder, den ein Eindringling zwangsläufig anfasst, verrät dessen Anwesenheit früh. Die Einrichtung ist leichtgewichtig, der Erkenntniswert hoch. Im NEOSEC-Stack wird OpenCanary zusammen mit Cowrie (SSH/Telnet-Honeypot) (Cowrie) eingesetzt und an die zentrale Auswertung angebunden, sodass aus jedem Köder-Treffer unmittelbar ein priorisierter Alarm im Sicherheits-Leitstand / Security Operations Center (SOC) wird.