Honeypot

Wat is een honeypot?

Een honeypot is een nepsysteem of nepdienst die er voor een aanvaller uitziet als een echt, aantrekkelijk doelwit, maar die alleen bestaat om aanvallers te misleiden, te detecteren en hun werkwijze vast te leggen. Omdat geen enkele legitieme gebruiker een honeypot nodig heeft, is elke interactie ermee per definitie verdacht. In OT-netwerken gebruikt u een honeypot om verkenning, ongeautoriseerde toegang en laterale beweging vroeg te zien, zonder dat kritieke systemen in gevaar komen.

Honeypots helpen bij dreigingsdetectie, forensisch onderzoek en het verbeteren van OT-beveiligingsstrategieën.

🎯 Waarom gebruikt u een honeypot?

Beveiligingsonderzoeker Lance Spitzner definieerde een honeypot als een informatiesysteembron waarvan de waarde ligt in het ongeautoriseerde of illegale gebruik ervan. Het idee is ouder: Clifford Stoll lokte eind jaren tachtig een spion met nepbestanden, wat hij beschreef in The Cuckoo’s Egg (1989). In 1999 werd het Honeynet Project opgericht, een internationale non-profitorganisatie die sindsdien veel open source honeypots heeft ontwikkeld.

Een honeypot levert drie dingen op:

• Detectie met weinig ruis - een melding van een honeypot is bijna nooit een vals alarm, omdat er geen normaal verkeer naartoe hoort te gaan. Dat is een groot verschil met een IDS, dat legitiem en kwaadaardig verkeer van elkaar moet onderscheiden.
• Threat Intelligence - u ziet welke TTP’s, tools, wachtwoorden en malware aanvallers echt gebruiken, en kunt die in kaart brengen met MITRE ATT&CK for ICS.
• Vertraging en misleiding - een aanvaller die tijd verliest aan een nepdoel, raakt minder snel het echte proces en verraadt zichzelf.

🧠 Hoe werkt een honeypot?

1. Een nepsysteem of nepdienst wordt ingericht met schijnbare functies, bijvoorbeeld een webinterface, open poorten en een realistische apparaatnaam.
2. De honeypot wordt zichtbaar gemaakt op het netwerk: op internet om breed te meten, of intern om indringers te betrappen.
3. Elke interactie wordt gelogd:
   • inlogpogingen en gebruikte wachtwoorden;
   • scans en protocolverzoeken;
   • Malware-downloads en uitgevoerde commando’s.
4. De data gaat naar een SIEM of OT SOC en wordt geanalyseerd voor Threat Intelligence of Anomaliedetectie.

Honeypots verschillen vooral in de mate van interactie die ze toestaan:

Daarnaast bestaan honeytokens: nepinloggegevens, nepdocumenten of nepdatabaserecords die alarm slaan zodra iemand ze gebruikt. Een netwerk van samenwerkende honeypots heet een honeynet.

🏭 Hoe zet u honeypots in OT-omgevingen in?

In OT draait een honeypot om geloofwaardigheid: een aanvaller die een fabriek of waterzuivering verkent, zoekt naar industriële apparaten en protocollen. Typische toepassingen:

• Nep-PLC- of SCADA-interfaces die lijken op echte industriële systemen, compleet met merknaam, firmwareversie en procesgegevens.
• Emulatie van industriële protocollen zoals Modbus, S7, ProfiNET, BACnet en IEC 60870-5-104 om netwerkscans te lokken.
• Detectie van ongeautoriseerde toegang via Remote Access, bijvoorbeeld een nep-engineeringstation of een nep-VNC-dienst.
• Interne lokdoelen in elk niveau van het Purdue Model, zodat een indringer die al binnen is opvalt zodra hij gaat rondkijken.
• Ondersteuning van Threat Hunting en Security Monitoring met concrete aanwijzingen en IOC’s.

Het bekendste open source voorbeeld is Conpot, een low-interaction ICS-honeypot uit de kring van het Honeynet Project. Conpot emuleert onder meer S7, Modbus, IEC 104, EtherNet/IP, BACnet, SNMP, HTTP, FTP en IPMI, en levert sjablonen voor bijvoorbeeld een Guardian AST-tankmeter en een Kamstrup-energiemeter. Op 20 september 2026 verscheen Conpot 1.0.0, een volledige herbouw van het platform: sjablonen zijn overgezet van XML naar TOML en aanvallen worden gestructureerd gelogd naar onder meer JSON, SQLite, syslog en TAXII.

🔄 Hoe verhoudt een honeypot zich tot andere beveiligingsmaatregelen?

Een honeypot vervangt dus geen netwerksegmentatie, firewalls of monitoring. Het is een extra laag binnen Defense in Depth die vooral waardevol is waar andere detectie te veel ruis geeft.

🔧 Welke stappen volgt u bij het inrichten van een OT-honeypot?

1. Doel bepalen - wilt u interne indringers detecteren, of wilt u onderzoek doen naar internetaanvallen? Voor detectie volstaat bijna altijd een low-interaction honeypot.
2. Plaats kiezen - zet interne lokdoelen in dezelfde VLAN’s als echte apparaten, of in de DMZ tussen IT en OT. Een internetgerichte onderzoekshoneypot hoort in een volledig gescheiden omgeving.
3. Geloofwaardig maken - gebruik apparaatnamen, IP-adressen en firmwareversies die passen bij de rest van uw installatie.
4. Isoleren - een honeypot mag nooit een route bieden naar echte productiesystemen en mag geen uitgaand verkeer naar internet sturen.
5. Koppelen - stuur alle meldingen naar het SIEM en leg in het Incident Response-plan vast wat een honeypot-alarm betekent.
6. Onderhouden - een honeypot die jaren onveranderd blijft, valt op. Werk sjablonen bij en test regelmatig of meldingen aankomen.

Let in Nederland ook op de AVG: IP-adressen en andere gegevens van bezoekers gelden doorgaans als persoonsgegevens, dus beperk bewaartermijnen en leg de grondslag vast. Bewaar logs wel forensisch zorgvuldig, zodat ze bruikbaar zijn voor forensisch onderzoek of aangifte.

🔐 Welke risico’s en valkuilen hebben honeypots?

• Geen productiegegevens of echte toegang in de honeypot; een gecompromitteerde honeypot mag niets prijsgeven.
• High-interaction is riskant - een aanvaller kan een echte, gekaapte machine gebruiken als springplank of voor aanvallen op derden.
• Fingerprinting - standaardinstellingen van bekende open source honeypots zijn herkenbaar voor scanners. Pas ze altijd aan.
• Valse geruststelling - een stille honeypot betekent niet dat er geen aanvaller is; hij heeft het lokaas misschien gewoon niet gevonden.
• Combineer met SIEM voor meldingen en het correleren van aanvallen, en gebruik honeypots ook voor het testen van Anomaliedetectie.

Een low-interaction honeypot is laag risico met een hoge informatieopbrengst, mits hij goed geïsoleerd en geloofwaardig is ingericht.

❓ Veelgestelde vragen

Is een honeypot legaal?

Een honeypot op uw eigen netwerk is in Nederland legaal, zolang u alleen uw eigen systemen gebruikt en de verzamelde persoonsgegevens volgens de AVG behandelt. Een honeypot mag niet worden gebruikt om aanvallen op derden mogelijk te maken. Vraag bij twijfel juridisch advies, zeker voor high-interaction honeypots.

Kan een honeypot in een productie-OT-netwerk staan?

Een low-interaction honeypot kan als intern lokdoel in een OT-segment staan, omdat hij geen echt proces bestuurt en geen route naar productiesystemen biedt. Een high-interaction honeypot met echte PLC’s hoort daarentegen in een volledig gescheiden omgeving. Het belangrijkste is dat de honeypot het fysieke proces nooit kan beïnvloeden.

Wat is het verschil tussen een honeypot en een honeytoken?

Een honeypot is een compleet nepsysteem of nepdienst, terwijl een honeytoken een los stukje lokaas is, zoals een nepwachtwoord, nepbestand of nepdatabaserecord. Beide slaan alarm zodra iemand ze gebruikt. Honeytokens zijn goedkoop en eenvoudig te verspreiden over echte systemen.

Welke open source honeypots zijn er voor OT?

Conpot is de bekendste open source ICS-honeypot en emuleert onder meer Modbus, S7, IEC 104, BACnet en EtherNet/IP. GasPot bootst specifiek een tankmeter van tankstations na. Daarnaast bieden commerciële deception-platforms OT-lokdoelen die centraal worden beheerd.

Hoe snel worden honeypots aangevallen?

Een op internet zichtbare honeypot wordt meestal binnen uren gescand. In het ICS-onderzoek van Trend Micro uit 2013 waren de eerste aanvalssporen al na 18 uur te zien. Een interne honeypot hoort daarentegen stil te blijven; elke melding daarvan verdient direct onderzoek.

Vervangt een honeypot een IDS?

Een honeypot vervangt geen IDS, omdat hij alleen ziet wat er naar het lokdoel gaat en niet wat er tussen echte systemen gebeurt. De twee vullen elkaar aan: het IDS bewaakt het echte verkeer, de honeypot geeft betrouwbare alarmen met weinig ruis. Samen met een SIEM vormen ze een sterke detectielaag.

📌 Samengevat

Een honeypot is een lokdoel dat aanvallers misleidt en hun werkwijze vastlegt, zodat u indringers vroeg ziet zonder uw OT-productienetwerk in gevaar te brengen. Kies voor detectie een goed geïsoleerde, geloofwaardige low-interaction honeypot, koppel hem aan uw SIEM en leg vast wat een alarm betekent.