Ein Honeypot-Forschungsprojekt
Was das Internet versucht, gemessen.
Decoyra betreibt Köder-Server auf mehreren Kontinenten. Niemand hat dort etwas Legitimes zu tun, also ist alles, was sie aufzeichnen, ein Angriff. Daraus entsteht offene Threat Intelligence.
Illustration. Die Zahlen darunter sind gemessen.
Die aktuellen Zahlen werden geladen…
Diese Woche auf den Ködern
Aus dem offenen Feed. Jede Zahl ist aus aufgezeichnetem Verkehr gezählt; nichts hier ist geschätzt.
Schwachstellen, die ausgenutzt werden, letzte 7 Tage
„Bei uns nach“ ist die Zeit zwischen der offiziellen Veröffentlichung einer Schwachstelle und dem ersten Versuch auf den Ködern. Daten und Bewertungen: CVE-Programm. Ausnutzung: CISA.
Was Angreifer versuchen, in Begriffen von MITRE ATT&CK
Aufgezeichnete Ereignisse in 7 Tagen. Die Balken sind wurzelskaliert: Scans übertreffen alles andere um das Hundertfache. Nichts davon hatte Erfolg; Köder führen nichts aus.
Nach einem erfolgreichen Login: das häufigste Skript
Der SSH-Köder akzeptiert schwache Passwörter und antwortet wie eine Shell, ist aber eine Nachbildung: Nichts wird ausgeführt, Downloads scheitern, Uploads werden nur gehasht.
So entstehen die Messungen
Köder sehen aus wie Dienste, nach denen Angreifer suchen. Eine Zentrale sammelt, was dort ankommt, gruppiert und benennt es. Veröffentlicht wird nur Bestätigtes.
- Köder: Webseiten und Admin-Oberflächen, SSH mit nachgebildeter Shell, Datenbanken und Caches, Remote Desktop und Dateifreigaben, VPN-Gateways und Appliances, KI-Modellserver.
- Zentrale: gruppiert Anfragen zu Mustern; benennt bekannte Exploits (CVE); ordnet MITRE ATT&CK zu; verbindet Adressen zu Kampagnen; listet nur, was zwei Köder sahen.
- Veröffentlicht: Blocklisten für Firewalls, STIX-, MISP- und TAXII-Feeds, Suricata-Erkennungsregeln, Wöchentlicher Lagebericht.
- Köder führen nichts aus. Was Angreifer schicken, wird aufgezeichnet, nicht ausgeführt, nachgeladen oder weitergeleitet.
- Zwei Köder müssen übereinstimmen. Eine Adresse wird erst gelistet, wenn mindestens zwei Köder sie bestätigt haben; Forschungs-Scanner landen nicht wegen Scans auf der Liste.
- Dritte zählen nicht. Anfragen, die eine Webseite über den Browser eines Besuchers auslösen kann, werden aufgezeichnet, aber nie diesem Besucher angelastet.
- Passwörter bleiben privat. Zugangsdaten, die an Ködern eingegeben werden, werden nie veröffentlicht oder weitergegeben.
Woran wir forschen
Die Flotte ist ein Messinstrument. Auf diese Fragen ist es gerichtet.
Wie schnell wird eine neue Lücke ausgenutzt?
Für jede Schwachstelle mit Signatur halten wir den ersten Versuch fest und vergleichen ihn mit dem Veröffentlichungsdatum. Manche kommen Jahre später, manche nach Tagen.
Was passiert, wenn die Tür aufgeht?
Tausende Sitzungen folgen einer Handvoll Skripte: umsehen, Werkzeug laden, Miner starten, Schlüssel hinterlegen, aufräumen. Wir gruppieren sie zu Playbooks und beobachten, wie sie sich ändern.
Sind KI-Agenten Teil des Verkehrs?
Köder-Seiten enthalten Anweisungen, die Menschen nie sehen und denen nur ein KI-Agent folgen würde. Ein Besucher, der ihnen folgt, verrät, was er ist.
Wer gehört zusammen?
Adressen mit demselben Satz an Techniken sind ein Werkzeug oder ein Botnetz. Die Gruppierung zeigt Kampagnen statt einzelner Adressen.
Drei Wege, es zu nutzen
Decoyra ist ein Forschungsprojekt, kein Shop. Der offene Feed ist kostenlos. Für alles Weitere: Schreiben Sie, woran Sie arbeiten.
Für alle
Offener Feed
Blocklisten, Indikatoren, Erkennungsregeln und ein Wochenbericht, auf GitHub.
- Kostenlos, Lizenz CC BY 4.0
- Formate für Firewalls, MISP, STIX und Suricata
- Soll künftig einen Tag hinter der Flotte liegen
Für Forschende und Security-Teams
Forschungszugang
Dieselben Daten, sobald sie entstehen, mit dem Kontext, den der offene Feed weglässt.
- Aktuelle Daten über API und TAXII 2.1
- Muster, Kampagnen und Playbooks im Detail
- Ein MCP-Endpunkt für KI-Assistenten, nur lesend
Für Organisationen
Eigene Köder
Köder in Ihrem Netz oder Ihrer Cloud. Nichts Legitimes fasst sie an, also ist jeder Kontakt einen Alarm wert.
- Sensoren, die auf den kleinsten Server passen
- Ihre Daten bleiben getrennt von der öffentlichen Flotte
- Als Pilot, gemeinsam mit Ihnen eingerichtet
Forschungszugang und Piloten werden einzeln vereinbart. Es gibt keine automatische Anmeldung und keine Preisliste.