Honeypot: så upptäcker du intrång i ett litet företags nätverk
En honeypot är en enhet i nätverket som inte används till någonting. Ingen anställd har anledning att ansluta till den, så varje anslutning är misstänkt. Det gör honeypoten till ett av få säkerhetsverktyg som ger larm nästan utan falsklarm, och därför passar den små företag som inte har någon som sitter och tolkar loggar.
Varför intrång upptäcks för sent
De flesta skydd är byggda för att stoppa angrepp vid dörren: brandväggen blockerar trafik utifrån och antivirus stoppar känd skadlig kod. Men en angripare som loggar in med ett stulet lösenord, eller som kommer in via ett nätfiskemejl, passerar ofta båda utan att något larmar.
Väl inne börjar angriparen kartlägga nätverket: vilka datorer och servrar finns, vilka konton har behörighet och var ligger säkerhetskopiorna. Det är den fasen som avgör hur illa det går.
- Mediantiden innan ett intrång upptäcktes var 14 dagar under 2025, enligt Mandiants årliga rapport M-Trends.
- Från första intrång till angrepp mot företagets användarkatalog (Active Directory) tog det i median ungefär 11 timmar i de fall Sophos utredde.
- 83 procent av utpressningsattackerna startade utanför kontorstid, enligt samma rapport från Sophos.
Angriparen har alltså gott om tid, och agerar gärna när ingen är på plats. En honeypot riktar in sig på just kartläggningsfasen.
Så fungerar en honeypot
En honeypot ser ut som en vanlig enhet i nätverket, till exempel en skrivare, en nätverksdisk (NAS) eller en router. Den svarar på samma sätt som en sådan enhet: den har öppna portar, en inloggningssida i webbläsaren och kanske en filtjänst. Men den innehåller inget av värde och används inte av någon.
När något i nätverket ansluter till den skickas ett larm. Typiska saker som utlöser larm:
- Portskanning: någon undersöker vilka tjänster som finns i nätverket.
- Ping-svep: någon letar efter vilka adresser som är i bruk.
- Inloggningsförsök via webb, Telnet, SSH eller FTP, ofta med standardlösenord.
- Försök att öppna filresurser som ser intressanta ut.
Eftersom det inte finns någon vardaglig trafik till honeypoten behöver du inte ställa in tröskelvärden eller lära dig skilja normalt från onormalt. Antingen rör någon den, eller inte.
I det interna nätverket, inte på internet
Det finns två sorters honeypots. Forskningshoneypots läggs ut på internet för att samla in information om angrepp. De får tusentals anslutningar om dagen från automatiserade skannrar och är meningslösa som larm för ett företag.
För att upptäcka intrång ska honeypoten stå i det interna nätverket, bakom brandväggen. Där ska ingen utomstående kunna nå den, och ingen intern har anledning att röra den. Ett larm därifrån betyder att något redan är inne.
Vad den ska se ut som, och var den ska stå
- Välj en trovärdig förklädnad. En nätverksdisk med namnet NAS-EKONOMI eller en skrivare i ett kontorsnätverk ser naturlig ut. En enhet som heter HONEYPOT gör det inte.
- Placera den där angriparen letar. Samma nätverk som datorerna och servrarna. Har ni flera nätverk, till exempel ett separat för kassasystem eller gäster, kan det behövas en per nätverk.
- Lägg aldrig riktiga data eller lösenord på den. Allt den visar ska vara falskt.
- Den får inte bli en väg in. En honeypot ska simulera tjänster, inte köra riktiga sårbara system som en angripare kan ta över och använda som språngbräda.
- Berätta inte för hela företaget. IT-ansvarig och ledning behöver veta, men ju färre som känner till den, desto mindre risk att någon rör den av nyfikenhet.
Larmet måste nå någon
Ett larm som hamnar i en logg som ingen läser är värdelöst, särskilt när angrepp oftast sker på natten. Se till att larmet går till en mobil, som pushnotis eller sms, och till e-post som backup. Bestäm i förväg vem som tar emot larm utanför kontorstid och vad den personen ska göra. Testa larmet en gång i månaden genom att själv ansluta till honeypoten.
Ett enkelt sätt att få larm till mobilen är tjänsten ntfy, som vi beskriver i guiden Larm till mobilen med ntfy.
Så kommer du igång
Det finns alternativ för alla budgetar och kunskapsnivåer:
| Alternativ | Passar dig som | Kostnad |
|---|---|---|
| Canarytokens | Vill börja i dag med falska filer, länkar och nycklar som larmar när någon öppnar dem. Kompletterar en honeypot snarare än ersätter den. | Gratis |
| OpenCanary på en Raspberry Pi | Är van vid Linux och vill bygga själv. Öppen källkod från Thinkst, kan larma via e-post och webhook. | Gratis programvara, några hundra kronor i hårdvara |
| Inbyggd honeypot i UniFi-gateway | Redan har nätverksutrustning från Ubiquiti UniFi. Larmet hamnar i gatewayens logg. | Ingår |
| Färdig honeypot-enhet | Vill ha något som bara ska kopplas in, utan att underhålla en egen installation. | Engångspris eller prenumeration |
| Företagstjänster, till exempel Thinkst Canary | Har många nätverk och vill ha central administration. | Från 5 000 USD per år för två enheter |
Läs mer om gratisalternativet i guiden Gratis snubbeltrådar med Canarytokens.
När larmet går
- Ta reda på vilken enhet det kom från. Larmet innehåller IP-adressen. Leta upp den i routerns eller DHCP-serverns lista över anslutna enheter.
- Uteslut egna verktyg. Kör IT-partnern en nätverksskanning just nu? Har någon installerat ett program som letar efter skrivare? Undanta i så fall den datorn i honeypotens inställningar.
- Koppla bort enheten från nätverket om det inte finns en naturlig förklaring. Dra ur nätverkskabeln eller stäng av wifi, men stäng inte av datorn. Då finns spår kvar för den som ska utreda.
- Kontakta er IT-partner eller en incidentresponstjänst och berätta vad larmet visade och när.
- Spara larmet och loggarna. Tidpunkter och adresser behövs vid en utredning, en polisanmälan och för eventuell rapportering till myndigheter.
Hur ett angrepp med utpressningsvirus går till, och vad du gör om det har startat, beskriver vi i guiden Utpressningsvirus: så märker du angreppet innan filerna krypteras.
Vanliga frågor
Är det lagligt att ha en honeypot?
Ja, i ditt eget nätverk. Du övervakar din egen utrustning. IP-adresser i larmen kan räknas som personuppgifter, så beskriv gärna övervakningen i företagets IT-policy, men det krävs inget tillstånd.
Kan en honeypot ge falsklarm?
Sällan. Det som kan utlösa larm utan att det är ett angrepp är egna verktyg som skannar nätverket, till exempel nätverksövervakning eller program som letar efter skrivare. Sådana datorer undantar man en gång, och sedan är larmen i princip alltid äkta.
Räcker det med en honeypot?
Nej. Den upptäcker en angripare som redan är inne, men stoppar inget. Tvåstegsinloggning, uppdateringar och säkerhetskopior som inte går att radera är fortfarande grunden.
Hur många honeypots behöver ett litet företag?
Oftast en per nätverk. Ett kontor med ett enda nätverk klarar sig med en.
Märker angriparen att det är en honeypot?
En erfaren angripare kan misstänka det, men då har den redan skannat eller försökt logga in, och larmet har gått. De flesta angrepp mot små företag är dessutom delvis automatiserade och skannar allt de hittar.