Canary-Zugangsdaten und Köderdateien: erkennen, dass jemand gelesen hat, was er nicht sollte

Ziel

Ein zuverlässiges Signal erhalten, wenn etwas Geheimnisse liest oder verwendet, mit denen es nichts zu tun haben sollte, einschliesslich eines Agenten, der eingeschleusten Anweisungen folgt.

Voraussetzungen

Eine Möglichkeit, Köder-Zugangsdaten oder -URLs auszugeben, die bei Verwendung Alarm schlagen (ein Canary-Token-Dienst oder ein eigener Aussteller mit Alarmierung), und einen Alarmkanal, den jemand beobachtet.

Schritte

1. Köder-Arten wählen. MITRE D3FEND beschreibt Köderdateien als Täuschungstechnik; Token-Dienste wie Canarytokens erzeugen Artefakte, die bei Verwendung Alarm schlagen: Cloud-Zugriffsschlüssel, URLs, DNS-Namen, Dokumente, die beim Öffnen nach Hause telefonieren.
2. Sie dort platzieren, wo ein neugieriger Prozess nachsehen würde: ~/.aws/credentials mit einem zusätzlichen Profil, eine .env-Datei in einem Projektverzeichnis, eine „Backup"-Konfiguration neben der echten, ein Passwortmanager-Export in einem Dokumentenordner.
3. Sicherstellen, dass kein legitimer Prozess sie berührt: die Pfade von Backups und Indexern ausschliessen, die sie sonst öffnen würden, oder sich selbst darauf trainieren, Alarme zu ignorieren.
4. Auf dem Host Datei-Lese-Auditing für Köderdateien hinzufügen (zum Beispiel Linux-Audit-Regeln für den Pfad), um Lesezugriffe zu erfassen, die nie zu einer Verwendung führen.
5. Die Reaktion im Voraus festlegen: was ein Alarm bedeutet, wer nachsieht, welche Sitzung oder welcher Container aktiv war, welche Zugangsdaten rotiert werden müssen.
6. Für Agenten: einen Köder im Arbeitsbereich des Agenten platzieren und ihn in Red-Team-Läufe einbeziehen; ein ausgelöster Canary während eines Injektionstests ist konkreter Beleg dafür, dass der Agent ihn gelesen und ausgeschleust hat.
7. Jeden Canary nach der Platzierung einmal testen und festhalten, dass er Alarm schlägt.

Erwartetes Ergebnis

Unbefugtes Lesen oder Verwenden erzeugt einen Alarm mit Zeitpunkt und Kontext, meist früher als andere Signale.

Grenzen und Prüfbasis

Canaries erkennen nur den Zugriff auf den Köder; ein Eindringling, der direkt zu echten Geheimnissen geht, wird nicht erfasst. Wartungswerkzeuge, Backups und eigene Skripte können sie auslösen, und jeder Fehlalarm senkt die Aufmerksamkeit. Ein tokenbasierter Canary sendet Metadaten an den Token-Dienst; einen Anbieter entsprechend wählen oder selbst hosten.