Hotyta och Honeypot detektion

Skydda perimetern med GeoIP-filter

I dagens hotlandskap börjar ett intrång sällan med ett virus. Det börjar med rekognosering: portskanningar, autentiseringsförsök och automatiserade attacker från servrar världen över – ofta långt utanför era verksamhetsområden.

Genom att använda GeoIP-baserad blockering kan vi stoppa oönskad trafik redan innan den når fram till era interna system. Det innebär att hela regioner, länder eller IP-områden med hög risk kan filtreras bort – vid nätverkets gräns.

Det är en effektiv och resurssnål metod för att minska angreppsytan. Ingen CPU-belastning på applikationer, ingen loggkonsumtion, inget utrymme för angriparen att ens påbörja sin attackkedja.

Exempel på blockering i praktiken

• Ett portscanningsförsök från ett datacenter i Kina stoppas innan det ens syns i er interna loggning.
• Ett automatiserat inloggningsförsök mot er e-postportal från Nordkorea avbryts direkt i brandväggen.
• En API-förfrågan från ett oväntat land nekas redan i perimeterfilter.

GeoIP-filtrering är särskilt viktigt för externa, exponerade tjänster som:

• VPN-åtkomst
• Webmail / OWA / Exchange
• API-portar och IoT-gateways
• Fjärrskrivbord och molnbaserade administrationsgränssnitt

Anpassat efter verksamheten

Alla blockeringar sker efter en vitlistningsprincip där vi definierar vilka länder, regioner eller IP-intervall som faktiskt behöver ha åtkomst till tjänsten. På så sätt undviker ni att filtrera bort legitim trafik – men minimerar riskytan markant.

Viktigt att förstå begränsningen

GeoIP-blockering skyddar inte mot hot som redan finns inom landets gränser, t.ex. svenska angripare eller komprometterade system i Sverige. Men det ger ett mycket starkt skydd mot de massiva automatiserade attacker som kommer från botnät, molnservrar och statliga aktörer utanför EU.

Detta är en första försvarslinje – men ofta den som gör skillnaden mellan att behöva hantera en incident eller aldrig behöva se den.

Intern segmentering för att begränsa spridning

När en angripare väl tagit sig in i nätverket är tiden kritisk. Målet blir då att förhindra spridning – att isolera hotet innan det når känsliga system. Det är här intern segmentering blir en avgörande försvarslinje.

Med hjälp av mikrosegmentering, VLAN och trafikbaserade larm kan vi skapa en miljö där varje system, tjänst eller enhet bara har tillgång till exakt det den behöver – och inget mer. Det minskar inte bara attackytan – det gör varje försök till sidosteg (lateral rörelse) direkt synligt.

Varför segmentering är så viktigt

De flesta moderna attacker består inte av en enda händelse – utan av flera steg: initial åtkomst, intern rekognosering, rörelse mot andra resurser, datastöld eller sabotage. Utan segmentering kan en angripare röra sig fritt i nätverket – som i ett öppet kontorslandskap.

Med segmentering ser det istället ut som en byggnad med låsta dörrar, larmade korridorer och begränsad åtkomst – där varje avvikelse loggas och reageras på.

Så gör vi det i praktiken

• Vi konfigurerar VLAN och brandväggsregler mellan olika systemklasser (t.ex. klienter, servrar, utveckling, produktion).
• Vi sätter upp larm för otillåten kommunikation mellan segment, t.ex. klient → databas eller utveckling → produktionsmiljö.
• Vi arbetar med principen "least privilege" – minsta möjliga åtkomst, baserat på funktion, inte bekvämlighet.

Dynamisk respons vid avvikelse

Segmenteringen är inte statisk. I kombination med vår övervakning och analysplattform kan vi dynamiskt isolera system, blockera trafik eller flytta tjänster till karantänzoner – automatiskt vid tecken på kompromettering.

Exempel:

• En intern enhet försöker skanna andra IP-intervall → blockeras direkt.
• En användarklient försöker kommunicera med datacenterportar → flaggas och isoleras.
• Ett nytt okänt system dyker upp i ett skyddat segment → notifiering + blockering.

Segmentering är inte bara en teknisk lösning – det är en strategi för att göra intrång kostsamma, långsamma och riskfyllda för angriparen.

Honeypots som standardkomponent i modern säkerhet

I dagens hotlandskap räcker det inte längre med att försöka hålla angripare ute. De kommer att försöka ta sig in – frågan är bara när, hur och om ni märker det i tid. Därför är passiva detektionsmetoder som honeypots en avgörande del av en modern säkerhetsarkitektur.

En honeypot är inte ett aktivt skydd – den är ett medvetet placerat lockbete, designad för att lura, avslöja och analysera hotaktörer. Den kostar lite, kräver minimalt med resurser, men kan ge avgörande information om pågående attacker – ofta innan skadan sker.

Därför är honeypots effektiva:

• De används aldrig legitimt – all aktivitet är suspekt.
• De avslöjar rekognosering, brute force, scanning och bottrafik.
• De reagerar innan angriparen når produktionssystem.
• De skapar möjlighet till forensisk analys i efterhand.

En självklar del av varje säkerhetsmedveten miljö

Trots sin enkelhet används honeypots fortfarande för sällan. Vi rekommenderar att varje IT-miljö – oavsett storlek – har minst en aktiv honeypot i drift. Det är en lågtröskelåtgärd med hög effekt, särskilt i kombination med nätverkssegmentering och loggkorrelation.

Hos oss på Projalpha är honeypots en standardkomponent i varje implementation. Vi sätter upp dem som virtuella maskiner, containrar eller molntjänster – beroende på kundens miljö – och kopplar dem direkt till vår säkerhetsplattform för korrelation och analys.

En tyst sensor med hög träffsäkerhet

En honeypot är knäpptyst. Den svarar inte på trafik i produktionen och anropas heller inte av legitima användare eller system. Det gör den till en idealisk fälla – för om någon kontaktar den, så är det med hög sannolikhet en angripare.

När angripare letar efter sårbarheter, öppna tjänster eller dåligt skyddade enheter – då avslöjar de sig själva. Honeypoten ser dem – och rapporterar i tysthet. Den:

• Fångar upp fientlig trafik långt innan produktionssystem påverkas.
• Identifierar vilken teknik angriparen försöker använda.
• Samlar in loggar för vidare analys och MITRE-klassificering.
• Hjälper till att förstå attackflödet och förstärka ert skydd.

Så fungerar en honeypot i praktiken

En honeypot är i grunden en simulerad resurs – ett system som ser verkligt ut, men inte har något produktionsvärde. Den är utformad för att vara synlig för potentiella angripare, men används aldrig av legitima användare. Därför är varje interaktion med honeypoten en röd flagga.

Hur den ser ut

En honeypot kan utformas för att efterlikna:

• En intern filserver med autentiseringsgränssnitt
• En SSH-tjänst med svaga lösenord
• Ett exponerat API med testdata
• En inloggningssida för fjärradministration

På ytan verkar allt äkta. Men under ytan finns ingen verklig funktionalitet – endast loggning, övervakning och notifiering.

Vad som händer vid ett angrepp

När någon försöker logga in, scanna portar, ladda upp kod eller genomföra en brute force-attack mot honeypoten:

1. Händelsen loggas med exakt IP, timestamp, verktyg och metod.
2. Attacken mappas mot MITRE ATT&CK för taktisk förståelse.
3. Larm skickas till vår SOC och säkerhetsplattform.
4. Händelsen korreleras med andra aktiviteter i miljön – t.ex. om samma IP även försökt komma åt interna system.

Vi kan då avgöra om det rör sig om ett enskilt test – eller en del av ett större intrångsförsök.

Hög träffsäkerhet utan falsklarm

Eftersom honeypoten är dold från alla normala användarflöden, är alla försök till åtkomst suspekta per definition. Det gör den till en näst intill falsklarmsfri sensor – perfekt för att identifiera lågintensiva attacker som annars skulle smälta in i mängden.

Förankrad i verkliga scenarier

Vi bygger våra honeypots utifrån verkliga angreppsscenarier, med inslag från dokumenterade attacker via MITRE och andra källor. Det gör att de inte bara är reaktiva – utan också proaktiva lockbeten som kan få angriparen att avslöja sina metoder i tidigt skede.

Realtidskorrelation i OpenSearch och Spark

Att samla in loggar är inte svårt. Utmaningen ligger i att förstå dem – att se samband, hitta mönster och agera i rätt tid. Därför är hjärtat i vår säkerhetsplattform en realtidsmotor som bygger på OpenSearch och Apache Spark.

Allt samlas – inget utesluts

Varje datapunkt som genereras i ert IT-landskap – oavsett om det kommer från användare, nätverk, system, moln eller applikationer – skickas till vår centrala plattform. Där:

• Indexeras loggar från Wazuh, ESET, Suricata, Owl och andra källor
• Samlas nätverksflöden, filövervakning, användaraktivitet och rättighetsförändringar
• Matchas händelser mot MITRE ATT&CK:s ramverk
• Tidslinjesätts och kategoriseras utifrån hotbild och prioritet

Allt sker utan manuell sortering. Det är automatiserad korrelation i realtid.

Apache Spark – det verkliga kraftpaketet

Det som särskiljer vår plattform är inte bara mängden data – utan hur vi bearbetar den. Apache Spark möjliggör storskalig dataanalys på millisekunder. Vi kör flera olika analysmodeller parallellt:

• Statistisk klustring av ovanliga beteenden
• Avvikelsemodeller över tid
• Riskaggregering utifrån interna regler och AI-insikter
• Monte Carlo-simuleringar av tänkbara utfall baserat på angreppsdata

Detta gör det möjligt att upptäcka även de mest svårfångade mönstren – sådana som varken matchar signaturer eller enskilda regler, men som i sitt sammanhang avslöjar en attack.

Allt hör ihop – och analyseras som helhet

En portscanning mot en honeypot. En ovanlig inloggning till ett system. En ändrad loggnivå på en server. För sig är det brus. Tillsammans är det början på ett intrång.

Vårt system sätter ihop händelserna, analyserar dem i kontext och avgör:

• Vad som händer
• Varför det händer
• Hur det relaterar till andra händelser
• Vad ni bör göra – och i vilken ordning

Det är inte bara realtid – det är förståelse i realtid.

Ett tänkande, sammanhängande försvar

I en digital miljö där hot rör sig snabbt och ofta i det dolda räcker det inte med isolerade säkerhetsverktyg. Det krävs ett sammanhängande, självförstärkande försvar – där varje komponent inte bara ser, utan förstår och reagerar.

Från larm till lärdom

Det som gör vår säkerhetsplattform unik är att varje händelse, varje logg, varje avvikelse inte behandlas som en enskild datapunkt – utan som en del av en större berättelse. Plattformen lär sig av varje incident och förbättrar sina modeller därefter.

• En attack försöker återkomma via en ny vektor? Vi har redan sett det mönstret.
• En ny sårbarhet utnyttjas med ovanlig teknik? Den matchar ett liknande tidigare angrepp.
• En insider beter sig diskret misstänkt? AI:n har byggt upp en profil och ser avvikelsen.

Kontinuerlig förbättring utan manuella ingrepp

Alla komponenter – FIM, SCA, honeypots, logganalys, användarbeteende, MITRE-tolkning – är integrerade i ett flöde som tränar modellen i bakgrunden. Det gör att skyddet blir:

• Bättre för varje dag
• Mer relevant för er specifika miljö
• Mindre beroende av statiska regler eller uppdateringar

Från upptäckt till respons – utan friktion

Det räcker inte att upptäcka hot. Ni måste kunna svara på dem – snabbt, precist och gärna automatiserat. Därför är vår modell uppkopplad mot Wazuhs Active Response och moln-API:er, vilket möjliggör:

• Blockering av processer, IP:er och konton
• Automatisk härdning via SCA-profiler
• Utskick av notifieringar, incidentflaggning och dokumentation

Allt sker spårbart, anpassningsbart och enligt er policyram.

Ett skydd som växer med hotet

Världen förändras. Hoten förändras. Därför måste även ert skydd göra det. Vår arkitektur är designad för att växa med era behov – oavsett om det handlar om att skala upp, lägga till fler system, analysera nya datatyper eller möta nya regelverk.

Ni får inte bara ett försvar – ni får ett levande ekosystem för cybersäkerhet.