Apa Itu Honeypot? Pengertian, Jenis, dan Fungsinya

Honeypot adalah sistem atau sumber daya umpan yang sengaja dibuat menarik bagi penyerang agar aktivitas mereka terdeteksi dan dipelajari. Karena tidak punya fungsi bisnis yang sah, setiap interaksi dengan honeypot patut dicurigai. Artikel ini menjelaskan pengertian, jenis, cara kerja, contoh alat, serta risiko yang harus dikelola oleh tim keamanan.

Apa Itu Honeypot dalam Keamanan Siber?

Glosarium NIST mendefinisikan honeypot sebagai sistem (misalnya server web) atau sumber daya sistem (misalnya sebuah berkas di server) yang dirancang agar menarik bagi calon peretas dan penyusup, dengan merujuk pada definisi di NIST CSRC. MITRE D3FEND memasukkannya ke dalam teknik "Decoy Environment", yaitu host dan jaringan yang dibuat untuk menipu penyerang. Menurut D3FEND, sistem umpan itu disiapkan sedemikian rupa sehingga setiap komunikasi yang terdeteksi melaluinya tidak punya tujuan bisnis yang sah, lalu aktivitasnya dicatat dan dianalisis untuk menemukan indikator kompromi.

Prinsipnya sederhana: pengguna normal tidak akan menyentuh server yang tidak pernah mereka butuhkan. Jadi, jumlah peringatan dari honeypot biasanya kecil tetapi bernilai tinggi, berbeda dengan sensor yang menghasilkan ribuan peringatan setiap hari.

Bagaimana Cara Kerja Honeypot?

Honeypot dipasang di jaringan, menampilkan layanan yang tampak nyata seperti SSH, web, atau basis data, dan mencatat semua yang terjadi padanya. Catatan itu dapat berupa alamat sumber, percobaan login, perintah yang dijalankan, dan berkas yang diunggah. Data tersebut dipakai untuk:

• mendeteksi pemindaian dan upaya masuk lebih dini,
• memahami teknik yang sedang dipakai penyerang terhadap jenis layanan tertentu,
• mengumpulkan indikator seperti alamat IP dan sampel berkas untuk daftar blokir dan analisis,
• menguji apakah kontrol deteksi internal bekerja.

Honeypot sebaiknya tidak berdiri sendiri. Peringatannya perlu dikirim ke tim pemantau, misalnya di Security Operations Center, dan ditindaklanjuti dengan proses incident response.

Jenis-Jenis Honeypot

Berdasarkan tujuan

Honeypot produksi dipasang di jaringan organisasi untuk mendeteksi dan mengalihkan perhatian penyerang, sehingga berfungsi sebagai alarm dini. Honeypot riset dipakai peneliti untuk mempelajari taktik dan alat penyerang secara lebih mendalam, biasanya dipasang di internet publik.

Berdasarkan tingkat interaksi

• Interaksi rendah: hanya meniru layanan secara dangkal. Aman dan ringan, tetapi mudah dikenali dan hanya merekam sedikit informasi.
• Interaksi menengah: meniru lingkungan lebih meyakinkan tanpa memberi akses ke sistem sungguhan.
• Interaksi tinggi: sistem nyata atau menyerupai nyata yang memberi data paling kaya, dengan risiko paling besar karena penyerang benar-benar berinteraksi dengan sistem.

Honeynet dan honeytoken

Beberapa honeypot yang saling terhubung membentuk honeynet, yang digolongkan D3FEND ke dalam subteknik honeynet terintegrasi, terhubung, dan mandiri. Ada pula honeytoken, yaitu data umpan seperti akun atau berkas palsu yang memicu peringatan saat disentuh, tanpa perlu menyiapkan server utuh.

Contoh Honeypot Open Source

Cowrie adalah honeypot SSH dan Telnet yang menurut README proyeknya dirancang untuk mencatat serangan tebak kata sandi. Pada mode bawaan berinteraksi menengah, Cowrie meniru sistem UNIX sehingga penyerang berhadapan dengan shell palsu. Cowrie mencatat percobaan login, aktivitas shell, dan berkas yang diunduh atau diunggah untuk dianalisis kemudian.

T-Pot adalah platform honeypot serba ada dari Deutsche Telekom Security. Menurut repositori proyeknya, T-Pot dibangun di atas Docker dan Elastic Stack serta mendukung lebih dari 20 honeypot, termasuk Cowrie, dengan visualisasi dan peta serangan langsung. Proyek ini open source berlisensi GPL-3.0 dan disediakan tanpa komitmen dukungan.

Mencoba kedua alat ini cocok sebagai proyek lab untuk belajar membaca pola serangan nyata dari sisi pertahanan.

Apa yang Bisa Dipelajari dari Data Honeypot?

Log honeypot menjawab pertanyaan yang sulit dijawab dari sistem produksi. Dari mana pemindaian datang? Kombinasi nama pengguna dan kata sandi apa yang paling sering dicoba? Layanan apa yang paling cepat ditemukan setelah dipasang di internet? Jawabannya membantu tim menyusun daftar blokir, menyetel kebijakan kata sandi, dan memprioritaskan penambalan pada layanan yang paling sering diincar.

Data ini perlu dibaca dengan hati-hati. Honeypot di internet publik terutama menangkap serangan oportunistik yang menyapu seluruh internet, bukan serangan yang menarget organisasi Anda secara khusus. Honeypot internal, yang menyamar sebagai server atau berkas yang menggoda di jaringan dalam, justru lebih mungkin memberi sinyal tentang pergerakan lateral oleh penyusup yang sudah berada di dalam.

Risiko dan Praktik Aman Memakai Honeypot

Honeypot adalah sistem yang sengaja dibuat menarik, sehingga salah kelola dapat berbalik menjadi celah. Pegangan dasar yang perlu diterapkan:

• Isolasi. Pisahkan honeypot dari jaringan produksi lewat segmentasi dan aturan firewall yang ketat agar tidak bisa dipakai sebagai batu loncatan.
• Jangan taruh data asli. Isi honeypot dengan data palsu, bukan data pelanggan atau kredensial yang valid.
• Pantau terus. Honeypot yang tidak dipantau hanya menjadi server rentan yang terbuka.
• Perhatikan aspek hukum dan privasi. Pastikan kebijakan organisasi dan aturan pelindungan data mencakup pengumpulan log, terutama bila memuat data pihak ketiga.
• Jangan mengandalkannya sendirian. Penyerang berpengalaman bisa mengenali umpan, dan honeypot tidak menggantikan penambalan maupun kontrol lain.

Peran ini juga terkait dengan latihan tim merah dan biru. Bacalah pengertian red team, blue team, dan purple team untuk melihat bagaimana deteksi diuji.

Pertanyaan yang Sering Diajukan

Apakah honeypot legal?

Memasang honeypot pada jaringan yang Anda miliki umumnya sah sebagai bagian dari pertahanan. Tantangan hukum muncul pada pengelolaan data log dan privasi, jadi libatkan tim hukum dan sesuaikan dengan aturan pelindungan data yang berlaku.

Apa bedanya honeypot dengan IDS?

IDS memeriksa lalu lintas atau host nyata untuk mencari aktivitas berbahaya. Honeypot adalah umpan yang sengaja dibiarkan terlihat, sehingga semua interaksinya mencurigakan. Perbandingan IDS lebih jauh ada di artikel perbedaan IDS dan IPS.

Apakah honeypot bisa mencegah serangan?

Honeypot terutama mendeteksi dan mengumpulkan informasi. Ia bisa mengulur waktu penyerang, tetapi bukan pengganti kontrol pencegahan.

Honeypot apa yang cocok untuk pemula?

Honeypot interaksi rendah atau menengah seperti Cowrie cocok untuk belajar, selama dijalankan di lingkungan lab yang terisolasi.

Kesimpulan

Honeypot memberi sinyal deteksi dini yang berkualitas tinggi dan wawasan nyata tentang cara penyerang bekerja, dengan syarat diisolasi, dipantau, dan dipasang secara bertanggung jawab. Jika tim Anda ingin membangun kemampuan deteksi dan respons secara praktis, pelatihan dari Linuxhackingid dapat menjadi titik awal.