Auf einem internen Dateiserver werden „Köder“-Dateien, die im Arbeitsalltag niemand verwendet, und ein Köder-Administratorkonto, das in keinem System genutzt wird, abgelegt, und Zugriffe darauf werden überwacht. Was ist der Hauptvorteil dieser Maßnahme?

Antwort: C. Legitime Benutzer haben keinen Grund, sie zu berühren; ein Zugriff ist daher ein starker Hinweis auf ein Eindringen mit wenigen Fehlalarmen

Köder, die im Arbeitsalltag nicht benutzt werden (Honeypots, Honeytokens, Decoys usw.), haben für legitime Benutzer keinen Anlass zur Berührung; schon ein Zugriff ist daher ein starker Hinweis auf eine Anomalie. Anders als bei der anomaliebasierten Erkennung muss nicht anhand von Abweichungen vom Normalzustand entschieden werden, und es gibt wenige Fehlalarme. Eingedrungene Angreifer erkunden das Innere auf der Suche nach Administratorkonten und wichtig wirkenden Dateien; mischt man dort Köder unter, lässt sich Lateral Movement womöglich schon früh bemerken. Köder verhindern aber nicht, dass Echtes angegriffen wird; sie sind ein ergänzendes Mittel in Kombination mit anderen Maßnahmen.