Der als PDF veröffentlichte Leitfaden der Cybersecurity and Infrastructure Security Agency beschreibt, wie Betreiber kritischer Infrastruktur Täuschsysteme planen und betreiben können, um Angriffe früher zu erkennen und zu blockieren. Nach Darstellung der Behörde ermöglichen Decoys es Organisationen, bösartige Aktivität frühzeitig zu identifizieren, zu beobachten und zu unterbinden, Bedrohungsinformationen zu sammeln und auszuwerten sowie Ressourcen gezielter einzusetzen.
Entscheidend ist aus Sicht von CISA die Platzierung: Köder sollten dort aufgestellt werden, wo reguläre Nutzer selten oder nie mit ihnen interagieren. Außerdem sollten sie so konfiguriert sein, dass sie Alarme mit hoher Aussagekraft erzeugen — also möglichst wenig Fehlalarme produzieren.
Inhaltlich verfolgen die Systeme laut Leitfaden mehrere Ziele. Angreifer sollen zu Täuschdaten umgeleitet werden und während ihrer Erkundungsphase ein irreführendes Bild der Umgebung erhalten. Zudem sollen sie dazu verleitet werden, große Mengen nicht sensibler oder bedeutungsloser Daten herunterzuladen. Schließlich sollen Täuschsysteme Angreifer in kontrollierte Umgebungen lenken, in denen sich ihr Vorgehen unter realitätsnahen Bedingungen beobachten und Bedrohungsinformationen effizienter erheben lassen.
Als Bausteine nennt CISA Köder (Lures), Stolperdrähte (Tripwires), Täuschartefakte, Honeytokens und Honeypots. Ihr Einsatz wird als operativer Prozess in drei Phasen beschrieben: Vorbereitung, Ausführung und Auswertung.
In der Vorbereitungsphase sollen Organisationen ihre Bedrohungslage bewerten, klare operative Ziele setzen, die gewünschten Wahrnehmungen und Reaktionen der Angreifer abbilden, Einsatzkanäle festlegen und Erfolgskriterien definieren. Nach der Ausführung geht es darum, die gewonnenen Daten in handlungsfähige Erkenntnisse und Rückmeldungen zu überführen sowie Erfolge und Fehlschläge für künftige Verbesserungen zu analysieren.
Das Dokument erläutert darüber hinaus die Vorteile der einzelnen Decoy-Typen, wie sie jeweils ausgebracht werden sollten, und enthält Beispielszenarien, die die Techniken anschaulich machen sollen.
„CISA hat diesen Leitfaden entwickelt, um Verteidigungsteams mit unterschiedlichem Cybersicherheitsreifegrad dabei zu helfen, Strategien für Cyber-Täuschkörper zu planen und umzusetzen, die ihre Erkennungs- und Reaktionsfähigkeiten stärken“, so die Behörde. Viele Organisationen täten sich schwer damit, Angreifer aufzuspüren, die legitime Zugangsdaten und bordeigene Werkzeuge nutzen.