¿Qué es un honeypot? El engaño como defensa

El principio

Los usuarios legítimos no tienen nada que hacer en un honeypot. Por eso apenas genera falsas alarmas: quien interactúa con él es, con gran probabilidad, un atacante o un sistema comprometido. Al mismo tiempo, mantiene a los atacantes lejos de los sistemas reales y hace ganar tiempo.

Tipos de honeypots

• De baja interacción: simulan servicios concretos; son fáciles de operar y de bajo riesgo.
• De alta interacción: sistemas reales en un entorno controlado; ofrecen una visión profunda, pero requieren un aislamiento cuidadoso.
• Honeytokens: cebos como credenciales o documentos falsos cuyo uso dispara una alarma.

Desviar automáticamente a los atacantes

El engaño es especialmente eficaz cuando los atacantes detectados se desvían de forma dirigida. XMfortress Respond puede redirigir las conexiones de un sistema sospechoso a un entorno honeypot que reproduce el entorno real. Se observa el comportamiento y lo aprendido revierte en la propia detección.

Riesgos y reglas

Los honeypots deben estar bien separados de los sistemas productivos para no convertirse ellos mismos en trampolín. También conviene aclarar de antemano las cuestiones legales, por ejemplo sobre el registro de datos. Las acciones deben quedar registradas y ser reversibles en todo momento.