Che cos'è un honeypot? L'inganno come difesa

Il principio

Gli utenti legittimi non hanno motivo di accedere a un honeypot. Per questo genera pochissimi falsi positivi: chi lo contatta è con ogni probabilità un attaccante o un sistema compromesso. Allo stesso tempo tiene gli attaccanti lontani dai sistemi reali e fa guadagnare tempo.

Tipologie di honeypot

• Low interaction: simulano singoli servizi, semplici da gestire, rischio contenuto.
• High interaction: sistemi reali in un ambiente controllato, offrono informazioni approfondite, richiedono un isolamento accurato.
• Honeytoken: esche come credenziali o documenti falsi, il cui utilizzo fa scattare un allarme.

Reindirizzare automaticamente gli attaccanti

L'inganno diventa particolarmente efficace quando gli attaccanti individuati vengono reindirizzati in modo mirato. XMfortress Respond può dirottare le connessioni di un sistema sospetto verso un ambiente honeypot che riproduce quello reale. Il comportamento viene osservato e le informazioni raccolte alimentano il rilevamento interno.

Rischi e regole

Gli honeypot devono essere separati con rigore dai sistemi di produzione, per non diventare essi stessi un trampolino di lancio. Anche gli aspetti legali, ad esempio sulla registrazione dei log, vanno chiariti in anticipo. Le azioni dovrebbero essere registrate e reversibili in qualsiasi momento.