O que é um honeypot? Enganar para defender

O princípio

Usuários legítimos não têm nada a fazer em um honeypot. Por isso, ele quase não gera falsos positivos: quem o acessa é, com alta probabilidade, um invasor ou um sistema comprometido. Ao mesmo tempo, ele mantém os invasores longe dos sistemas reais e ganha tempo.

Tipos de honeypots

• Baixa interação: simulam serviços isolados, são simples de operar e têm baixo risco.
• Alta interação: sistemas reais em ambiente controlado, fornecem uma visão profunda, mas exigem isolamento cuidadoso.
• Honeytokens: iscas como credenciais ou documentos falsos, cujo uso dispara um alerta.

Redirecionar invasores automaticamente

A dissimulação se torna especialmente eficaz quando invasores detectados são redirecionados de forma direcionada. O XMfortress Respond pode desviar as conexões de um sistema suspeito para um ambiente de honeypot que imita o ambiente real. O comportamento é observado, e o que se aprende retroalimenta a própria detecção.

Riscos e regras

Honeypots precisam estar bem separados dos sistemas de produção para não se tornarem, eles próprios, um trampolim para ataques. Questões jurídicas, por exemplo sobre o registro de logs, também devem ser esclarecidas antecipadamente. As ações devem ser registradas e reversíveis a qualquer momento.