O que é um honeypot? O engano como defesa

O princípio

Os utilizadores legítimos não têm nada a fazer num honeypot. Por isso, quase não gera falsos alarmes: quem o contacta é, com grande probabilidade, um atacante ou um sistema comprometido. Ao mesmo tempo, mantém os atacantes afastados dos sistemas reais e permite ganhar tempo.

Tipos de honeypots

• Baixa interação: simulam serviços isolados, são fáceis de operar e de baixo risco.
• Alta interação: sistemas reais num ambiente controlado, que fornecem uma visão aprofundada e exigem um isolamento cuidadoso.
• Honeytokens: iscos, como credenciais ou documentos falsos, cuja utilização desencadeia um alarme.

Redirecionar atacantes automaticamente

O engano torna-se especialmente eficaz quando os atacantes detetados são redirecionados de forma direcionada. O XMfortress Respond pode encaminhar as ligações de um sistema suspeito para um ambiente de honeypot que reproduz o ambiente real. O comportamento é observado e as conclusões alimentam a própria deteção.

Riscos e regras

Os honeypots têm de estar devidamente separados dos sistemas de produção, para não se tornarem eles próprios um ponto de apoio. Também as questões jurídicas, por exemplo sobre o registo de atividade, devem ser esclarecidas previamente. As ações devem ficar registadas e ser reversíveis a qualquer momento.