Honeypot

Un honeypot es una herramienta de seguridad diseñada para detectar, desviar y analizar la actividad maliciosa en una red.

Es un sistema o un recurso de red que parece vulnerable y atractivo para un atacante, pero que en realidad está controlado y vigilado por los defensores.

Su propósito es atraer la atención, recoger información sobre las tácticas y las técnicas que se están usando, y proteger los sistemas reales absorbiendo y conteniendo la actividad.

Qué lo caracteriza

Está hecho para resultar atractivo. Un honeypot se configura para parecerse a sistemas, servicios o datos valiosos. Puede emular vulnerabilidades conocidas, configuraciones poco seguras o información sensible con el fin de que un atacante acabe interactuando con él.

Todo queda registrado. Cada evento se registra y se vigila: intentos de acceso, escaneos, intentos de explotación y cualquier otra cosa que indique un ataque en curso.

Está aislado. Se despliega separado de los sistemas y los datos reales, de manera que si un atacante llega a comprometerlo el impacto queda confinado en un entorno controlado donde sus acciones se pueden observar con seguridad.

Señuelos. Algunos honeypots existen para colocar objetivos falsos dentro de la red: ficheros, directorios o servicios que parecen genuinos y están diseñados para alertar en cuanto alguien los toca.

Un ejemplo

Un servidor web se configura para parecer una aplicación legítima con una vulnerabilidad conocida, por ejemplo una susceptible de inyección SQL.

Cuando un atacante intenta explotarla, el honeypot registra lo que hace y avisa al equipo de seguridad, mientras el servidor web real sigue funcionando sin verse afectado.

Lo que gana el equipo no es el bloqueo. Es el registro: qué técnica, qué herramientas, de qué infraestructura venía el tráfico y cómo se comportó el atacante una vez que se creyó dentro.

Por qué merece la pena, en una sola propiedad

La razón por la que un honeypot se gana su sitio no tiene nada que ver con lo ingenioso del engaño. Es que apenas produce falsos positivos.

Cualquier otro método de detección tiene que separar la actividad maliciosa de un gran volumen de actividad legítima que se le parece, que es donde la ingeniería de detección gasta la mayor parte de su esfuerzo. Un honeypot no tiene usuarios legítimos ni función de negocio, así que nada tiene motivo para conectarse a él. Una interacción no es indicio de que algo pueda ir mal: es prueba de que va mal.

Por eso la versión útil más barata no es un honeypot completo. Es un señuelo: un documento que nadie debería abrir, una cuenta que nadie debería usar, una credencial plantada donde solo la encontraría alguien enumerando el entorno. Cada uno de ellos se convierte en un indicador de alta confianza que cuesta casi nada mantener.

Conviene decir también sus límites. Un honeypot solo ve a los atacantes que lo tocan, así que es una herramienta de detección e inteligencia y no un control, y uno que interactúa a fondo con un atacante tiene que estar bien aislado o se convierte en un punto de apoyo en vez de en una trampa.

Dónde leer más

SANS Institute: material sobre el diseño de honeypots, la distinción entre despliegues de baja y alta interacción, y las consideraciones operativas de mantener uno.