Señuelos, tipos y colocación defensiva

Hay dos familias. Un señuelo de sistema (honeypot) es un equipo o servicio falso en la red: un servidor que no sirve a nadie pero responde. Un señuelo de dato (honeytoken) es un objeto falso dentro de sistemas reales: un archivo, un registro de cliente o una credencial que no corresponde a ninguna persona. El marco D3FEND de MITRE los recoge en su táctica de engaño, con técnicas como Decoy Environment (D3-DE) para los entornos y Decoy Object (D3-DO) para los objetos.

En los dos casos la lógica es la misma: no hay uso legítimo, así que cualquier uso es una señal.

Un señuelo solo sirve si nada autorizado lo toca. Si el escáner de inventario, la copia de respaldo o el antivirus lo recorren cada noche, la alarma suena todas las noches y el equipo aprende a ignorarla. Es el fallo más común de colocación: elegir un lugar sin preguntar qué procesos legítimos pasan por él.

Revisa la lista y la tabla de notas.

Un señuelo detecta lo que pasa por donde está. Un intruso que se mueve por un segmento sin señuelos no tropezará con los colocados en otro. La cobertura se reparte según dónde se espera movimiento y dónde hay más equipos que no se pueden vigilar de otra manera.

Mira cuántos equipos y cuántos señuelos tiene cada segmento.

Un buen señuelo es creíble (su nombre, su ubicación y su contenido parecen del lugar) y está registrado en un inventario que conoce el equipo de respuesta. Un señuelo que nadie documentó termina investigado como si fuera un incidente real, o abandonado cuando su responsable se va. Cada uno lleva dueño, fecha de colocación y motivo.

Un señuelo de sistema no debe convertirse en un camino hacia producción. Se coloca aislado, sin credenciales válidas de la red real y sin permisos que le permitan llegar a datos o equipos verdaderos. Un señuelo de dato se llena de contenido inventado, nunca de información real. Todo lo que registre el señuelo se envía a un colector fuera de su alcance.