Un honeypot é un sistema ou recurso informático deliberadamente deseñado para atraer, enganar e monitorear a posibles ciberatacantes.

Obxectivos dun honeypot

O obxectivo principal dun honeypot é detectar ou monitorizar ciberataques:

• Detectar intentos de intrusión.

• Analizar técnicas, ferramentas e comportamentos dos atacantes.

• Distraer ao adversario dos sistemas reais e críticos.

Como funciona un honeypot

Un honeypot parece un servidor, unha base de datos ou un servizo lexítimo pero en realidade non ten información nin funcións reais e está monitorizado para rexistrar todo o que fai un intruso e obter información sobre os ataques.

Pode xogar un papel tanto defensivo como ofensivo.

Na súa faceta defensiva, funciona como unha ferramenta de detección, análise e contención que engana ao atacante para que se centre no reclamo en vez de nos activos reais. Pódense, por exemplo, simular vulnerabilidades tentadoras (portos abertos ou versións antigas de software) ou integralo con sistemas SIEM para alertas automáticas.

Nun contexto ofensivo, o honeypot convértese nunha ferramenta de recolección activa ou mesmo de contraataque. Permite observar IPs ou patróns de conexión, colleitar pistas sobre a localización, ferramentas e modus operandi do ciberdelincuente ou enganalo activamente proporcionándolle información falsa ou modificando respostas para manipular as súas accións.

Un honeypot pódese despregar tanto de forma local como na nube e tamén se pode personalizar e adaptar ás necesidades de cada empresa ou organización.

Tipos de honeypot

Existen diferentes tipos de honeypot en función do seu nivel de interacción, obxectivo ou ámbito de aplicación.

Polo seu nivel de interacción,

• Honeypot de baixa interacción: Simula servizos básicos, é fácil de despregar e manter pero non recompila tantos datos.

• Honeypot de interacción media: É máis realista e ofrece parte da funcionalidade real.

• Honeypot de alta interacción: Simula sistemas reais completos e execútase en contornas controladas.

Polo seu obxectivo,

• Honeypot de produción: Está deseñado para protexer activos empresariais reais mediante detección rápida.

• Honeypot de investigación: É máis complexo e utilízase principalmente para estudar tácticas e ferramentas de atacantes.

Polo seu ámbito de aplicación,

• Honeypot de rede. E unha rede enteira de honeypots denomínase honeynet.

• Honeypot de aplicacións.

• Honeypot de malware ou spam.

• Honeypot de IoT.