Un honeypot es un sistema o recurso informático deliberadamente diseñado para atraer, engañar y monitorear a posibles ciberatacantes.

Objetivos de un honeypot

El objetivo principal de un honeypot es detectar o monitorizar ciberataques:

  • Detectar intentos de intrusión.

  • Analizar técnicas, herramientas y comportamientos de los atacantes.

  • Distraer al adversario de los sistemas reales y críticos.

Cómo funciona un honeypot

Un honeypot parece un servidor, una base de datos o un servicio legítimo pero en realidad no tiene información ni funciones reales y está monitorizado para registrar todo lo que hace un intruso y obtener información sobre los ataques.

Puede jugar un papel tanto defensivo como ofensivo.

En su faceta defensiva, funciona como una herramienta de detección, análisis y contención que engaña al atacante para que se centre en el señuelo en vez de en los activos reales. Se pueden, por ejemplo, simular vulnerabilidades tentadoras (puertos abiertos o versiones antiguas de software) o integrarlo con sistemas SIEM para alertas automáticas.

En un contexto ofensivo, el honeypot se convierte en una herramienta de recolección activa o incluso de contraataque. Permite observar IPs o patrones de conexión, recolectar pistas sobre la ubicación, herramientas y modus operandi del ciberdelincuente o engañarle activamente proporcionándole información falsa o modificando respuestas para manipular sus acciones.

Un honeypot se puede desplegar tanto de forma local como en la nube y también se puede personalizar y adaptar a las necesidades de cada empresa u organización.

Tipos de honeypot

Existen diferentes tipos de honeypot en función de su nivel de interacción, objetivo o ámbito de aplicación.

Por su nivel de interacción,

  • Honeypot de baja interacción: Simula servicios básicos, es fácil de desplegar y mantener pero no recopila tantos datos.

  • Honeypot de interacción media: Es más realista y ofrece parte de la funcionalidad real.

  • Honeypot de alta interacción: Simula sistemas reales completos y se ejecuta en entornos controlados.

Por su objetivo,

  • Honeypot de producción: Está diseñado para proteger activos empresariales reales mediante detección rápida.

  • Honeypot de investigación: Es más complejo y se utiliza principalmente para estudiar tácticas y herramientas de atacantes.

Por su ámbito de aplicación,

  • Honeypot de red. Y una red entera de honeypots se denomina honeynet.

  • Honeypot de aplicaciones.

  • Honeypot de malware o spam.

  • Honeypot de IoT.