Pensamos en poner un honeypot en el servidor; ¿sirve para una pyme, tiene riesgos?

Un honeypot no es una herramienta de defensa, es una herramienta de inteligencia. Las grandes empresas los usan para estudiar técnicas de ataque. A escala pyme, andar mirando bots aleatorios que intentan colarse no aporta ningún beneficio comercial ni técnico. Inviertan su tiempo en parches de seguridad y disciplina con los backups.

Esos 40 mil intentos probablemente son bots sencillos de fuerza bruta escaneando internet al azar. Si ni siquiera es un ataque dirigido hacia ustedes, montar un honeypot e intentar revisar logs es como buscar una aguja en un pajar provocando un incendio. Con una mala configuración de red dejan el servidor principal como blanco fácil.

Tu programador se entusiasmó pero no hace falta para nada. Pasen el puerto SSH del 22 a uno de cinco dígitos al azar, cierren el acceso por contraseña obligando a usar claves SSH y pongan un fail2ban en el servidor. Los 40 mil intentos bajan a cero en un día y se quedan tranquilos.

El año pasado por curiosidad montamos un honeypot de baja interacción en una IP separada. En una semana registró 180 mil IPs. Los primeros tres días lo miramos con emoción, después nadie volvió a abrir los logs. No sirvió para nada más que sumar 450 TL extra al costo mensual del servidor, a los dos meses lo apagamos.

¿Y el atacante que cae en la trampa piensa de verdad que tomó el servidor? pues o sea, ¿hay que meterle datos falsos de clientes o algo para que sea convincente?

nosotros tmb probamos una vez y cuando el archivo de log crecio tanto q lleno el disco se cayo la base de datos principal en medio de la noche. bueno pa mi ni se metan con eso, con los pasos de seguridad normales alcanza.

Si el equipo insiste en montarlo, sigan sí o sí estas reglas: 1) Jamás alojen el honeypot en la misma red local que el servidor principal, ténganlo en un VPS totalmente aislado. 2) Nunca permitan conexiones salientes, para que no usen su servidor como zombi para atacar a otros. 3) Apliquen rotación diaria de logs para que no les llene el espacio en disco.

En resumen, un honeypot es para equipos de seguridad grandes que monitorean ataques dirigidos. Para webs de e-commerce pequeñas es un riesgo innecesario y una carga operativa. Cambiar puertos y pasar a autenticación con clave resuelve el problema por completo.

La discusión se ha dispersado, voy a ordenarla. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Ánimo.

Estoy de acuerdo.

Después de vivir eso mi perspectiva cambió. Cuanto más difícil sea revertir una decisión más despacio debéis tomarla.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Dejo una advertencia. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Yo también pienso lo mismo. Antes de decidir, mirad qué datos tenéis en la mano.

Comprobado por experiencia.

Me han quedado claras las dudas, gracias.

Exactamente así. Intentar hacerlo solo es la vía más cara.

Lo importante no es la cifra, sino en qué se basa esa cifra. Ánimo.

Yo pasé por esto, déjenme contarlo. El error cometido por que es un honeypot suele ser reversible, pero caro.

llevé mucho tieempo con este asunto.. pero antes de decidir, mirad qué datos tenéis en la mano.

los entornos de prueba olvidados son una puerta de entraa más frecuente que el sistema en producción.

Estoy de acuerdo. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Espero que le sea útil.