Un proveedor nos propone un honeypot: ¿qué es y tiene sentido para una empresa pequeña?

Lo que propone el proveedor probablemente sea un honeypot de baja interacción. Es decir, un software sencillo que imita a un servidor real pero solo ejecuta servicios falsos. Es un radar de alerta temprana genial para atrapar movimientos laterales en la red interna, pero no es un escudo defensivo; solo hace sonar la alarma.

La clásica táctica informáticos. El otro día vi a unos intentando vender honeypots a empresas que ni tenían el sistema operativo actualizado ni contraseñas seguras. Es como poner una cartera con dinero falso en el jardín para vigilar al ladrón sin tener cerradura en la puerta de casa. Primero resuelvan la autenticación en dos pasos y los backups.

Estamos en el sector de la logística en Milán, tenemos 30 máquinas en red. Nos llegó una propuesta parecida por unos 1.000 € y la rechazamos. En su lugar, nuestro técnico creó un archivo trampa y una carpeta compartida falsa de código abierto. Lleva dos años funcionando a coste cero. Hasta hoy solo saltó la alarma cuando un becario hizo un escaneo de red por error.

El honeypot tiene una sola gran ventaja: no genera falsas alarmas. Un firewall normal te satura con cientos de avisos inútiles al día. Pero si alguien toca el honeypot, o es un atacante o es un empleado saltándose las normas de la empresa. Aun así pagar 150 € al mes por monitorizar eso es demasiado para el presupuesto de una PYME.

Díganle esto al proveedor italiano: "No queremos un honeypot externo, monten una trampa virtual sencilla en la red interna e incluyan esto en nuestro mantenimiento general anual en vez de una cuota mensual". En lugar de comprometer 150 € al mes, inviertan ese dinero en una solución de respaldo en la nube.

¿Pero si montamos esa tramppa los hackers se quedan atacando ahí y se olvidan de nuestro servidor ERP real? o sea, ¿funciona como un pararrayos que absorbe el ataque y protege físicamente al resto de la empresa?

No, no es un pararrayos. Solo entretiene al hacker unos minutos. Su objetivo principal es ganar tiempo: en cuanto la trampa se activa, le llega una notificación al móvil de tu administrador de sistemas y le da la oportunidad de aislar la amenaza en la red. Si no hay una persona para intervenir, la trampa por sí sola no tiene capacidad de protección.

Lo que voy a preguntar sonará un poco novato, perdonadme. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Esta es mi opinión no lo escribo como una verdad absoluta.

Si no me equivoco, quieres decir esto: Lo importante no es la cifra, sino en qué se basa esa cifra.

Corrijanme si me equivoco.

Me pasó lo mismo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Ánimo.

Totalmente. Si tuviera que añadir algo más: Que todo el mundo haga algo no significa que sea lo correcto.

Espero que le sea útil.

estoy de acuerdo. si obtienes tres respuestas distints sobre un tema, la pregunta está mal formulada.

comprobado por experiencia.

Gracias, me ha servido de mucha ayuda. Si decidimos sin medir, siempre acabamos en el mismo punto.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Yo no me apresuraría. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Corrijanme si me equivoco.

A nosotros también nos pasa.

Han surgido tres opiniones distintas, todas se complementan. la verdad la mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Yo seguiría por ese camino.

Tema muy oportuno.

Ha sido una buena idea abrir este hilo. Al tomar decisiones escribe también el peor escenario, no solo el mejor.

Que todo el mundo haga algo no significa que sea lo correcto. Eso es todo, disculpa si me he extendido demasiado.