¿Realmente sirve de algo un sistema honeypot (sistema trampa) en el servidor de una empresa pequeña?

Que veas decenas de miles de peticiones al día se debe totalmente a bots de escaneo automático en todo internet. Aunque instales un honeypot, esos bots caerán en tu trampa y te dirán algo que ya sabes: que hay bots en internet. Incluso si montas una trampa de baja interacción, no puedes tenerla en la misma VLAN que tu red principal; necesitas definir una subred independiente y reglas de firewall estrictas.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

Deja el consejo del consultor en el cajón por ahora. Cambiar el número de puerto estándar, desactivar el acceso por contraseña para permitir solo archivo de clave y configurar una herramienta básica de seguridad que bloquee temporalmente los intentos fallidos cortará casi todos los escaneos diarios al instante. Lo resuelves a coste cero en dos horas.

El año pasado, por curiosidad, ejecutamos un honeypot ssh de código abierto en un servidor que teníamos libre. En tres días recopiló más de 140 000 intentos de entrada y 800 variaciones distintas de nombre de usuario. Un desarrollador de nuestro equipo invirtió 4 horas a la semana en limpiar esos datos absurdos. A los dos meses lo apagamos del todo porque no sacamos ni un solo dato útil para nuestro trabajo.

¿El consultor les dijo quién va a monitorear los logs después de montar el honeypot? ¿Tienen un SOC para gestionar las alarmas o nomás lo van a dejar ahí tirado? Si no destinaron presupuesto para analizar los reportes semanalmente, ¿cuál es el sentido de poner una trampa?

ni falta q hace profe. ese consultor seguro les quiere vender la plantilla de proyectos corporativos grandes. la veradd cierren el puerto ssh al exterior o métanlo tras una vpn y listo. no les va a alcanzar la vida pa leer esos logs.

Un honeypot no es una herramienta de defensa es una herramienta de investigación e inteligencia de amenazas. Las empresas con cientos de empleados y su propio equipo de seguridad lo usan para detectar nuevos vectores de ataque de forma temprana. Una empresa de software de 12 personas no se puede dar el lujo operacional de andar estudiando el perfil de los atacantes.

El asunto está bastante claro. El honeypot no frena el ataque, solo lo documenta. Lo que ustedes necesitan no es analizar logs, sino cerrar las puertas. En cuanto cierren los puertos hacia afuera y pasen a la autenticación mediante llaves, todas estas dudas van a desaparecer.

Me han quedado claras las dudas, gracias. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción. Ánimo.

Si no me equivoco, quieres decir esto: Lo importante no es la cifra, sino en qué se basa esa cifra.

Después de vivir eso, mi perspectiva cambió. la verdad intentar hacerlo solo es la vía más cara.

Intentar hacerlo solo es la vía más cara.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Ánimo.

Lo probaré.

No sabía eso.

no te olvides de: Una copia de seguridad no probada no es una copia de seguridad.

antes de decidir, mirad qué datos tenéis en la mano pero si escribís el resultado aquí también servirá de ayuda a otros.

Hay una cosa a la que hay que prestar atención. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Lo dejo como nota, por si sirve.

Permíteme resumir lo que se ha dicho hasta ahora. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Ánimo.

Hay que ir paso a paso. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Lo dejo como nota, por si sirve.

Voy a defender lo contrario, no se molesten. Que todo el mundo haga algo no significa que sea lo correcto.

Ánimo.