Comparando proveedores de tecnología de engaño (deception) — ¿cuáles son las diferencias y es demasiado para una empresa de 20 personas?

¿Qué va a hacer un atacante en una empresa de 20 personas para caer en un honeypot? Vuestra red consistirá en una sola subred y un par de servidores en la nube. La tecnología de engaño es para detectar movimiento lateral en macroempresas con miles de servidores y cientos de capas de permisos complejas. Solo le estáis pagando la cuota al comercial que os lo quiere vender.

La mayor diferencia entre proveedores está entre la emulación estática y los honeypots con SO real. Las soluciones baratas solo imitan puertos abiertos, el atacante se da cuenta de que es falso tras dos comandos. Las caras ejecutan máquinas virtuales reales, pero su carga de parches y licencias es otro dolor de cabeza operativo.

Si queréis probar la idea de las trampas no hace falta gastar dinero. Instalad herramientas básicas de honeypot de código abierto en una subred aislada de vuestra nube o usad herramientas gratuitas que envían un correo cuando se abre un archivo trampa dejado en carpetas importantes. Así probáis el concepto.

En nuestro equipo de 35 personas cometimos ese error el año pasado. Pagamos 15.000 dólares por un producto. En todo un año el sistema generó 2 alarmas en total; y las dos eran software de escaneo ejecutado por nuestro becario al conectarse a la red. Si hubiéramos gastado la mitad en dos pentests externos habríamos cerrado vulnerabilidades reales.

En la pirámide de la seguridad, la capa de prevención va antes que la de detección. ¿Tenéis la autenticación de doble factor (MFA) al 100%? ¿Escaneáis errores de configuración en la nube? ¿Hacéis pruebas de phishing a los empleados? Si esto no está listo, la tecnología de engaño es solo un juguete caro.

Al evaluar proveedores prestad atención a estos tres puntos: 1) ¿Las identidades falsas que crea el producto ralentizan vuestros sistemas reales? 2) ¿El panel de gestión puede enviar alertas instantáneas a vuestra herramienta de comunicación o tareas habitual? 3) ¿Cuántas horas semanales de ingeniería requiere para su mantenimiento?

Mencionas que guardáis datos de salud. ¿Habéis cumplido con las obligaciones de cifrado y registro de accesos que exige la normativa? Si viene un auditor de regulación y ve que faltan los registros básicos, este sistema de engaño tan avanzado no os servirá de nada contra las sanciones.

Lo que se dice aquí es exactamente lo que nos pasó. Si regañas las falsas alarmas, nadie volverá a reportar.

Yo seguiría por ese camino.

Llevé mucho tiempo con este asunto. Que todo el mundo haga algo no significa que sea lo correcto.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Yo no me apresuraría. o sea antes de decidir mirad qué datos tenéis en la mano.

Si el permiso y el alcance no están por escrito, que no empiece la prueba.

La respuesta de arriba ha dado en el clavo. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Espero que le sea útil.

hace mucho que oímos eso, pero a nosotros nunca nos pasó así luego si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

Muchas gracias, lo probaré hoy.

Hay tres cosas que revisar al hacer esto. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

¿Y cómo resolvieron esto? La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Hace dos años viví exactamente lo mismo. Antes de decidir, mirad qué datos tenéis en la mano.

Ánimo.

Voy a detallar un poco el aspecto técnico. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Al tomar decisiones, escribe también el peor escenario, no solo el mejor. Yo seguiría por ese camino.

tomo nota, gracias.