Nos han hablado de honeypot — ¿qué es y tiene sentido para una PYME con dos servidores?

Si el honeypot no se aísla bien os puede meter en un lío. Si el informático pone una trampa de alta interacción de forma chapucera y el atacante la toma, la puede usar como puente para saltar a vuestra red interna o al servidor del ERP. Montarlo y seguirlo requiere mucha experiencia.

La típica jugada del vendedor de tecnología. En la empresa seguro que todo el mundo usa de contraseña "123456" y ni hacen las copias de seguridad bien pero el amigo os quiere montar una trampa estilo NASA para cobriros el mantenimiento mensual.

Destinad ese presupuesto ya mismo a un sistema de copias offline. Que haga el backup de noche y se desconecte de la red. Si mañana entra un ransomware, lo que os salva es esa copia aislada, no el honeypot.

Por una calentada parecida nos lo pusieron en una oficina de 20 personas, 600 euros de instalación y 100 al mes de revisión. En un mes dio 40.000 alertas de escaneo de bots. Nadie se puso a leer esos logs y al tercer mes lo quitamos del todo.

¿Vuestro informático ha cerrado el puerto de conexión remota del ERP de la oficina antes de ofreceros el honeypot? ¿Ha puesto obligatorio el doble factor de verificación a los usuarios? Si la respuesta a estas dos preguntas es no, dudad de sus intenciones.

pa una empresa con dos servidores un honeypot es una fantasía super innecesaria y poned firewall vpn contraseñas fuertes y vais que chutais.

Nota: esto es mi experiencia, puede no aplicar a todos.

Las arquitecturas honeypot suelen tener sentido en grandes organizaciones que cuentan con un Centro de Operaciones de Seguridad (SOC) propio o que están bajo amenaza directa de ciberespionaje. En el ámbito de las PYME, el equilibrio entre riesgo-beneficio y coste no es en absoluto racional.

en mi opinión agradezca amablemente la oferta y rechácela. pues gaste su dinero en curbir las vulnerabilidades básicas y en un buen sistema de copias de seguridad, dormirá mucho más tranquilo por las noches.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

Aquí hay que hacer una distinción. Una copia de seguridad no probada no es una copia de seguridad.

Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar. Comprobado por experiencia.

Rara vez se encuentra un texto que lo explique tan claro.

Lo probaré. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Por supuesto cambia si tu situación es diferente.

A mí me pasó justo al revés, por eso escribo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro. Espero que le sea útil.

Lo probaré. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Comprobado por experiencia.

Exacto, y encima no es tan conocido. El error cometido por que es un honeypot suele ser reversible, pero caro.

Si no me equivoco, quieres decir esto: La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Si tenéis dudas escribid os responderé en la medida de lo posible.

Pienso diferente. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

También me gustaría saber si alguien lo hace de otra manera.

Estoy en la misma situación, por eso pregunto. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Si escribís el resultado aquí, también servirá de ayuda a otros.

en este punto no estoy de acuerdo con ustedes. que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.