El de seguridad me habló de 'honeypots' (tarros de miel) — ¿qué es esto, nos hace falta?

Los honeypots en la red interna suelen ser una carpeta compartida SMB falsa o un puerto de base de datos falso dejados abiertos. Cuando un atacante se cuela en la red de la oficina, escanea el entorno para moverse libremente (movimiento lateral). Al primer toque a ese puerto falso, salta la señal al sistema central de 'hay un extraño en la red'. La idea técnicamente es muy limpia pero gestionarla requiere experiencia.

El consultor te está intentando encajar un servicio llamativo a nivel enterprise para colgarte una suscripción mensual. En una empresa de 35 personas, aunque pilles al atacante que entró a tu servidor con el honeypot, ¿tienes un equipo de seguridad interno para responder al incidente a esa hora? Gástate ese dinero antes en reforzar tu arquitectura de copias de seguridad.

Hace dos años nos picó la curiosidad y montamos un honeypot open source en nuestra red interna. En un año dio tres alertas en total: dos eran el becario de contabilidad abriendo un programa de escaneo de red y una era un conflicto de IP de la impresora. No cazamos ni un solo ataque real externo. Meterle más de 5.000 $ al año a esto es una inversión sin retorno a pequeña escala.

En vez de darle ese dinero al consultor, investiga los servicios gratuitos de canary tokens. Dejas un archivo falso en tu servidor llamado 'lista-de-nominas-2024.xlsx'. En cuanto se abre ese archivo te llega un aviso al mail. Coste cero dólares, tiempo de configuración cinco minutos.

¿Qué software de protección de endpoints tenéis actualmente y se prueban de forma regular los puertos de vuestros servidores expuestos a internet? Que el consultor sugiera directamente tecnología de engaño sin tener esta infraestructura básica montada me parece empezar la casa por el tejado.

a nosotros tmb nos quisieron vender un pack de seguridad parecido, no pagueis al mes pa nada. activad mfa en la vpn y poned contraseñas fuertes en el servidor y listo, pa un mayorista de 35 personas el honeypot es un lujo totalmente prescindible.

Esto es como dejar una cartera falsa dentro de casa para el ladrón cuando ni le has puesto cerrojo a la puerta. El amigo consultor ha encontrado un modelo de ingresos recurrentes muy creativo hay q felicitarlo.

edit: arriba escribí mal, disculpad.

Hace dos años viví exactamente lo mismo. El error cometido por honeypot que es suele ser reversible, pero caro.

Yo seguiría por ese camino.

Soy una pequeña empresa os lo cuento desde mi lado. pues empezad con una pequeña prueba no lo integréis todo de golpe.

Yo seguiría por ese camino.

Totalmente. Si tuviera que añadir algo más: Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

El tiempo que tardas en detectar un problema determina directamente su coste. Esta es mi opinión, no lo escribo como una verdad absoluta.

Estoy en la misma situación, por eso pregunto. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. También me gustaría saber si alguien lo hace de otra manera.

Gracias, me ha servido de mucha ayuda.

estoy de acuerdo.

Os explico cómo se hace en la práctica. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Corrijanme si me equivoco.

En teoría es correcto, pero en la práctica no funciona así. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena. Espero que le sea útil.

Creo que es difícil hablar con tanta claridad sobre honeypot que es. Antes de decidir, mirad qué datos tenéis en la mano.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Es correcto en general, pero falta un detalle. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Si regañas las falsas alarmas nadie volverá a reportar. Por supuesto cambia si tu situación es diferente.

Os explico cómo se hace en la práctica. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Comprobado por experiencia.