El proveedor dice que la tecnología de engaño no es lo mismo que un honeypot, ¿cuál es la diferencia?

Lo que dice el comercial es técnicamente correcto, pero han inflado el rollo de ventas. El honeypot es pasivo y estos sistemas distribuyen señuelos por los endpoints. Aun así, gastar dinero en este lujo antes de consolidar los controles de acceso básicos, la autenticación multifactor y la gestión de parches en una empresa de 45 empleados es una mala inversión.

Si el atacante ya ha entrado en tu máquina y tiene nivel para leer la memoria, la mayoría de las veces también detectará el agente de seguridad comercial instalado. Los señuelos de las herramientas de engaño comerciales se acaban convirtiendo en firmas conocidas por las herramientas de ataque. En lugar de pagar 18.000 USD aprovecha ese dinero para hacer un buen pentest.

La diferencia radica directamente en el mecanismo de activación. Un honeypot escucha a nivel de IP; si el atacante no hace un escaneo de puertos a esa IP, no sirve de nada. Las herramientas de deception, en cambio, inyectan tickets falsos o claves SSH falsas dentro de la Local Security Authority (LSA). Cuando el atacante intenta escalar privilegios con esa clave, el sistema se bloquea desde la central.

Antes de comprar ninguna licencia, probad los tokens trampa gratuitos. Dejad un archivo con un enlace falso dentro de carpetas críticas o definid una cuenta de servicio falsa en el servidor. Si alguien toca esas trampas recibes una notificación. Para equipos pequeños, este método ofrece suficiente protección durante meses.

Nosotros probamos una herramienta similar en una oficina de 60 personas. Durante tres meses no saltó ni una sola alerta; hasta que un día, un becario recién entrado abrió una hoja de contabilidad falsa en la carpeta compartida de la red y saltaron las alarmas al instante. La tasa de falsos positivos es literalmente cero, pero si no hay ataques te olvidas por completo de que está ahí.

Antes de aprobar un presupuesto anual de 18.000 USD, le sugiero solicitar al proveedor una prueba de concepto (PoC) de dos semanas en su red corporativa. No se debe firmar ningún contrato sin comprobar la calidad de la telemetría generada en la propia infraestructura de la organización.

le metieron un poco de salsa de IA al honeypot de toda la vida le pusieron un par de contraseñas falsas a los endpoints y lo llamaron tecnología de engaño.. luego bueno y cómo no, el precio se multiplicó por cinco. el mayor logro de engaño del comercial va a ser conseguir que le aprueben esa factura de 18 mil dólares.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

hay una cosa a la que hay que prestar atención. en fin un informe de escaneo automático no es lo mismo que una prueba de penetración.

los primeros tres mess todo va bien, los problemas aparecen en el cuarto. ánimo.

En este punto no estoy de acuerdo con ustedes. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Las decisiones apresuradas son las que hay que corregir seis meses después. También me gustaría saber si alguien lo hace de otra manera.

yo también pienso lo mismo y las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde.

lo que más tiempo nos hacía perder era no saber quién tmaba las decisiones.

Esto también tiene su parte de medición. Si regañas las falsas alarmas, nadie volverá a reportar.

El tiempo que tardas en detectar un problema determina directamente su coste. Esta es mi opinión, no lo escribo como una verdad absoluta.

Este enfoque tiene un coste, y no se habla de ello. No confíes en una sola medida; ve capa por capa.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada. Espero que le sea útil.

Gracias por escribir. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Eso es todo, disculpa si me he extendido demasiado.

resumen breve para nuevos usuarios: Intentar hacerlo solo es la vía más cara.

también me gustarría saber si alguien lo hace de otra manera.

Creo que es difícil hablar con tanta claridad sobre diferencia entre tecnologia de engano y honeypot. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Una copia de seguridad no probada no es una copia de seguridad.

Yo también tengo curiosidad.

No sabía eso.

En este punto no estoy de acuerdo con ustedes. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

El tiempo que tardas en detectar un problema determina directamente su coste.