Il fornitore dice che la deception technology non è un honeypot, qual è la differenza?

Quello che dice il fornitore a livello tecnico è vero, ma ci hanno caricato troppo marketing sopra. L'honeypot è passivo, questi sistemi distribuiscono esche sugli endpoint. Però in un'azienda di 45 persone, spendere per un lusso del genere prima di aver blindato i controlli di accesso di base, la 2FA e la gestione delle patch è un investimento sbagliato.

Se un attaccante è già arrivato al livello di bucare la macchina e fare dump della memoria, il più delle volte si accorge anche dell'agent di sicurezza commerciale installato sul sistema. Pure le esche dei tool proprietari di deception dopo un po' diventano signature note ai tool d'attacco. Invece di mollare 18.000 USD a loro, usate quei soldi per farvi fare un penetration test come si deve.

La differenza sta proprio nel meccanismo di attivazione. L'honeypot fa ascolto basandosi sull'IP, se l'attaccante non fa una scansione delle porte su quell'IP non serve a nulla. Gli strumenti di deception invece iniettano ticket falsi o chiavi SSH fasulle dentro la Local Security Authority (LSA). Nel momento in cui l'attaccante prova a fare privilege escalation con quella chiave, il sistema viene bloccato a livello centrale.

Prima di acquistare qualsiasi licenza provate i canary token gratuiti. Mettete un file con un link esca dentro le cartelle critiche oppure create un account di servizio fittizio sul server. Se qualcuno tocca queste esche vi arriva la notifica. Per i team piccoli questo metodo garantisce una protezione più che sufficiente per mesi.

Noi abbiamo testato un tool simile in un ufficio di 60 persone. Per tre mesi non è scattato nemmeno un avviso, poi un giorno lo stagista appena arrivato ha aperto il finto foglio contabile nella cartella condivisa di rete e sono subito suonate le sirene. Il tasso di falsi positivi è davvero pari a zero, ma se non ci sono attacchi ti dimentichi totalmente della sua esistenza.

Prima di approvare un budget annuale di 18.000 USD, vi suggerisco di richiedere al fornitore un Proof of Concept (PoC) di due settimane sulla rete aziendale. Non si dovrebbe firmare alcun contratto senza aver prima verificato la qualità della telemetria generata sulla propria infrastruttura.

hanno preso il vecchio honeypot, ci hanno buttato sopra un po' di salsa all'intelligenza artificiale due password finte sugli endpoint ed ecco che l'hanno ribattezzato deception technology. cioè con il prezzo ovviamente quintuplicato. il vero capolavoro di inganno del commerciale è riuscire a farvi firmare quella fattura da 18 mila dollari.

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

c'è una cosa a cui prestare attenzione ma un report di scansione automatica e un peenetration test non sono la stessa cosa.

i primi tre mesi vanno bene, i problemi emergono al quarto mese. buon lavoro.

Su questo punto non sono d'accordo. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. Sono curioso di sapere se qualcuno lo fa in modo diverso.

sono della stessa opinione... cioè le soluzioni che funzionano su piccola scla crollano quando si cresce, l'ho imparato tardi.

da noi la cosa che facevva perdere più tempo era non sapere chi decidesse.

C'è anche un aspetto di misurazione. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Il tempo che impiegate a rilevare un problema ne determina direttamente il costo. Questa è la mia opinione, non la scrivo come verità assoluta.

Questo approccio ha un costo, di cui non si parla. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Se ricevete tre risposte diverse su un argomento la domanda è posta male. Spero che le sia utile.

Grazie per aver scritto. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

È tutto, scusate se mi sono dilungato.

breve riassunto per i nuovi arrivati: Cercare di farlo da soli è la strada più costosa.

sono curioso di sapere se qualcuno lo fa in modo diverso.

Secondo me è difficile essere così netti sul lato differenza deception technology honeypot. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Un backup non testato non è un backup.

Mi chiedo anch'io.

Non lo sapevo.

Su questo punto non sono d'accordo. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.