Ci hanno parlato di honeypot: cos'è e ha senso per una PMI con due server?

Se un honeypot non viene isolato a dovere può creare grossi guai. Se il vostro tecnico configura male una trappola ad alta interazione e un hacker ne prende il controllo, può usarla come trampolino di lancio per entrare nella rete interna o nel server ERP. Installazione e monitoraggio richiedono competenze avanzate.

La solita tattica commerciale dei fornitori IT. In azienda probabilmente tutti usano "123456" come password e i backup del server non vengono nemmeno fatti a dovere, però il tizio vuole piazzarvi una trappola stile NASA per fatturarvi il canone ogni mese.

Destinate subito quel budget a un'unità di backup offline. Che faccia il backup di notte e si disconnetta dalla rete. Se un domani vi beccate un ransomware vi salverà quel backup isolato, mica l'honeypot.

Sull'onda di un entusiasmo simile l'abbiamo fatto installare nel nostro ufficio di 20 persone: chiedevano 600 Euro per l'installazione e 100 Euro al mese per i controlli. In un mese generava 40 mila alert di scansioni bot. Nessuno leggeva quei log e al terzo mese abbiamo spento tutto.

Prima di proporvi un honeypot il vostro tecnico ha chiuso le porte di accesso remoto sul server ERP in ufficio? Ha imposto l'accesso a due fattori a tutti gli utenti? Se la risposta a queste due domande è no, dovreste interrogarvi sulle sue reali intenzioni.

x un'azienda con due server l'honeypot è un capriccio assurdo poi boh mettete un firrewall andate sotto vpn, rafforzate le password e siete a posto.

Nota: ho scritto questo basandomi sulla mia esperienza, potrebbe non valere per tutti.

Le architetture honeypot hanno senso perlopiù in grandi aziende che dispongono internamente di un Security Operations Center (SOC) o che sono direttamente esposte a minacce di spionaggio informatico mirato. Per le PMI, il rapporto rischio-beneficio e i costi non sono assolutamente razionali.

secondo me ringraziate gentilmente e rifiutate l'offerta. cioè spendete i vostri soldi per tappare le falle di sicurezza di base e per un buon sistema di backup, dormirete sonni molto più tranquilli.

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

Bisogna fare una distinzione qui. Un backup non testato non è un backup.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere. Confermato dall'esperienza.

Raro trovare articoli che spiegano le cose così chiaramente.

Ci proverò. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Naturalmente cambia se la vostra situazione è diversa.

A me è successo l'esatto contrario, per questo scrivo. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente. Spero che le sia utile.

Ci proverò. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Confermato dall'esperienza.

Esatto, e non è nemmeno così noto. L'errore commesso da cos'è un honeypot è generalmente reversibile ma costoso.

Se non ho capito male, stai dicendo che: La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Se avete domande, scrivete rispondo per quanto possibile.

La penso diversamente. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Sono nella stessa situazione, per questo chiedo. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Se scrivete qui il risultato, sarà utile anche ad altri.

su questo punto non sono d'accordo poi avere il backup accessibile sulla stessa rete e con le steesse credenziali lo rende parte del bersaglio.