Un fornitore ci propone un honeypot: di cosa si tratta e ha senso per una piccola azienda?

Quello che vi hanno proposto è probabilmente un honeypot a bassa interazione: un software semplice che simula un server reale ma fa girare solo servizi fittizi. Per rilevare i movimenti laterali nella rete interna funziona benissimo come campanello d'allarme precoce, ma non è una corazza difensiva; fa solo suonare la sirena.

Tipica mossa da commerciali IT. L'altro giorno ho visto gente che provava a vendere honeypot ad aziende con sistemi operativi non aggiornati e password deboli. È come mettere un portafoglio finto in giardino per spiare i ladri quando non hai nemmeno la serratura alla porta di casa. Sistemate prima autenticazione a due fattori e backup.

Lavoriamo nella logistica a Milano, abbiamo circa 30 postazioni in rete. Ci avevano fatto un preventivo simile intorno ai 1.000 € e abbiamo rifiutato. Il nostro sistemista interno ha semplicemente creato un file esca e una finta cartella condivisa con strumenti open source. Gira da due anni a costo zero e l'unico allarme è scattato quando lo stagista ha lanciato per sbaglio una scansione di rete.

L'honeypot ha un unico grande pro: zero falsi positivi. Un normale firewall spara centinaia di avvisi inutili al giorno e fa perdere la testa. Se qualcuno tocca l'honeypot, invece, o è un attaccante o è un dipendente che sta violando le policy aziendali. Ma pagare 150 € al mese per monitorarlo è decisamente troppo per il budget di una PMI.

Dite al fornitore italiano questo: "Non vogliamo un honeypot esposto all'esterno mettete una semplice trappola virtuale sulla rete interna e includetela nella nostra manutenzione generale annuale invece di far pagare un canone mensile." Invece di vincolarvi a 150 € al mese, investite quei soldi in una soluzione di backup su cloud.

ma quindi quando metti questa trappola, gli hacker mentre attaccano lì si dimenticano del nostro vero server ERP? cioè funzoina tipo parafulmine che assorbe l'attacco e protegge fisicamente il resto dell'azienda?

No, non è un parafulmine. Fa perdere all'hacker solo qualche minuto. Lo scopo principale è farvi guadagnare tempo; nel momento in cui la trappola scatta, arriva una notifica sul cellulare del vostro sistemista e vi dà la possibilità di isolare la minaccia nella rete. Se non c'è una persona che interviene, la trappola da sola non ha alcun potere di protezione.

La mia domanda sarà un po' da principiante, scusate. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Questa è la mia opinione non la scrivo come verità assoluta.

Se non ho capito male, stai dicendo che: Il vero problema non è il numero, ma su cosa si basa quel numero.

Correggetemi se sbaglio.

Ho vissuto la stessa cosa. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Buon lavoro.

Assolutamente. Se devo aggiungere qualcosa: Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Spero che le sia utile.

sono d'accordo. cioè se ricevete tre risposte diverse su un argomento la domanda è posta male.

confermato dall'esperienza.

Grazie mille, mi è stato molto utile. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Se avete domande, scrivete, rispondo per quanto possibile.

Direi di non avere fretta. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Correggetemi se sbaglio.

Anche da noi è così.

Sono emerse tre opinioni diverse, si completano a vicenda... comunque la maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Io seguirei questa strada.

Argomento molto attuale.

Hai fatto bene ad aprire questo thread. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. È tutto, scusate se mi sono dilungato.