Il consulente di sicurezza ha parlato di "honeypot": cosa sono e ci servono davvero?

Gli honeypot nella rete interna sono in genere una finta condivisione di file SMB o una finta porta di database lasciata aperta. Quando l'attaccante si infiltra nella rete dell'ufficio, scansiona i dintorni per muoversi indisturbato (lateral movement). Nel momento esatto in cui tocca quella porta fasulla, al sistema centrale arriva il segnale "c'è un estraneo nella rete". L'idea tecnicamente è ottima, ma gestirla richiede competenze specifiche.

Il consulente sta solo cercando di vendervi un servizio appariscente di livello enterprise per legarvi a un abbonamento mensile. In un'azienda di 35 persone, anche se intercettate un hacker sul server grazie all'honeypot, avete un team di sicurezza interno pronto a intervenire in quel preciso istante? Usate piuttosto quel budget per rafforzare l'architettura dei backup.

Due anni fa, per curiosità, abbiamo installato un honeypot open source nella nostra rete aziendale. In un anno intero ha generato solo tre allarmi: due volte lo stagista della contabilità che aveva aperto un programma di scansione di rete, e una volta un conflitto di IP con la stampante. Nessun vero attacco esterno rilevato. Vincolare oltre 5.000 $ all'anno a questa roba è una spesa ingiustificata per una piccola realtà.

Invece di dare quei soldi al consulente, date un'occhiata ai servizi gratuiti di canary token. Mettete un file fittizio chiamato "stipendi-2024.xlsx" sul vostro file server. Nel momento in cui qualcuno lo apre, vi arriva subito un avviso via email. Costo: zero dollari. Tempo di configurazione: cinque minuti.

Che tipo di software di protezione endpoint usate al momento in azienda? E le porte dei server esposte su internet vengono testate regolarmente? Senza queste basi il fatto che il consulente proponga subito tecnologie di deception mi sembra un modo di partire dal fondo.

ci hanno provato pure con noi a rifilare un pacchetto di sicurezza simile, nn buttateci soldi mensili. abilitate la mfa sulla vpn e mettete password toste ai server, basta e avanza... un honeypot x un ingrosso da 35 persone è davvero troppo lusso.

È come non avere la serratura alla porta e lasciare dentro un portafoglio finto per il ladro. Il consulente ha trovato un modo creativo per arrotondare complimenti a lui.

edit: ho scritto una cosa sbagliata sopra, scusate.

Ho vissuto la stessa cosa due anni fa. L'errore commesso da cosa significa honeypot è generalmente reversibile ma costoso.

Io seguirei questa strada.

Sono una piccola impresa vi parlo dal mio punto di vista. Inizia con un piccolo test non impegnarti subito su tutto.

Io seguirei questa strada.

Assolutamente. Se devo aggiungere qualcosa: I primi tre mesi vanno bene, i problemi emergono al quarto mese.

Il tempo che impiegate a rilevare un problema ne determina direttamente il costo. Questa è la mia opinione, non la scrivo come verità assoluta.

Sono nella stessa situazione, per questo chiedo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Grazie mille, mi è stato molto utile.

sono d'accordo.

Vi spiego come si fa in pratica. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Correggetemi se sbaglio.

In teoria è giusto, in pratica non funziona così. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

La sicurezza non è assoluta; significa rendere l'attacco non conveniente. Spero che le sia utile.

Secondo me è difficile essere così netti sul lato cosa significa honeypot. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Questa è la mia opinione, non la scrivo come verità assoluta.

In generale è corretto, ma manca un pezzo. insomma se cerchi di cambiare tutto insieme niente si stabilizza.

Se rimproverate i falsi allarmi, nessuno segnalerà più nulla... Naturalmente cambia se la vostra situazione è diversa.

Vi spiego come si fa in pratica. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Confermato dall'esperienza.