Поставщик говорит, что deception technology — это не то же самое, что honeypot, в чём разница?

Технически поставщик прав, но маркетинговый язык они преувеличили. Honeypot пассивен, а эти системы раздают приманки на конечные точки. Но в компании на 45 человек тратить деньги на такой уровень роскоши, пока не налажены базовый контроль доступа, многофакторная аутентификация и управление патчами, — неправильная инвестиция.

Если атакующий уже проник на вашу машину и дошёл до уровня чтения памяти он в большинстве случаев заметит и коммерческий агент безопасности, установленный в системе. Приманки коммерческих инструментов обмана тоже со временем превращаются в известные атакующим инструментам сигнатуры. Вместо того чтобы отдавать 18.000 USD потратьте эти деньги на хороший пентест.

Разница кроется именно в механизме срабатывания. Ханипот слушает конкретный IP, и если злоумышленник не станет сканировать этот адрес по пачке портов, толку от него ноль. Deception-решения же внедряют фейковые тикеты или липовые SSH-ключи прямо в Local Security Authority (LSA). Как только атакующий пытается поднять права с помощью такого ключа, система централизованно его блокирует.

Прежде чем покупать какие-либо лицензии, потестируйте бесплатные токены-приманки. Закиньте в критически важные папки файл с фейковой ссылкой или заведите на сервере поддельную сервисную учетку. Если кто-то их тронет — вам тут же прилетит алерт. Небольшим командам такого уровня защиты хватает на месяцы вперед.

Мы тестировали похожую штуку в офисе на 60 человек. Три месяца вообще ни одного алерта, а потом новенький стажер открыл на сетевом диске фейковую бухгалтерскую табличку — и сирены завыли моментально. Ложных срабатываний реально ноль, но пока атак нет, напрочь забываешь, что эта система вообще существует.

Прежде чем согласовывать годовой бюджет в 18.000 USD, рекомендую запросить у вендора двухнедельный пилот (PoC) в вашей корпоративной сети. Подписывать контракт, не оценив качество телеметрии на собственной инфраструктуре, категорически не стоит.

приправили старый добрый ханипот модным ИИ, раскидали по конечным точкам пару фейковых паролей — и вот вам «технология обмана». зато ценник срау в пять раз накрутили. самый главный «обман» тут удастся сейлзу, если он сможет впарить счет на эти 18 тысяч долларов.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

на это стоит обратить внимание и автоматический отчет о сканировании и пентест — это не одно и то же.

первые три мессяца все идет хорошо проблемы всплывают на четвертом потом кстати удачи.

В этом пункте я с вами не согласен. Чем сложнее отменить решение, тем медленнее его принимайте.

Спешка в решениях оборачивается исправлениями через полгода. Интересно, есть ли те, кто делает иначе.

я тоже так считаю но честно решения работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

больше всего времени у нас уходило на то что было непонятно кто принимает решения.

Здесь есть еще и аспект измерений. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Время обнаружения проблемы напрямую определяет ее стоимость. Это мое мнение, не утверждаю, что оно единственно верное.

У этого подхода есть цена о которой молчат. Не полагайтесь на одну меру защиты; действуйте слоями.

Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно. Надеюсь это будет полезно.

Спасибо за ваш пост. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

На этом всё, извините, если затянул.

краткое резюме для новичков: Пытаться сделать это в одниочку — самый дорогой путь.

интересно, есть ли те кто делает иначе.

По теме разница между deception-технологиями и ханипотами так категорично говорить сложно. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Непроверенная резервная копия — не резервная копия.

Мне тоже интересно.

Не знал об этом.

В этом пункте я с вами не согласен. Автоматический отчет о сканировании и пентест — это не одно и то же.

Время обнаружения проблемы напрямую определяет ее стоимость.