Сравниваю поставщиков Deception-технологий: в чем разница и не перебор ли это для компании из 20 человек?

Да что атакующему вообще делать в ханипоте в компании на 20 человек? У вас вся сеть — это одна подсеть и пара серверов в облаке. Deception нужен гигантам с тысячами серверов и сложной системой доступов чтобы ловить латеральное движение (lateral movement). Вы просто выполняете план сейлзу который вам это впаривает.

Главное отличие между вендорами — статическая эмуляция против реальных ОС в виде ловушек. Дешевые решения просто имитируют открытые порты, хакер через две команды поймет, что это фейк. Дорогие крутят полноценные виртуалки, но там накатывание патчей и лицензии превращаются в отдельный операционный ад.

Если хотите просто пощупать концепцию ловушек, деньги тратить не надо. Поднимите базовые опенсорсные ханипоты в изолированной подсети в облаке или используйте бесплатные утилиты типа canary tokens, которые шлют письмо при открытии фейкового файла в папке с документами. Сразу поймете логику.

Мы в команде из 35 человек в прошлом году наступили на эти грабли. Отдали 15.000 долларов за продукт. За весь год система выдала ровно 2 алерта — и оба раза это был наш стажер, который запустил сканер сети. Слили бы половину этого бюджета на пару нормальных пентестов, закрыли бы реальные дыры.

В пирамиде безопасности предотвращение всегда идет раньше обнаружения. У вас MFA везде настроен без исключений? Ошибки конфигурации в облаке сканируются? Фишинг-тесты для сотрудников проводите? Если базовые вещи не закрыты, deception будет просто дорогой игрушкой.

При выборе вендора смотрите на три вещи: 1) Не тормозят ли фейковые учетки и следы реальные рабочие системы? 2) Умеет ли консоль сразу слать алерты в ваш корпоративный мессенджер или таск-трекер? 3) Сколько инженерных часов в неделю уходит на обслуживание?

Вы написали, что работаете с медицинскими данными. А обязательные по закону требования к шифрованию и логированию доступа уже закрыты? Если придет регулятор и увидит, что базовых логов нет, никакие продвинутые системы обмана от штрафов не спасут.

Здесь описано ровно то, что пережили мы. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Я бы пошел этим путем.

Я долго занимался этим вопросом. То что делают все не значит, что это правильно.

Это мое мнение, не утверждаю что оно единственно верное.

Я бы не торопился. Прежде чем принимать решение посмотрите какие данные у вас есть.

Если разрешение и объем тестирования не зафиксированы письменно тест не начинать.

Ответ выше точно передал суть вопроса. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Надеюсь, это будет полезно.

об этом много говорят, но у нас так никогда не было и если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Большое спасибо, сегодня попробую.

На что обратить внимание при выполнении этого. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

А как вы решили этот вопрос? Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Если напишете результат здесь, это поможет и другим.

Я столкнулся с тем же два года назад. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Удачи.

Давайте немного раскрою техническую сторону. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

При принятии решений записывайте и худший сценарий, а не только лучший. Я бы пошел этим путем.

взял на заемтку спасибо.