Нам предложили поставить honeypot — что это вообще такое и нужно ли малому бизнесу с двумя серверами?

Если honeypot настроен криво, он сам может стать источником проблем. Неопытный админ поднимет интерактивную приманку, хакер ее вскроет и использует как плацдарм для атаки на внутреннюю сеть или тот же сервер ERP. Для правильного развертывания и мониторинга тут нужна серьезная квалификация.

Классический развод от айтишников. В конторе наверняка у половины сотрудников пароль «123456» и нормальных бэкапов отродясь не было, зато вам пытаются впарить технологии уровня NASA и стричь ежемесячную абонентку.

Лучше пустите этот бюджет на автономный блок резервного копирования. Чтобы ночью делался бэкап и диск аппаратно отключался от сети. Если однажды прилетит шифровальщик, вас спасет именно изолированный бэкап, а не приманка.

Нам на волне такой же паники поставили эту штуку в офис на 20 человек: содрали 600 евро за настройку и по 100 евро в месяц за поддержку. За месяц насыпало 40 тысяч алертов от обычных сканирующих ботов. Естественно, никто эти простыни логов не читал, на третий месяц мы всё просто вырубили.

Ваш специалист перед тем, как предлагать honeypot, закрыл порты удаленного доступа к серверу ERP? Включил сотрудникам двухфакторку? Если на оба вопроса ответ «нет», стоит задуматься о его реальных намерениях.

для конторы на два сервака honeypot это дичь полная. настройте фаервол, загоните всё под vpn, смените пароли на нормальные и этого хватит за глаза.

Примечание: пишу на основе своего опыта, у других может быть иначе.

Архитектура honeypot обычно имеет смысл в крупных организациях, имеющих собственный центр управления безопасностью (SOC) или находящихся под прямой угрозой целевого кибершпионажа. На уровне малого и среднего бизнеса соотношение риска, пользы и затрат совершенно нерационально.

по-моему лучше вежливо поблагодарить и отказаться от предложения. потратьте эти деньги на закрытие базовых уязвиомстей и хорошую систему резервного копирования — спать по ночам будете намного спокойнее.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

Здесь нужно провести различие. Непроверенная резервная копия — не резервная копия.

Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать. Проверено опытом.

Редко встретишь текст с такой ясностью изложения.

Попробую. Люди защищают не процесс а привычку. Сопротивление идет оттуда.

Конечно, если ваша ситуация отличается, всё меняется.

У меня было наоборот, поэтому и пишу. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному. Надеюсь, это будет полезно.

Попробую. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Проверено опытом.

Именно так, и при этом об этом мало кто знает. Ошибка сделанная на стороне что такое honeypot, обычно исправима, но дорого.

Если я правильно понял вы имеете в виду следующее: Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Пишите если есть вопросы отвечу по мере возможности.

Я думаю иначе. Автоматический отчет о сканировании и пентест — это не одно и то же.

Интересно, есть ли те, кто делает иначе.

У меня та же ситуация, поэтому и спрашиваю. Автоматический отчет о сканировании и пентест — это не одно и то же.

Если напишете результат здесь, это поможет и другим.

в этом пункте я с вами не согласен. кстати доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.