Есть ли реальная польза от Honeypot (ловушек) на сервере небольшой компании?

Десятки тысяч запросов — это обычный сканирующий шум со всего интернета. Ханипот наловит ровно тех же ботов и покажет вам то, что вы и так знаете: в сети полно сканеров. Даже простейшую ловушку нельзя держать в одной VLAN с боем — придется нарезать подсети и крутить правила фаервола.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

Совет консультанта пока отложите. Смените дефолтные порты, вырубите пароли (только ключи!) и накатите тот же fail2ban. 99% мусорного трафика отвалится сразу. Работы на два часа, денег нуль.

Поднимали ради интереса ssh-ловушку на свободном хосте. За три дня прилетело 140к попыток входа и 800 разных логинов. Программист потом полдня разбирал этот мусор. Через месяц выключили к чертям, потому что никакой полезной инфы для защиты мы из этого не получили.

Консультант после установки этой приманки сказал, кто будет следить за логами? У вас есть центр безопасности, который будет управлять алертами или вы просто поставите и забудете? Если вы не заложили бюджет на еженедельный анализ отчётов, какой смысл вообще ставить ловушку?

да ваще не надо бро. этот консультант скорее всего просто впаривает тебе шаблон из крупных корпоративных проектов. закрой ssh-порт наружу или спрячь за vpn — и хватит. жизни не хватит эти логи читать.

Honeypot — это не средство защиты, а инструмент threat intelligence и исследований. Компании с сотнями сотрудников и собственной командой безопасности используют его чтобы заранее обнаруживать новые векторы атак. У софтверной компании из 12 человек нет такой операционной роскоши — изучать профиль атакующего.

Тема предельно ясна. Приманка не блокирует атаку, а только фиксирует её. А вам нужно не логи анализировать, а запереть двери. Как только закроете порты наружу и перейдёте на аутентификацию по ключам, все эти вопросы отпадут сами собой.

Мои сомнения развеялись, спасибо. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Забытые тестовые среды становятся входом в систему чаще, чем продакшн. Удачи.

Если я правильно понял, вы имеете в виду следующее: Главное не цифра, а то, на основе чего она получена.

После того случая мой взгляд на вещи изменился. Пытаться сделать это в одиночку — самый дорогой путь.

Пытаться сделать это в одиночку — самый дорогой путь.

Посмотрю с другой стороны, я на стороне поставщика. Автоматический отчет о сканировании и пентест — это не одно и то же.

Удачи.

Попробую.

Не знал об этом.

не упустите: Непроверенная резервная копия — не резервная копия.

прежде чем принимать решение посмотрите, какие данные у вас есть. если напишете результат здесь это поможет и другим.

На это стоит обратить внимание. Начните с небольшого эксперимента, не привязывайте всё сразу.

Оставлю как заметку, пригодится.

Позвольте подвести итог сказанному выше. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Удачи.

Нужно идти по порядку. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Оставлю как заметку пригодится.

Буду отстаивать обратное не обижайтесь. То что делают все, не значит, что это правильно.

Удачи.