Idea clave: el honeypot se coloca en un lugar elegido para observar un servicio simulado. Las señales se deben interpretar dentro del ámbito de red y de los procesos de respuesta de la organización.
1. Revisar actividad entre varias sedes
Una empresa distribuida puede querer saber si los servicios señuelo desplegados en sus ubicaciones reciben tipos de actividad distintos. Organizar las señales por sede ayuda al equipo autorizado a preguntar qué está expuesto en cada entorno y si las reglas de monitorización son consistentes.
La comparación debe respetar los permisos de cada organización y no revelar telemetría de una empresa a otra. En Nattia, la consola vincula actividad, sensor, empresa y sede para que el usuario consulte el ámbito que tiene asignado.
2. Observar servicios de acceso remoto
Un equipo de infraestructura puede utilizar sensores que simulan protocolos de acceso o autenticación para registrar intentos dirigidos a esos señuelos. Si la organización observa una actividad inesperada, puede contrastarla con la configuración del perímetro y los registros de los sistemas reales.
Nattia utiliza Cowrie para SSH y Telnet y Heralding para FTP, SMTP, POP3, IMAP, MySQL, PostgreSQL y VNC. Esto describe los protocolos contemplados por la plataforma; no implica que cualquier aplicación, VPN o servicio corporativo esté monitorizado.
3. Dar contexto al equipo de seguridad
Una sesión estructurada ofrece un punto de partida para una revisión: ventana temporal, sensor, protocolo, eventos asociados y sede. El equipo puede priorizar señales repetidas, correlacionarlas con alertas de otras herramientas y registrar por qué se tomó una decisión.
La interacción contra un señuelo no identifica por sí sola a una persona. Las direcciones IP pueden representar equipos intermediarios, servicios compartidos o infraestructura comprometida. La atribución requiere más fuentes y análisis.
4. Revisar los procedimientos de detección
Un señuelo controlado puede formar parte de ejercicios internos de observabilidad: comprobar si una señal genera una notificación, si llega al equipo correcto y si existe suficiente información para iniciar una revisión. Cualquier prueba debe acordarse con las personas responsables y realizarse dentro del alcance establecido.
Qué decidir antes de instalarlo
- Qué pregunta de seguridad debe responder el sensor.
- Qué red, ubicación y servicio simulado forman parte del alcance.
- Qué barreras evitan que una actividad capturada afecte a sistemas reales.
- Quién revisa las sesiones y con qué procedimiento de respuesta.
- Qué datos potencialmente personales pueden recogerse, quién puede verlos y cuánto tiempo se conservan.
Estas decisiones convierten un despliegue en una capacidad de seguridad operable. Sin aislamiento ni responsables de revisión, un honeypot puede generar datos sin una acción útil asociada.
Más información
Consulta escenarios de despliegue, revisa los controles de la plataforma o solicita información sobre el servicio Nattia Honeypot.