En una frase: un honeypot es un recurso controlado que parece interesante para un atacante y permite observar las conexiones e interacciones que recibe. NIST describe los señuelos como componentes diseñados para detectar, desviar y analizar ataques; también destaca que el aislamiento debe formar parte de su diseño.
1. Detectar actividad dirigida a un servicio señuelo
Como el señuelo no debería tener usuarios ni actividad de negocio ordinaria, una conexión inesperada puede ser una señal útil para el equipo. Puede indicar exploración automática, una prueba de credenciales o una interacción con el servicio simulado.
La señal solo describe lo ocurrido contra ese sensor. No significa automáticamente que un atacante haya entrado en un servidor real, ni demuestra que la organización haya sufrido una brecha.
2. Investigar sesiones con más contexto
Los registros pueden mostrar cuándo comenzó la interacción, qué servicio recibió la conexión y cómo evolucionó la sesión dentro del entorno señuelo. En sensores como Cowrie, el equipo puede revisar las interacciones de terminal recibidas; otros sensores pueden registrar sesiones de autenticación.
Al agrupar eventos en sesiones, el equipo tiene una secuencia más fácil de revisar que una lista de líneas aisladas. Ese contexto ayuda a comparar actividad repetida, revisar ventanas temporales y decidir si se necesitan más comprobaciones en otras fuentes.
3. Aprender qué servicios atraen intentos
La telemetría puede ayudar a un equipo a comprender qué servicios visibles desde una ubicación reciben conexiones y qué patrones se repiten. Ese aprendizaje puede orientar preguntas sobre exposición de red, cobertura de monitorización y procedimientos de respuesta.
Los resultados dependen de dónde se ubique el sensor, qué servicios simule y qué actividad alcance la red. Un honeypot no observa de manera automática el correo, los equipos de usuario, una aplicación que no simula ni todas las acciones que ocurren después de una entrada.
4. Complementar los controles existentes
Un honeypot encaja como una fuente de detección y análisis dentro de una estrategia por capas. Puede añadir un tipo de señal a las herramientas que ya utiliza una empresa, siempre que haya un equipo que la revise y un proceso que indique qué hacer ante una coincidencia relevante.
Su función es diferente a la de un firewall, que controla el tráfico entre redes, o un EDR, que vigila y responde en los dispositivos protegidos. El señuelo no sustituye esos controles.
¿Cómo se utiliza con seguridad?
- Define qué servicio y qué pregunta de seguridad quieres observar.
- Elige la ubicación con el equipo responsable de red y seguridad.
- Aísla el sensor de los sistemas productivos y limita sus accesos.
- Establece quién puede consultar la telemetría, cuánto tiempo se conserva y cómo se revisa.
- Contrasta la señal con registros de identidad, red y sistemas antes de decidir una respuesta.
Cómo lo resuelve Nattia Honeypot
Nattia organiza actividad de sensores Cowrie y Heralding en sesiones consultables por empresa y sede. La plataforma usa ingesta firmada por dispositivo, acceso con 2FA, separación de permisos y auditoría. Los perfiles de cliente ven las credenciales enmascaradas.
Conoce el detalle de la plataforma, revisa los usos y límites para empresas o consulta el precio y cómo pedir información.