Señales que puede registrar
Según el tipo de sensor, un honeypot puede observar que un servicio recibió una conexión, la hora, el protocolo, los intentos de autenticación y las interacciones producidas en una sesión. Un servicio señuelo SSH puede mostrar comandos enviados a ese señuelo; un sensor de autenticación puede registrar intentos y datos asociados a la sesión.
En Nattia Honeypot, Cowrie se utiliza para SSH y Telnet, y Heralding para FTP, SMTP, POP3, IMAP, MySQL, PostgreSQL y VNC. Los eventos se agrupan en sesiones y se consultan por el ámbito de empresa y sede asignado.
Cómo interpretar un intento
Una conexión a un servicio señuelo puede ser resultado de escaneo automatizado, búsqueda oportunista o actividad dirigida. El evento ofrece un dato para investigar, no una conclusión sobre intención, identidad o impacto.
Una misma dirección puede ser compartida por varios usuarios, infraestructura de terceros o un dispositivo comprometido. Por eso es mejor hablar de origen de conexión observado y cruzar la señal con más registros antes de atribuirla a alguien.
Lo que una sesión no demuestra
- No confirma por sí sola una intrusión en producción.
- No demuestra que todos los servicios de la organización estén expuestos o monitorizados.
- No representa canales que el sensor no simula, como el correo de usuario o una aplicación distinta.
- No identifica de forma fiable a la persona que operaba detrás de la IP.
- No garantiza que una actividad no observada no haya ocurrido en otro sistema.
Trata la telemetría como información sensible
Los intentos pueden incluir nombres de usuario, contraseñas probadas y comandos. El acceso debe limitarse, la visualización debe tratar los datos con cuidado y la retención debe definirse para el servicio y las obligaciones de la organización.
La consola Nattia aplica permisos por empresa y sede, acceso con doble factor y enmascaramiento de credenciales para perfiles de cliente. Revisa los controles de seguridad y privacidad antes de valorar un despliegue.
De observación a respuesta
- Verifica sensor, sede, hora y servicio.
- Busca eventos relacionados en la misma sesión y ventana temporal.
- Correlaciona la señal con logs de firewall, identidad y servidores reales.
- Escala el caso según el proceso interno; registra qué comprobaciones se realizaron.
Los controles de respuesta y bloqueo deben aplicarse desde las herramientas autorizadas de la organización.