¿Qué es un honeypot?
Un honeypot es un recurso informático señuelo preparado para parecer un servicio, equipo o destino interesante. Se despliega con controles y un alcance definidos para observar las conexiones e interacciones que recibe. El glosario de ciberseguridad del NIST también lo describe como un sistema o recurso diseñado para atraer a posibles intrusos.
Como el servicio señuelo no debería utilizarse para trabajo normal, una interacción puede ayudar a detectar exploración automatizada, intentos de autenticación u otras técnicas. Hay que interpretar cada señal en su contexto: ver un acceso contra un señuelo no demuestra por sí solo que un sistema real haya sido atacado con éxito.
¿Para qué se utiliza?
- Ganar visibilidad: observar actividad que los registros de los sistemas productivos quizá no describen con el mismo detalle.
- Entender técnicas: analizar secuencias de conexiones, autenticaciones y comandos recibidos.
- Mejorar la investigación: aportar fechas, sesiones y contexto para que un equipo de seguridad pueda priorizar y documentar una revisión.
- Evaluar telemetría: comprobar cómo llegan y se presentan ciertas señales en los procesos internos del equipo.
Tipos de honeypot
Honeypots de baja interacción
Simulan una parte acotada de un servicio. Suelen ser más sencillos de operar y limitar, aunque ofrecen una interacción menos profunda.
Honeypots de alta interacción
Proporcionan un entorno más cercano a un sistema real y pueden revelar más pasos de una intrusión. También exigen aislamiento, mantenimiento y supervisión más rigurosos.
El nivel de interacción adecuado depende del objetivo, el lugar de instalación, la tolerancia al riesgo y la capacidad de respuesta disponible.
Cómo se integra en una estrategia defensiva
Un honeypot funciona como una fuente adicional de observabilidad. La utilidad aumenta cuando la actividad se conserva con orden, se relaciona con su sensor y sede, y se revisa mediante un proceso de análisis definido.
Un despliegue debe decidir qué servicios simular, dónde ubicar el señuelo, qué datos registrar, cuánto tiempo conservarlos, quién puede consultarlos y qué procedimiento seguir ante una señal relevante.
Un honeypot no reemplaza un firewall, EDR, gestión de vulnerabilidades, copias de seguridad ni un plan de respuesta. Complementa las fuentes de información del equipo.
Límites y precauciones
- No todo atacante interactuará con un señuelo y algunos pueden reconocerlo.
- El ruido automatizado puede producir muchas señales; el contexto y la priorización siguen siendo necesarios.
- Un sensor mal aislado podría aumentar la superficie de riesgo. Su alcance de red debe definirse antes de activarlo.
- Los datos observados pueden incluir información personal o credenciales probadas. Hace falta limitar su acceso y definir una retención adecuada.
Por eso la instalación, conectividad y gestión de datos deben corresponderse con el entorno real de cada organización.
Qué nos dicen las cifras recientes
No hay un recuento único de todos los ataques. Los informes de ENISA, Verizon y Cloudflare miden incidentes analizados, brechas confirmadas o ataques DDoS mitigados con alcances diferentes. Para entender el panorama, cada cifra debe leerse junto a su periodo y método.
En el análisis de vías de acceso explicamos cómo se relacionan vulnerabilidades, credenciales, ingeniería social y servicios expuestos con lo que un sensor puede observar.
Cómo lo aborda Nattia Honeypot
Nattia Honeypot reúne sensores con Cowrie para SSH y Telnet y Heralding para otros servicios de autenticación, envía la telemetría firmada a una central y la organiza en sesiones que se pueden consultar por empresa y sede.
La interfaz incorpora acceso con 2FA, auditoría de acciones y enmascaramiento de credenciales para perfiles de cliente. El detalle de las capacidades está en la página de plataforma.