Nemá produkční účel, který by takovou aktivitu normálně ospravedlňoval, takže kontakt může poskytnout vysoce signální vodítko pro vyšetřování. Honeypoty mohou také pomoci obráncům studovat techniky, validovat viditelnost nebo odklánět pozornost od skutečných aktiv.
Návrhy sahají od low-interaction simulací malého počtu služeb po izolovaná prostředí umožňující realističtější aktivitu. Jejich hodnota závisí na uvěřitelném umístění, spolehlivé telemetrii, řízené expozici a procesu reakce. Honeypot by měl být považován za potenciálně nepřátelskou infrastrukturu, jakmile s ním jiná strana interaguje.
Klíčové body
Obranná rolePoužívejte pozorování k vyšetřování průzkumu, pokusů o přístup, nástrojů či vzorů pohybu a ke zlepšování detekcí a modelů hrozeb.
Bezpečný návrhIzolujte návnadu od produkce, omezte odchozí aktivitu a oprávnění, vyloučte skutečná tajné údaje a osobní data a definujte vlastnictví, uchovávání a postupy vypnutí.
OperaceMonitorujte zdraví senzorů, synchronizaci času, očekávaný pozadní provoz, drift konfigurace a doručování výstrah; dokumentujte, které interakce návrh může a nemůže pozorovat.
Důležité omezeníSpojení může pocházet z automatizovaného skenování, výzkumu či chyby spíše než cíleného útoku. Interakce nezakládá identitu aktéra, záměr či širší kompromitaci, zatímco žádná interakce nedokazuje, že prostředí je bezpečné.