Monitorování tohoto artefaktu může odhalit podezřelé objevování, kopírování, pohyb nebo pokus o autentizaci s relativně málo očekávanou pozadní aktivitou. Příklady zahrnují návnadové záznamy, přístupové klíče, uživatelské přihlašovací údaje, odkazy či označené dokumenty, za podmínky že neudělují skutečné produkční oprávnění.
Každý token by měl být jedinečně připisovatelný umístění a vlastníkovi, aby výstraha měla užitečný kontext. Detekce může přijít z logování přístupu, pokusu o přihlášení, zpětného volání nebo objevení tokenu mimo jeho zamýšlené umístění. Výsledná událost je vyšetřovací vodítko, nikoli automatický závěr incidentu.
Klíčové body
UmístěníUmisťujte tokeny na schválené systémy a cesty, kde by neoprávněný přístup byl smysluplný, při zohlednění legitimního indexování, zálohování, testování, synchronizace a bezpečnostních nástrojů.
Životní cyklusZaznamenejte účel tokenu, umístění, data vytvoření a expirace, očekávaný spouštěč, vlastníka reakce a proces odstranění; testujte směrování výstrah bez odhalení skutečného tajné údaje.
Kontroly rizikaZabraňte artefaktu udělovat produkční přístup či umožňovat škodlivou aktivitu, minimalizujte sesbíraná data a přezkoumejte implikace pro soukromí, zaměstnání, smlouvy a třetí strany.
Důležité omezeníBenigní automatizace či špatné nakládání mohou honeytoken spustit, zatímco útočník se mu může vyhnout, rozpoznat jej či zkopírovat bez produkce očekávaného signálu. Spuštění nedokazuje atribuci či rozsah a ticho nedokazuje absenci kompromitace.