Nincs olyan éles célja, amely normál esetben indokolná az ilyen tevékenységet, ezért az érintkezés erős jelzésű vizsgálati nyomot adhat. A honeypotok segíthetnek a védekezőknek technikákat tanulmányozni, láthatóságot validálni vagy elterelni a figyelmet a valódi eszközökről.
A megvalósítások néhány szolgáltatás alacsonyinterakciós szimulációjától az izolált környezetekig terjednek, amelyek valósághűbb tevékenységet engednek. Értékük a hihető elhelyezéstől, a megbízható telemetriától, a kontrollált expozíciótól és a reagálási folyamattól függ. A honeypotot potenciálisan ellenséges infrastruktúraként kell kezelni, miután egy másik fél interakcióba lépett vele.
Legfontosabb pontok
Védelmi szerepA megfigyeléseket felderítés, megkísérelt hozzáférés, eszközhasználat vagy mozgási minták vizsgálatára, valamint a észlelésok és fenyegetésmodellek javítására kell használni.
Biztonságos kialakításA csalit el kell szigetelni az élestől, korlátozni kell a kifelé irányuló tevékenységet és a jogosultságokat, ki kell zárni a valódi titkokat és személyes adatokat, és meg kell határozni a tulajdonlást, a megőrzést és a leállítási eljárásokat.
MűveletekA szenzoregészség, az időszinkron, a várt háttérforgalom, a konfigurációs drift és a riasztáskézbesítés monitorozása; dokumentálni kell, mely interakciókat tudja és nem tudja megfigyelni a kialakítás.
Fontos korlátA kapcsolat automatizált szkennelésből, kutatásból vagy hibából is származhat, nem célzott támadásból. Az interakció nem állapítja meg a szereplő kilétét, szándékát vagy a tágabb kompromittálódást, az interakció hiánya pedig nem bizonyítja a környezet biztonságát.