Przykłady to systemy, usługi, poświadczenia, rekordy, pliki lub linki-wabiki, których legalni użytkownicy i procesy produkcyjne nie powinni potrzebować. Interakcja może ujawnić zachowanie przeciwnika lub luki obronne.
Program decepcyjny zaczyna się od celów i modelowania zagrożeń, a nie od kategorii produktu. Projektanci decydują, kto może się z nim spotkać, co powinien wywołać, jak jest ograniczany, jakie dowody są zbierane i jak osoby reagujące działają.
Najważniejsze punkty
ProjektowanieCzyń przynęty wiarygodnymi, odróżniaj je od produkcji, ograniczaj ich uprawnienia i dane oraz zapobiegaj, by stały się infrastrukturą ataku.
OperacjeMonitoruj interakcję i kondycję, chroń ścieżki zarządcze, dokumentuj własność, testuj przepływy reakcji, rotuj artefakty i bezpiecznie wycofuj nieaktualne pułapki.
ZarządzanieZdefiniuj autoryzację, cel zbierania, zasady retencji i dostępu, wymagane powiadomienie, przegląd prawny, prywatności i bezpieczeństwa oraz reguły eskalacji przed wdrożeniem.
Istotne ograniczenieAlert decepcyjny nie jest automatycznie dowodem zewnętrznego atakującego, a cisza nie dowodzi braku kompromitacji. Błędna konfiguracja, skanery, osoby z wewnątrz lub legalna automatyzacja mogą wyzwalać przynęty; wyrafinowani przeciwnicy mogą je rozpoznać, ominąć lub nadużyć.