Nie ma produkcyjnego przeznaczenia, które normalnie uzasadniałoby taką aktywność, więc kontakt może dostarczyć wysokosygnałowego tropu dochodzeniowego. Honeypoty mogą też pomagać obrońcom studiować techniki, walidować widoczność lub odciągać uwagę od prawdziwych zasobów.
Projekty sięgają od niskointeraktywnych symulacji niewielkiej liczby usług po izolowane środowiska pozwalające na bardziej realistyczną aktywność. Ich wartość zależy od wiarygodnego umiejscowienia, wiarygodnej telemetrii, kontrolowanej ekspozycji i procesu reakcji. Honeypot powinien być traktowany jako potencjalnie wrogie otoczenie, gdy tylko inna strona wejdzie z nim w interakcję.
Najważniejsze punkty
Rola obronnaUżywaj obserwacji do badania rekonesansu, prób dostępu, narzędzi lub wzorców ruchu oraz do ulepszania detekcji i modeli zagrożeń.
Bezpieczne projektowanieIzoluj przynętę od produkcji, ograniczaj aktywność wychodzącą i uprawnienia, wykluczaj prawdziwe sekrety i dane osobowe oraz definiuj własność, retencję i procedury wyłączania.
OperacjeMonitoruj kondycję czujnika, synchronizację czasu, oczekiwany ruch tła, dryf konfiguracji i dostarczanie alertów; dokumentuj, które interakcje projekt może, a których nie może obserwować.
Istotne ograniczeniePołączenie może pochodzić z automatycznego skanowania, badań lub błędu, a nie z ukierunkowanego ataku. Interakcja nie ustala tożsamości aktora, zamiaru ani szerszej kompromitacji, a brak interakcji nie dowodzi, że środowisko jest bezpieczne.