Monitoring tego artefaktu może ujawniać podejrzane odkrywanie, kopiowanie, przenoszenie lub próby uwierzytelniania przy relatywnie małej oczekiwanej aktywności tła. Przykłady to wabiki w postaci rekordów, kluczy dostępu, poświadczeń użytkowników, linków lub oznaczonych dokumentów — pod warunkiem że nie przyznają żadnych prawdziwych uprawnień produkcyjnych.
Każdy token powinien być unikalnie przypisywalny do lokalizacji i właściciela, by alert miał użyteczny kontekst. Wykrycie może pochodzić z logowania dostępu, próby logowania, oddzwonienia lub odkrycia tokenu poza jego zamierzonym umiejscowieniem. Wynikające zdarzenie jest tropem dochodzeniowym, a nie automatycznym wnioskiem incydentowym.
Najważniejsze punkty
UmiejscowienieUmieszczaj tokeny na zatwierdzonych systemach i ścieżkach, gdzie nieautoryzowany dostęp byłby znaczący, uwzględniając legalne indeksowanie, backupy, testowanie, synchronizację i narzędzia bezpieczeństwa.
Cykl życiaRejestruj cel tokenu, lokalizację, daty utworzenia i wygaśnięcia, oczekiwany wyzwalacz, właściciela reakcji i proces usunięcia; testuj routing alertów bez eksponowania prawdziwego sekretu.
Kontrole ryzykaZapobiegaj, by artefakt przyznawał dostęp produkcyjny lub umożliwiał szkodliwą aktywność, minimalizuj zbierane dane i przeglądaj implikacje prywatności, pracownicze, kontraktowe i stron trzecich.
Istotne ograniczenieŁagodna automatyzacja lub błędne obchodzenie się może wyzwolić honeytoken, a atakujący może go ominąć, rozpoznać lub skopiować bez produkowania oczekiwanego sygnału. Wyzwolenie nie dowodzi atrybucji ani zakresu, a cisza nie dowodzi braku kompromitacji.