Nu are un scop de producție care să justifice în mod normal o astfel de activitate, așa că contactul poate oferi o pistă cu semnal ridicat pentru investigare. Honeypot-urile pot ajuta și apărătorii să studieze tehnici, să valideze vizibilitatea sau să devieze atenția de la active reale.
Designurile variază de la simulări cu interacțiune scăzută a unui număr mic de servicii la medii izolate care permit activitate mai realistă. Valoarea lor depinde de amplasarea credibilă, telemetria fiabilă, expunerea controlată și un proces de răspuns. Un honeypot ar trebui tratat ca infrastructură potențial ostilă odată ce altă parte interacționează cu el.
Puncte esențiale
Rol defensivFolosiți observațiile pentru a investiga recunoașterea, încercările de acces, instrumentele sau tiparele de mișcare și pentru a îmbunătăți detecțiile și modelele de amenințări.
Proiectare sigurăIzolați momeala de producție, restricționați activitatea de ieșire și privilegiile, excludeți secretele reale și datele personale și definiți proprietatea, retenția și procedurile de oprire.
OperațiuniMonitorizați sănătatea senzorului, sincronizarea timpului, traficul de fundal așteptat, deriva de configurație și livrarea alertelor; documentați ce interacțiuni poate și nu poate observa designul.
Limitare importantăO conexiune poate proveni din scanare automată, cercetare sau o eroare, nu dintr-un atac țintit. Interacțiunea nu stabilește identitatea actorului, intenția sau compromiterea mai largă, iar lipsa interacțiunii nu dovedește că mediul este sigur.