Monitorizarea acelui artefact poate revela descoperire, copiere, mișcare sau încercare de autentificare suspectă, cu relativ puțină activitate de fundal așteptată. Exemplele includ înregistrări momeală, chei de acces, credențiale de utilizator, linkuri sau documente marcate, cu condiția să nu acorde vreun privilegiu real de producție.
Fiecare token ar trebui să fie atribuibil unic unei locații și unui proprietar, astfel încât o alertă să aibă context util. Detecția poate proveni din jurnalizarea accesului, o încercare de autentificare, un callback sau descoperirea tokenului în afara amplasării intenționate. Evenimentul rezultat este o pistă de investigare, nu o concluzie automată de incident.
Puncte esențiale
AmplasarePuneți tokenuri pe sisteme și căi aprobate unde accesul neautorizat ar fi semnificativ, ținând cont de indexarea, backupul, testarea, sincronizarea și instrumentele de securitate legitime.
Ciclu de viațăÎnregistrați scopul tokenului, locația, datele de creare și expirare, declanșatorul așteptat, proprietarul de răspuns și procesul de eliminare; testați rutarea alertelor fără a expune un secret real.
Controale de riscPreveniți ca artefactul să acorde acces de producție sau să permită activitate dăunătoare, minimizați datele colectate și revizuiți implicațiile de confidențialitate, muncă, contractuale și pentru terți.
Limitare importantăAutomatizarea benignă sau manipularea greșită poate declanșa un honeytoken, în timp ce un atacator îl poate evita, recunoaște sau copia fără a produce semnalul așteptat. O declanșare nu dovedește atribuirea sau amploarea, iar tăcerea nu dovedește absența compromiterii.