Nemá produkčný účel, ktorý by takúto aktivitu bežne ospravedlňoval, takže kontakt môže poskytnúť vysokosignálnu stopu na vyšetrovanie. Honeypoty môžu tiež pomôcť obráncom študovať techniky, validovať viditeľnosť alebo odvádzať pozornosť od skutočných aktív.
Návrhy siahajú od simulácií s nízkou interakciou malého počtu služieb po izolované prostredia umožňujúce realistickejšiu aktivitu. Ich hodnota závisí od verosimilného umiestnenia, spoľahlivej telemetrie, kontrolovanej expozície a procesu reakcie. K honeypotu treba pristupovať ako k potenciálne nepriateľskej infraštruktúre od momentu, keď s ním iná strana interaguje.
Kľúčové body
Obranná rolaPoužívať pozorovania na vyšetrovanie rekonanačného prieskumu, pokusov o prístup, nástrojov alebo vzorov pohybu a na zlepšenie detekcií a modelov hrozieb.
Bezpečný návrhIzolovať návnadu od produkcie, obmedziť odchádzajúcu aktivitu a oprávnenia, vylúčiť skutočné tajomstvá a osobné údaje a definovať vlastníctvo, uchovávanie a procedúry vypnutia.
OperácieMonitorovať zdravie senzora, synchronizáciu času, očakávanú pozadnú prevádzku, drift konfigurácie a doručovanie upozornení; dokumentovať, ktoré interakcie návrh môže a nemôže pozorovať.
Dôležité obmedzenieSpojenie môže pochádzať z automatizovaného skenovania, výskumu alebo chyby namiesto cieleného útoku. Interakcia neustanovuje identitu aktéra, zámer ani širšiu kompromitáciu, zatiaľ čo žiadna interakcia nedokazuje, že prostredie je bezpečné.