Tecnología de engaño

La tecnología de engaño coloca activos, credenciales y datos falsos en una red para atraer a los atacantes y hacer que se revelen. Cualquier interacción con un señuelo es, por definición, sospechosa, porque los usuarios legítimos no tienen motivos para tocarlo.

Las defensas tradicionales intentan mantener fuera a los atacantes. El engaño parte de la premisa de que algunos lograrán entrar y pone el entorno en su contra:

• Los señuelos hacen perder tiempo y esfuerzo al atacante.
• Cada interacción genera una alerta de alta confianza.
• Los defensores aprenden las técnicas del atacante.

Un honeypot es un único sistema señuelo diseñado para ser explorado o atacado. No tiene ninguna función en producción, por lo que cualquier conexión indica reconocimiento o compromiso.

Una honeynet es una red de varios honeypots que imita un entorno realista, con servidores, servicios y tráfico. Permite estudiar el movimiento del atacante entre sistemas, no solo una interacción aislada.

Un honeytoken son datos falsos, no un sistema: una credencial ficticia, un registro señuelo de una base de datos o una clave de API rastreada. Si alguna vez se utiliza, sabrá que alguien accedió a datos que no debía consultar.

Los canary tokens son activadores integrados: un documento, una URL o un nombre DNS especiales que envían una señal a su origen cuando se abren. Colóquelos en carpetas confidenciales; un atacante que explore el recurso compartido activará la alarma.

La mayoría de las herramientas de seguridad inundan a los equipos con alertas y falsos positivos. El engaño invierte esta situación: casi no existe un motivo legítimo para interactuar con un señuelo, por lo que sus alertas tienen alta fidelidad y merecen investigarse.

Después de establecer una posición inicial, los atacantes se desplazan lateralmente para encontrar objetivos valiosos. Los señuelos colocados en las rutas probables (recursos compartidos de administración falsos y nombres de host atractivos) detectan este movimiento pronto, a menudo antes de que se alcancen los activos reales.

Los señuelos deben estar claramente separados de los sistemas reales para no interrumpir nunca la actividad empresarial, pero ser lo bastante realistas como para engañar a los atacantes. Un buen engaño se integra mediante los nombres y la ubicación, a la vez que permanece completamente aislado y monitorizado.

El engaño plantea varias cuestiones:

• La provocación delictiva generalmente no es una preocupación, ya que está defendiendo su propia red, pero atraer a los atacantes es un área gris en algunas jurisdicciones.
• No utilice nunca señuelos para contraatacar.
• Documente el programa e involucre al departamento jurídico.

El engaño es una capa de detección e inteligencia, no un sustituto de la prevención. Combínelo con firewalls, EDR y monitorización. Su fortaleza consiste en detectar a los atacantes que ya han evadido otros controles.

Identifique el concepto de engaño adecuado.

La tecnología de engaño pone la red en contra de los atacantes:

• Los honeypots son sistemas señuelo; las honeynets son redes señuelo.
• Los honeytokens y los canary tokens son datos señuelo que generan alertas cuando se tocan.
• La interacción con los señuelos produce alertas de alta fidelidad.
• Utilice el engaño como una capa de detección junto con la prevención.