Tipos de honeypots

Los honeypots se clasifican principalmente de dos formas: por el nivel de interacción (cuánto puede hacer un atacante) y por su finalidad (investigación o producción). Elegir el tipo adecuado permite equilibrar la información obtenida con el riesgo y el esfuerzo.

Un honeypot de baja interacción emula solo unos pocos servicios y ofrece respuestas limitadas. Es económico, seguro y fácil de implementar, pero un atacante experto puede detectar rápidamente la emulación.

• Es adecuado para detectar análisis automatizados y gusanos.
• El riesgo de compromiso es mínimo.

Un honeypot de alta interacción es un sistema real o completamente simulado con el que el atacante puede interactuar en profundidad. Proporciona información detallada sobre herramientas y técnicas, pero conlleva un riesgo y un coste de mantenimiento mayores.

• Captura cadenas de ataque completas.
• Debe estar estrictamente contenido para evitar que se convierta en una plataforma de lanzamiento.

Algunos honeypots se sitúan en un punto intermedio: emulan un comportamiento más completo que los sistemas de baja interacción sin exponer un sistema operativo completo. Buscan ofrecer un mayor realismo y, al mismo tiempo, limitar el alcance de los daños si un atacante los fuerza al máximo.

Según su propósito:

• Los honeypots de producción se sitúan dentro del entorno activo para detectar y ralentizar ataques reales.
• Los honeypots de investigación se ejecutan para estudiar amenazas y recopilar inteligencia, a menudo por parte de investigadores de seguridad.

Los honeypots de baja interacción suelen emular servicios específicos.

• Un emulador de SSH/telnet registra los intentos de inicio de sesión y los comandos.
• Un servidor web falso registra los intentos de explotación.

Un honeypot de alta interacción puede ser una VM completa con un sistema operativo y aplicaciones reales, con una instrumentación exhaustiva y aislada de la red, para que los defensores puedan observar al atacante como si estuviera operando sobre un objetivo auténtico.

El nivel de interacción se corresponde directamente con el riesgo:

• Bajo: poco que aprender y poco que perder.
• Alto: datos abundantes, pero un sistema real que podría utilizarse indebidamente si falla la contención.

Elija el tipo que corresponda a sus conocimientos y a su tolerancia al riesgo.

Los atacantes buscan honeypots (comprueban los tiempos de respuesta, los archivos que faltan y las respuestas poco realistas). Los señuelos de baja interacción son más fáciles de identificar mediante fingerprinting; los de alta interacción son más difíciles de detectar, pero también más difíciles de mantener de forma convincente.

Cuanto mayor sea la interacción, más sólida deberá ser la contención:

• Segmentación de red, separada del entorno de producción.
• Control del tráfico saliente para impedir que el señuelo ataque a otros sistemas.
• Supervisión continua y snapshots para su análisis.

Elija en función de sus objetivos:

• ¿Necesita una detección amplia y económica? Honeypots de producción de baja interacción.
• ¿Necesita inteligencia de amenazas detallada y dispone de recursos? Honeypots de investigación de alta interacción.
• A menudo, una combinación ofrece amplitud y profundidad.

Relacione el nivel de interacción con el resultado.

Los honeypots varían según su interacción y propósito:

• Baja interacción: seguros, económicos y con una visión limitada.
• Alta interacción: datos abundantes, pero mayor riesgo y mantenimiento.
• Los honeypots de producción detectan; los de investigación estudian.
• Elija el tipo según sus objetivos, conocimientos y capacidad de contención.