Introducción
En un panorama de amenazas cada vez más sofisticadas, los honeypots y las técnicas de deception se han consolidado como controles estratégicos para detectar intrusiones, aumentar el coste operacional del atacante y generar inteligencia de amenazas (IOC, TTP). Estas tecnologías permiten desviar la actividad maliciosa hacia entornos controlados y enriquecer la respuesta a incidentes.
Modelo de amenazas y objetivos
Objetivos principales
- Detectar movimientos laterales que evaden controles tradicionales.
- Aumentar el coste y complejidad para el adversario.
- Generar inteligencia accionable para SIEM, EDR y CSIRT.
- Proteger activos críticos desviando ataques hacia recursos falsos.
Supuestos del adversario
- Reconocimiento y explotación automatizada o dirigida.
- Uso de botnets, escáneres y persistencia.
- No todos interactuarán con honeypots, pero la deception aumenta la probabilidad.
Tipos de honeypots y deception
- Baja interacción: emulan servicios limitados (detección temprana de escaneos).
- Alta interacción: entornos reales para extraer TTP detallados.
- Honeynets: redes completas que simulan una organización.
- Honeytokens: credenciales falsas, documentos trampa, API keys.
- Breadcrumbs: pistas falsas en sistemas reales.
- Plataformas de orquestación: comerciales y open-source para gestión y telemetría.
Arquitectura y despliegue
Principios de diseño
- Segregación: honeypots aislados de la red productiva.
- Observabilidad: logs, capturas de red y metadatos centralizados.
- Minimización de riesgo: evitar pivotes hacia entornos reales.
- Realismo: artefactos creíbles en nombres, servicios y usuarios.
Patrones comunes
- Externos: expuestos a internet para capturar escáneres y botnets.
- Internos: detectar movimiento lateral e insiders.
- Cloud-native: instancias falsas en AWS, Azure o GCP.
Integración con detección y respuesta
- Telemetría clave: conexiones, pcap, comandos ejecutados, artefactos exfiltrados.
- Casos de uso:
- Enriquecimiento de alertas SIEM.
- Automatización de containment con SOAR.
- Generación de IOCs y TTPs para threat intel.
Gestión de falsos positivos
- Priorización por nivel de interacción.
- Listas de confianza para escaneos autorizados.
- Contextualización con metadata (ASN, geolocalización, historial IP).
- Scoring combinado con anomalías en endpoints y logs.
Playbook de respuesta a incidentes
- Detección y contención: validar interacciones, capturar evidencias, bloquear accesos.
- Investigación forense: analizar comandos, herramientas, correlación con entornos reales.
- Remediación y aprendizaje: aplicar parches, actualizar reglas, compartir IOCs.
Métricas e indicadores
- Número de interacciones por periodo.
- Tiempo medio hasta detección (MTTD).
- Porcentaje de interacciones con acciones de respuesta.
- IOCs generados y reutilizados en detección.
Guía práctica de implementación
- Identificar activos críticos y definir alcance (internet, interno, cloud).
- Seleccionar herramientas (Cowrie, Dionaea, MHN, Canarytokens, etc.).
- Diseñar red aislada y gateways de monitoreo.
- Desplegar piloto con baja y alta interacción.
- Integrar con SIEM/EDR/SOAR y probar playbooks.
- Establecer gobernanza, responsabilidades y mantenimiento.
Consideraciones legales y riesgos
- Cumplimiento de normativa sobre interceptación y privacidad.
- Evitar recopilar datos personales reales en honeypots.
- Riesgos a gestionar: pivoting, fingerprinting de honeypots, sobrecarga operativa.
Herramientas recomendadas
- Open-source: Cowrie, Dionaea, MHN, Canarytokens.
- Comerciales: plataformas de deception con orquestación avanzada.
- Marcos de referencia: NIST, MITRE ATT&CK para mapear técnicas observadas.
Conclusión
Las defensas basadas en honeypots y deception no sustituyen a controles tradicionales, pero los complementan al ofrecer detección temprana, generación de inteligencia y aumento del coste para el atacante. Su implementación debe ser estratégica, escalable y alineada con marcos legales y de privacidad, convirtiéndose en un componente clave de la ciberresiliencia moderna.