Estimados amigos de Inseguros !!!
Los honeypots en ciberseguridad son la única detección que no te va a dar un falso positivo.
Y lo digo en serio, sin adornos. Tu SIEM detecta lo que sabe buscar. Tu EDR detecta lo que reconoce. Tu regla de correlación detecta lo que alguien programó que detectara.
Un honeypot detecta otra cosa: detecta que alguien ha tocado algo que nadie tenía por qué tocar.
Y esa diferencia lo cambia todo.
Qué es un honeypot y por qué no falla
Una regla de detección normal dice: «alguien ha hecho X, y X a veces es malo». Por eso tienes que ajustarla, por eso genera ruido, por eso tu equipo se quema revisando alertas que resultan ser el backup nocturno.
Un señuelo dice otra cosa: «alguien ha hecho X, y X nunca es legítimo».
Un usuario normal no enumera comparticiones que no existen en su día a día. No abre un fichero llamado credenciales_admin.xlsx que está en una carpeta que nadie usa desde hace tres años. No intenta autenticarse contra un servicio que no aparece en ningún procedimiento.
Si alguien lo hace, es que está buscando. Y buscar es lo que hace un atacante cuando ya está dentro.
Por eso la relación señal/ruido de un honeypot bien puesto es prácticamente perfecta. No hay que ajustar nada: si suena, pasa algo.
Honeypot y decepción no son lo mismo
Aquí conviene afinar, porque se confunde a menudo.
Un honeypot clásico es un sistema completo puesto ahí para ser atacado, normalmente para estudiar comportamiento del adversario y recoger sus TTP´s.
La decepción es otra cosa, y en empresa es bastante más rentable: consiste en sembrar tu entorno real de artefactos falsos —credenciales, ficheros, entradas de DNS, cuentas— cuyo único propósito es sonar cuando alguien los toque.
No necesitas montar una infraestructura paralela. Necesitas colocar migas de pan envenenadas dentro de la que ya tienes.
Y eso lo puede hacer una empresa de cincuenta personas sin equipo de seguridad dedicado.
Los señuelos que de verdad funcionan en empresa
Voy a contarte los que más rendimiento dan, que son los que trabajamos en el curso.
Cuentas señuelo en Active Directory
La más barata y la más rentable. Creas una cuenta con pinta apetecible —nombre de servicio, descripción jugosa, apariencia de privilegio— y no la usas jamás.
Cualquier intento de autenticación contra ella es reconocimiento por definición. Si además la dejas con configuraciones que la hagan atractiva para técnicas concretas, cazas al atacante justo en la fase de descubrimiento, que es la más temprana en la que puedes cogerle.
Dos avisos de mi propia experiencia: no le des privilegios reales «para que sea creíble», que parezca importante no es lo mismo que serlo. Y documenta que existe, o el próximo que audite tu dominio te abrirá un hallazgo por cuenta huérfana… y tendrá razón 🙂
Canary tokens en ficheros y carpetas
Un canary token es un artefacto que llama a casa al ser abierto. Un documento de Word con un recurso remoto incrustado, una carpeta que dispara una consulta DNS al listarse, un fichero de configuración con credenciales falsas.
Los colocas donde un atacante rebuscaría credenciales: comparticiones de IT, escritorios de servidores, carpetas de administración, repositorios internos.
En Canarytokens tienes una versión gratuita para probar el concepto esta misma tarde. En el curso vamos más allá: generarlos tú, integrarlos con tu propia monitorización y no depender de un servicio externo.
Credenciales falsas en memoria
Este es mi favorito, y el que más sorprende a la gente en clase.
Se trata de sembrar credenciales que no existen en los sitios donde un atacante las busca cuando ya ha conseguido ejecución: secretos de servicios, memoria del proceso de autenticación de Windows.
Un usuario legítimo jamás va a ver esas credenciales. Solo aparecen si alguien está volcando memoria o extrayendo secretos.
Y entonces pasa lo bonito: el atacante las usa. Y en el momento exacto en que intenta autenticarse con una credencial que no existe en tu directorio, tú lo sabes. Lo has cogido en el salto de acceso inicial a escalada de privilegios, que es donde todavía puedes pararlo.
Servicios y protocolos como trampa
Los honeyports son puertos que no deberían recibir conexiones nunca. Si alguien los toca, está escaneando tu red interna.
El envenenamiento de LLMNR es de las primerísimas cosas que hace un atacante al caer en una red Windows. Un señuelo ahí lo caza en los primeros minutos.
Un servicio de escritorio remoto expuesto que solo existe para registrar quién intenta entrar. Un sitio clonado que detecta a quien está preparando una campaña contra ti.
Y en cloud, señuelos dentro del propio directorio de identidad, porque el reconocimiento del tenant es hoy tan habitual como el del dominio local.
Lo que un honeypot no hace
Y aquí viene la parte honesta, que si no me la cuentas tú te la cuento yo.
Un honeypot no protege nada. Detecta.
Si tu dominio está mal configurado, un señuelo no lo arregla: te avisa mientras te lo comprometen. Es una capa de detección temprana, no un control preventivo. Va encima del hardening, nunca en lugar de él.
Y necesita monitorización detrás. Un canary token que nadie escucha es un fichero raro en una carpeta. Por eso en el curso montamos el stack de logging y monitorización con ELK antes de sembrar nada: primero el oído, después la trampa. Si te interesa esa parte por separado, la tienes en el Curso de ELK para SOC.
Y hay que pensar en OPSEC. Un señuelo evidente no engaña a nadie. Nombres coherentes con tu nomenclatura, fechas de creación creíbles, ubicación lógica. Un fichero llamado HONEYPOT_NO_TOCAR.txt no ha cazado nunca a nadie.
Por dónde empezar mañana
Si solo vas a hacer una cosa: crea una cuenta señuelo en tu dominio, con nombre creíble, sin privilegios, y monta una alerta ante cualquier intento de autenticación con ella.
Es media hora de trabajo y es la detección con mejor relación coste/beneficio que vas a implantar este año.
A partir de ahí, la escalera es: ficheros y carpetas trampa, credenciales falsas en memoria, señuelos de red y automatización para desplegarlo a escala sin ir máquina por máquina.
Y aquí es donde te cuento lo del curso
Todo lo que has leído lo trabajamos paso a paso, montado y funcionando, en el Curso de Especialista en Honeypots y Sistemas de Decepción.
Son 36 lecciones: la base de honeypots y decepción, el stack de monitorización con ELK para recoger las señales, OPSEC para que tus trampas sean creíbles, y después el catálogo completo de señuelos —honeyports, canary tokens, ficheros y carpetas, DNS, secretos de servicios, credenciales en memoria, LLMNR, escritorio remoto, sitios clonados y señuelos en el portal de identidad cloud.
Y la parte que suele faltar en todo lo que se publica sobre esto: la automatización. Sembrar un señuelo a mano en un servidor es un experimento. Desplegarlos de forma repetible en toda tu infraestructura, y filtrar los eventos con precisión para que la alerta llegue limpia, es tener una capacidad de detección de verdad.
Se practica con herramientas ofensivas reales contra tus propias trampas, porque la única forma de saber si un señuelo funciona es intentar saltárselo.
Está incluido en la Membresía y en el Programa Pro+, así que si ya eres miembro lo tienes disponible ahora mismo.
Y si te estás preguntando dónde encaja esto: los honeypots brillan especialmente dentro de un dominio Windows, porque es donde el atacante tiene que moverse a ciegas y donde más migas de pan puedes dejarle. Si quieres además cerrar las rutas que descubran tus trampas, eso es el Curso de Seguridad en Active Directory.
Más información: Curso de Especialista en Honeypots y Sistemas de Decepción
Espero que os guste, que lo montéis.
Gracias por leerme !!!
