Oltre l'honeypot: la deception platform
Se un honeypot è una trappola singola, una deception platform è un campo minato digitale. Dissemina decine di esche credibili nella vostra rete — falsi server, credenziali esca, documenti tracciabili, servizi simulati — creando un ambiente dove l'attaccante non può muoversi senza far scattare un allarme.
Il problema dell'alert fatigue
Un SIEM medio genera 11.000 alert al giorno (Ponemon Institute 2025). I team SOC riescono a investigare il 56% degli alert. Di quelli investigati, il 44% risulta un falso positivo. Il risultato: gli analisti sviluppano "alert fatigue" e gli alert reali vengono ignorati. È così che il dwell time medio resta a 197 giorni — quasi 7 mesi di presenza dell'attaccante nella rete senza essere scoperto.
Perché la deception elimina il problema
Ogni alert generato da una deception platform è per definizione un vero positivo. Nessun utente o processo legittimo interagisce con le esche. Questo significa:
- Zero falsi positivi: ogni alert merita attenzione immediata
- Rilevamento precoce: durante la fase di ricognizione, prima dell'impatto
- Contesto ricco: l'esca cattura TTP, strumenti, credenziali dell'attaccante
- Dwell time ridotto: da mesi a ore
Componenti di una deception platform moderna
- Decoy server: macchine virtuali o container che simulano server reali con servizi credibili
- Breadcrumb: tracce false posizionate sui sistemi reali che guidano l'attaccante verso le esche
- Honey credentials: credenziali esca iniettate nella memoria dei sistemi o in file di configurazione
- Honey data: database con dati realistici ma fittizi, con tracciamento dell'esfiltrazione
- Network deception: risposte false a scansioni di rete che mostrano servizi inesistenti
MITRE ATT&CK coverage
La deception technology copre fasi del MITRE ATT&CK framework che altre soluzioni faticano a rilevare:
- Discovery (TA0007): l'attaccante esplora la rete e trova le esche
- Credential Access (TA0006): trova e usa honey credentials
- Lateral Movement (TA0008): si muove verso i decoy server
- Collection (TA0009): raccoglie honey data
- Exfiltration (TA0010): tenta di esfiltrare dati tracciati
Accessibile anche per le PMI
La deception technology non è più solo enterprise. Piattaforme open source come T-Pot e architetture containerizzate permettono deployment completi con costi minimi. Una PMI può avere 10+ esche attive nella rete con una singola macchina virtuale e qualche ora di configurazione. Il costo dell'infrastruttura è trascurabile; il valore in termini di rilevamento è inestimabile.