Attirare per rilevare
Un honeypot è un sistema che simula un servizio reale (server, database, applicazione web) con l'unico scopo di attirare gli attaccanti. Qualsiasi interazione con un honeypot è per definizione malevola — nessun utente legittimo dovrebbe mai toccarlo. Questo lo rende lo strumento con il tasso di falsi positivi più basso possibile: zero.
Perché funzionano
La difesa tradizionale è reattiva: aspetta che qualcosa di brutto succeda e poi reagisce. Gli honeypot ribaltano il paradigma:
- Rilevamento precoce: un attaccante che esplora la rete toccherà l'honeypot prima di trovare i sistemi reali
- Zero falsi positivi: ogni alert è un vero incidente. Non c'è alert fatigue.
- Intelligence: ogni interazione rivela le tecniche, gli strumenti e gli obiettivi dell'attaccante
- Deterrenza: se un attaccante scopre honeypot nella rete, sa di essere monitorato. Spesso abbandona l'attacco.
Tipi di honeypot per PMI
- Honeypot di rete: simulano server SSH, RDP, SMB, HTTP. Rilevano scansioni e tentativi di accesso.
- Honey tokens: file esca (fake credentials, documenti con tracking). Se qualcuno li apre, scatta l'allarme.
- Honey users: account falsi in Active Directory. Qualsiasi tentativo di login è un indicatore di compromissione.
- Honey databases: database con dati fittizi ma credibili. Rilevano data exfiltration in corso.
Implementazione pratica
Implementare honeypot non richiede budget enterprise. Soluzioni open source:
- T-Pot: piattaforma completa con 20+ honeypot integrati, dashboard Kibana, threat intelligence. Gratuita.
- OpenCanary: honeypot leggero e configurabile. Perfetto per PMI, gira su un Raspberry Pi.
- HoneyDB: honeypot con condivisione community degli IoC raccolti.
Dove posizionare gli honeypot
Il posizionamento è cruciale per l'efficacia:
- Segmento server: un falso file server o database server nella stessa VLAN dei server reali
- DMZ: servizi esposti che attraggano scanning automatizzati
- Rete utenti: honey tokens nei file share per rilevare ransomware o insider threat
- Cloud: istanze honeypot nei vostri ambienti cloud per rilevare compromissioni
ROI concreto
Un'installazione di honeypot per una PMI costa: 0€ in licenze (open source), 2-4 ore di setup, 1 macchina virtuale o container. Rileva intrusioni che SIEM e antivirus non vedono, con zero alert da gestire in assenza di minacce reali. È forse l'investimento con il miglior rapporto costo/efficacia in tutta la cybersecurity.