Oltre l'honeypot: la deception platform
Se un honeypot è una trappola singola, una deception platform è un campo minato digitale. Dissemina decine di esche credibili nella vostra rete (falsi server, credenziali esca, documenti tracciabili, servizi simulati), creando un ambiente dove l'attaccante non può muoversi senza far scattare un allarme. La piattaforma Mirage è costruita esattamente su questo principio.
Il problema dell'alert fatigue
I team di security operations ricevono in media oltre 11.000 alert al giorno (Forrester Consulting per Palo Alto Networks, 2020). La ricerca State of the SOC: Unify Now or Pay Later, condotta da Omdia per Microsoft su 300 professionisti SOC, stima che il 46% degli alert sia un falso positivo e che il 42% non venga mai investigato. Il risultato: gli analisti sviluppano "alert fatigue" e gli alert reali vengono ignorati. E quando il rilevamento fallisce, l'attaccante resta dentro a lungo: M-Trends 2026 di Mandiant misura un dwell time mediano globale di 14 giorni, in aumento rispetto agli 11 dell'anno precedente, ma la mediana sale a 122 giorni per gli incidenti di cyber espionage e per i casi di finti lavoratori IT nordcoreani.
Perché la deception elimina il problema
Un alert generato da una deception platform ha un'affidabilità che nessun altro controllo di rilevamento raggiunge: nessun utente ha motivo di interagire con un'esca. Le eccezioni esistono e sono note (scanner di vulnerabilità, tool di asset discovery, penetration test autorizzati) e si governano in fase di posizionamento dei decoy. Questo significa:
- Rumore quasi nullo: ogni alert merita attenzione immediata
- Rilevamento precoce: durante la fase di ricognizione, prima dell'impatto
- Contesto ricco: l'esca cattura TTP, strumenti, credenziali dell'attaccante
- Dwell time ridotto: da mesi a ore
Componenti di una deception platform moderna
- Decoy server: macchine virtuali o container che simulano server reali con servizi credibili
- Breadcrumb: tracce false posizionate sui sistemi reali che guidano l'attaccante verso le esche
- Honey credentials: credenziali esca iniettate nella memoria dei sistemi o in file di configurazione
- Honey data: database con dati realistici ma fittizi, con tracciamento dell'esfiltrazione
- Network deception: risposte false a scansioni di rete che mostrano servizi inesistenti
Partire dagli honeypot: tipi e posizionamento
I decoy più usati, dal più semplice al più specifico:
- Honeypot di rete: simulano server SSH, RDP, SMB, HTTP. Rilevano scansioni e tentativi di accesso.
- Honey tokens: file esca (fake credentials, documenti con tracking). Se qualcuno li apre, scatta l'allarme.
- Honey users: account falsi in Active Directory. Qualsiasi tentativo di login è un indicatore di compromissione.
- Honey databases: database con dati fittizi ma credibili. Rilevano data exfiltration in corso.
Il posizionamento è cruciale per l'efficacia:
- Segmento server: un falso file server o database server nella stessa VLAN dei server reali
- DMZ: servizi esposti che attraggano scanning automatizzati
- Rete utenti: honey tokens nei file share per rilevare ransomware o insider threat
- Cloud: istanze honeypot nei vostri ambienti cloud per rilevare compromissioni
Strumenti open source per iniziare
Implementare honeypot non richiede budget enterprise. Soluzioni open source:
- T-Pot: piattaforma completa con 20+ honeypot integrati, dashboard Kibana, threat intelligence. Gratuita.
- OpenCanary: honeypot leggero e configurabile. Perfetto per PMI, gira su un Raspberry Pi.
- HoneyDB: honeypot con condivisione community degli IoC raccolti.
MITRE ATT&CK coverage
La deception technology copre fasi del MITRE ATT&CK framework che altre soluzioni faticano a rilevare:
- Discovery (TA0007): l'attaccante esplora la rete e trova le esche
- Credential Access (TA0006): trova e usa honey credentials
- Lateral Movement (TA0008): si muove verso i decoy server
- Collection (TA0009): raccoglie honey data
- Exfiltration (TA0010): tenta di esfiltrare dati tracciati
Accessibile anche per le PMI
La deception technology non è più solo enterprise. Mirage utilizza architetture containerizzate che permettono deployment completi con costi minimi. Una PMI può avere 10+ esche attive nella rete con una singola macchina virtuale e qualche ora di configurazione. Integrata con Presidio XDR, ogni interazione con un'esca attiva automaticamente i playbook di risposta. Il costo dell'infrastruttura è trascurabile; il valore in termini di rilevamento è inestimabile.