Honeypots & Deception

Los honeypots son sistemas sin finalidad productiva cuya única misión es ser atacados; por tanto, cada interacción es, por definición, cuando menos sospechosa. Los honeypots de baja interacción emulan servicios o protocolos individuales solo de forma superficial; consumen pocos recursos, se despliegan con rapidez y suponen poco riesgo, pero ofrecen información limitada y los atacantes los identifican con mayor facilidad como señuelos. Los honeypots de alta interacción proporcionan sistemas operativos y aplicaciones reales y permiten análisis profundos de las herramientas y los modos de proceder, a costa de un esfuerzo de operación y de protección considerablemente mayor. En su estudio de referencia, ENISA evaluó 30 soluciones de honeypots siguiendo exactamente esta taxonomía, incluyendo variantes tanto del lado del servidor como del cliente.

Los honeytokens trasladan el principio del señuelo de los sistemas a los datos y las credenciales: claves API preparadas, documentos, registros de bases de datos, nombres DNS o direcciones de correo electrónico que nadie utiliza en la operación habitual. Si se abre uno de estos objetos o se utiliza una clave plantada, se trata de un indicador de compromiso casi inequívoco, incluso allí donde falta la sensórica clásica, por ejemplo en servicios SaaS o en la exfiltración de datos. Servicios de libre acceso como Canarytokens de Thinkst ofrecen más de 30 tipos de tokens, desde claves de AWS y documentos de Office hasta archivos kubeconfig, y permiten empezar con un esfuerzo mínimo. El NIST describe este procedimiento («tainting»), junto con la desviación de los atacantes («misdirection»), como un enfoque de la técnica de ciberresiliencia denominada deception.

La detección clásica mediante SIEM, EDR o NDR tiene que filtrar los ataques entre grandes volúmenes de eventos legítimos, con el consiguiente ruido de fondo y esfuerzo de ajuste. La deception invierte esta lógica: como los usuarios legítimos no tocan los señuelos ni los honeytokens, prácticamente cada alerta es relevante. Las plataformas de deception orquestan los señuelos de forma centralizada, envían las alertas al SIEM o al SOC y proporcionan telemetría rica en contexto para la respuesta a incidentes. Además, desde 2022 existe con MITRE Engage un framework propio que estructura las actividades de denial, deception y adversary engagement y las alinea con comportamientos de atacantes observados en la realidad. Para los operadores de instalaciones críticas, la deception puede complementar los sistemas de detección de ataques exigidos por el § 31 BSIG, pero no puede sustituirlos.

La deception es eficaz allí donde los atacantes se mueven tras el acceso inicial: en los segmentos de red internos, en el Active Directory, en los sistemas de archivos y de copias de seguridad, en entornos cloud y, cada vez más, también en redes OT. Ha demostrado su eficacia desplegar sistemas señuelo en cada segmento relevante y colocar honeytokens en repositorios, archivos de configuración y almacenes de credenciales, es decir, a lo largo de los caminos que suelen seguir el movimiento lateral y la escalada de privilegios. En cambio, un honeypot expuesto públicamente en Internet genera sobre todo ruido de fondo procedente de escaneos masivos y aporta poco a la detección de ataques dirigidos contra la propia red. La credibilidad es decisiva: las convenciones de nombres, los niveles de parches y los metadatos de los señuelos deben encajar con el entorno real, y la infraestructura de deception debe estar estrictamente separada de la red productiva.

La operación de honeypots en la propia infraestructura es lícita como medida puramente de detección: el atacante accede por iniciativa propia a los sistemas del operador, lo que no constituye una «inducción» penalmente relevante. Hay que distinguirlo claramente del «hack back»: los accesos activos a sistemas ajenos no están permitidos a las empresas en Alemania y siguen siendo punibles a falta de una norma habilitante (entre otros, §§ 202a y siguientes del StGB); la deception termina en el límite de la propia red. En materia de protección de datos, el tratamiento de los datos generados (por ejemplo, direcciones IP) puede basarse normalmente en el interés legítimo conforme al art. 6, apartado 1, letra f) del RGPD: el considerando 49 menciona expresamente la garantía de la seguridad de las redes y de la información, siempre que el tratamiento sea estrictamente necesario y proporcionado para ese fin. Se requiere especial diligencia en el supuesto de que un honeypot de alta interacción comprometido se utilice como trampolín para ataques contra terceros: la doctrina penal debate aquí riesgos de complicidad para los operadores, por lo que el tráfico saliente debe limitarse estrictamente a nivel técnico.

La deception solo detecta a los atacantes que interactúan realmente con los señuelos: no sustituye ni la prevención ni la detección generalizada, sino que complementa ambas con una fuente de señal adicional de gran precisión. Los atacantes experimentados intentan desenmascarar los honeypots mediante fingerprinting; los artefactos de emulación, los sistemas inverosímiles o la ausencia de rastros de uso destruyen la ilusión y devalúan la medida. Por ello, la operación exige un mantenimiento continuo: actualización de los señuelos, adaptación a los cambios del entorno, playbooks definidos para las alertas y responsabilidades claras en el SOC. Ya el estudio de ENISA identificó la usabilidad, la documentación y las necesidades de personal como obstáculos esenciales para el uso de honeypots; las plataformas modernas y los servicios de honeytokens reducen notablemente esta barrera, pero no eliminan por completo el esfuerzo de mantenimiento.