Qué es un honeypot: la trampa para atacantes, sus tipos y sus riesgos

Un honeypot, en inglés «tarro de miel», es un sistema preparado para atraer a los atacantes. El glosario del NIST lo define como un sistema, por ejemplo un servidor web, o un recurso, como un archivo, diseñado para resultar atractivo a los intrusos, igual que la miel atrae a los osos. INCIBE lo explica con otra imagen: una ratonera con un buen trozo de queso.

Para qué sirve

Según INCIBE, un honeypot sirve para detectar ataques y aprender de ellos. Imita servicios que suelen atacarse, como un servidor web o una base de datos, y registra lo que hace quien cae en él. Con esos datos, la empresa puede:

• Saber qué tipo de ataque se ha intentado, desde qué país, contra qué servicio y, a veces, con qué sistema operativo.
• Agrupar los ataques para ver qué está pasando o qué puede llegar a pasar.
• Corregir fallos en los sistemas reales antes de que alguien los aproveche.

Lo normal, dice INCIBE, es instalarlo en un equipo que no se usa para el trabajo diario. Así el ataque llega al señuelo y no a los equipos en producción. Puede funcionar en la empresa o en la nube.

Hay una ventaja que lo diferencia de otras herramientas de detección: como nadie debería conectarse a un señuelo, casi todo lo que llega es sospechoso. La guía de INCIBE-CERT destaca precisamente que reduce los falsos positivos. Es lo contrario de lo que pasa con un IDS en la red real, que tiene que separar lo malo de mucho tráfico legítimo.

Honeypot, honeynet y honeywall

La guía de INCIBE-CERT distingue tres piezas:

• Honeypot: cada señuelo, un equipo o un servicio simulado.
• Honeynet: una red entera de honeypots que imita una red real, con servidores, servicios e incluso equipos industriales. El concepto lo popularizó The Honeynet Project, iniciado en 1999.
• Honeywall: el cortafuegos por el que pasa todo el tráfico de la honeynet, de entrada y de salida. Filtra, registra y, según la guía, lo ideal es que combine el cortafuegos con un IDS para poder detectar y también bloquear.

El honeywall es la parte que más tiene que ver con esta web: es lo que impide que el atacante use la trampa para salir hacia otros sistemas.

Los tipos de honeypot

La guía los clasifica por varios criterios. El más importante es cuánto dejan hacer al atacante:

También pueden ser físicos, un equipo real, más creíble pero más caro y con más mantenimiento, o virtuales, más baratos, rápidos de poner en marcha y escalables, pero más fáciles de detectar. Según la guía, los de alta interacción suelen ser físicos y los virtuales suelen ser de baja interacción. Además, el honeypot puede hacer de servidor, que espera a que lo ataquen, o de cliente, que se conecta a sitios sospechosos para estudiarlos.

Los riesgos

Un honeypot es un equipo que invita a que lo ataquen, así que tiene peligros propios. La guía de INCIBE-CERT señala estos:

• Puede servir de puerta de entrada. Un honeypot de alta interacción mal configurado puede dar acceso al resto de la red. Debe estar siempre aislado.
• Se puede detectar. Un atacante con experiencia puede notar que es una trampa y abandonar sin dejar información. Hay incluso herramientas en internet para detectar honeypots.
• Expone servicios al exterior que de otro modo no estarían a la vista.

Por eso la guía insiste en bastionar el equipo anfitrión: cortafuegos propio, contraseñas fuertes, sin el usuario administrador, sin servicios innecesarios, actualizado y con el acceso remoto reforzado. Y en mantenerlo: comprobar que los servicios responden, que está conectado y revisar sus registros con regularidad.

Dónde colocarlo

Esto es criterio de esta web, a partir de lo anterior: el honeypot debe estar en una zona separada de la red de trabajo, con reglas que dejen entrar al atacante pero no le dejen salir hacia ningún otro equipo. Es la misma lógica de una DMZ o de una VLAN aislada, con un control todavía más estricto del tráfico saliente. Sus avisos tienen más valor si llegan al mismo sitio que los demás registros de seguridad, por ejemplo a un SIEM.