La deception, spiegata
Una guida breve: cosa fa un honeypot, che posto occupa nella tua sicurezza e quali domande fare a un fornitore prima di firmare. Noi compresi.
Un honeypot è un'esca: sembra una macchina vera, e di valore, nella tua rete, ma non ha alcuno scopo legittimo. Nessun dipendente, nessuna applicazione, nessun processo di backup ha motivo di accedervi. Quindi chi lo fa è una minaccia.
L'intenzione non viene dedotta: si dichiara da sola. Niente tuning, niente supposizioni.
Raramente le minacce puntano dritte all'obiettivo. Sondano il terreno e si spostano da una macchina all'altra: è lì che incontrano un'esca.
Un'esca credibile tiene impegnata la minaccia con qualcosa che non ha alcun valore, mentre tu reagisci.
01
Una mail di phishing la riconosci oggi, e anche domani. Ma ogni volta? E tutti i tuoi colleghi? Alla minaccia basta un solo errore, e il rischio si accumula.
02
Dopo l'intrusione arriva la parte delicata per la minaccia: spostarsi tra le macchine, scalare i privilegi, portare fuori i dati. Questo intervallo si chiama dwell time e, secondo i report di settore, dura circa dieci giorni. Dieci giorni in cui il vantaggio è di chi difende, e chi attacca non può permettersi errori.
03
L'AI scova vulnerabilità, zero-day compresi, più in fretta di quanto si riesca a correggerle, e il tempo tra la divulgazione e lo sfruttamento continua ad accorciarsi. Una detection che richiede giorni per essere vagliata arriva troppo tardi.
Fino a ieri
Con l'AI
Con le esche
Perché quei giorni giocano a favore di chi difende: L'importanza strategica della difesa in profondità
Un honeypot non sostituisce ciò che hai già. Ti dice quando non è bastato.
01
Firewall, filtri email, protezione degli endpoint, patching
Prevenzione. Indispensabile, ma mai perfetta.
02
Honeypot
Rilevamento di ciò che è passato, con allarmi su cui agire senza bisogno di un analista.
03
Il tuo team, il tuo MSSP, il tuo fornitore
Intervenire su una minaccia confermata, con il tempo guadagnato grazie all'esca.
La frenata automatica d'emergenza è un'ottima cosa, ma non è un buon motivo per smettere di frenare con il pedale.
Bassa interazione
Uno script che risponde a poche richieste di protocollo: un banner, un prompt di login.
Alta interazione
Una macchina vera, in cui si può davvero entrare, con dentro qualcosa di plausibile.
Alcune architetture eliminano questo dilemma. La nostra è una di queste. Scopri come lo elimina Hoxey
Le domande da fare
Cinque domande che vale la pena fare a qualsiasi fornitore, noi compresi. Non serve che ogni risposta sia positiva: a essere messa alla prova è la coerenza.
Accetta i compromessi con consapevolezza. Rifiuta le incoerenze: in gioco c'è la tua sicurezza.
Le nostre risposte alle domande 2 e 4 sono pubbliche: il modello di sicurezza Hoxey.
Campanelli d'allarme da conoscere
Un comando vero risponde in millisecondi; l'inferenza di un modello richiede secondi. Quel ritardo tradisce l'esca quasi subito, e l'output generato perde coerenza non appena l'attaccante si guarda intorno.
Sembra più copertura, ma gli indirizzi condividono la stessa impronta. Una scansione elementare, un banner SSH o il comportamento TCP li smaschera prima di qualsiasi interazione significativa.
La deception sembra facile. Non lo è.
Rispondiamo a tutte in una call tecnica, anche a quelle su cui stiamo ancora lavorando.
Preferisci scrivere?
Threat intelligence di prima mano, dalle nostre esche. Non l'ennesima newsletter.
Poche email, tutte di valore.