¿Qué es un honeypot? Cómo mejorar tu seguridad informática

En el ámbito de la ciberseguridad, el término honeypot procede del contraespionaje, donde designaba la trampa en la que caía un espía atraído por una pareja seductora. En seguridad informática, un honeypot es un sistema señuelo que los equipos de TI utilizan para atraer a los atacantes y recopilar información sobre amenazas.

Aunque los honeypots ya tienen un lugar propio en la caja de herramientas de cualquier analista de ciberseguridad, rara vez llegan a los titulares. Eso cambió en 2021, cuando millones de direcciones IP inactivas propiedad del Pentágono volvieron a entrar en servicio de golpe. Las políticas del Border Gateway Protocol (BGP) revelaron que esas direcciones estaban gestionadas por una organización totalmente desconocida: Global Resource Systems. Se había fundado en septiembre de ese mismo año, no tenía historial de contratos federales ni sitio web público. Hoy, esa enigmática Global Resource Systems posee casi el 6 % de todas las direcciones IPv4 y mantiene el control sobre la mayoría de las antiguas direcciones del ejército.
El temor a descuidos de seguridad y a actores internos malintencionados se desbordó hasta que el Defense Digital Service (DDS) dio un paso al frente y asumió la responsabilidad. El DDS se encarga de velar por la seguridad del Departamento de Defensa (DoD) mientras lleva a cabo proyectos experimentales. Los responsables de seguridad de redes leyeron rápidamente entre líneas: el DoD acababa de montar el honeypot más grande del mundo.

Cómo funciona un honeypot

Los ciberataques automatizados mueven un mercado negro de varios millones de dólares. Por internet circulan sin descanso bots maliciosos; las redes vulnerables se pueden descubrir y sondear con herramientas gratuitas como Wireshark. En el caso de las aplicaciones, un informe reciente concluyó que uno de cada cinco ataques son ataques de fuzzing, que se apoyan en la automatización para detectar y explotar vulnerabilidades conocidas. Parte de su éxito se debe a que muchas redes empresariales están, en esencia, abiertas. Cuando un usuario no autorizado consigue acceso, puede moverse a cualquier parte de la red.
El honeypot segmenta y deja expuesta de forma deliberada una red o un dispositivo para crear una especie de placa de Petri con ataques reales. Los honeypots resultan atractivos porque incorporan debilidades de seguridad a propósito. Por ejemplo, un honeypot puede incluir puertos pensados para aparecer en los escaneos de puertos del atacante, o mostrar pantallas de inicio de sesión aparentemente indefensas. La información del mundo real que aportan los honeypots los convierte en excelentes herramientas de formación para el personal de seguridad. Como el honeypot permanece aislado de los datos reales de alto riesgo de la organización, los analistas de seguridad pueden centrarse al 100 % en la amenaza que tienen delante.

Tipos de honeypots y para qué sirven

El potencial de inteligencia que ofrecen los honeypots es casi ilimitado. Gracias a esa flexibilidad intrínseca, existen muchos tipos distintos. La información sobre ataques de una organización se puede construir con uno de los siguientes formatos o con una combinación de ellos:

Trampas de correo electrónico

La empresa inserta una dirección de correo en desuso dentro de un activo público y la oculta a la vista de las personas. Esa dirección queda ahí para que la recojan los recolectores automáticos de correos que rastrean la web. Como el buzón se reserva exclusivamente para este honeypot, los analistas obtienen visibilidad total del spam que se dirige a los empleados. Cada correo que llega a ese buzón añade un dato a una campaña proactiva de protección frente al phishing.

Honeypot para arañas web

Los rastreadores web, también conocidos como arañas web, son programas automatizados que indexan y descargan contenido de internet. Parten de un conjunto de páginas conocidas y funcionan siguiendo un hipervínculo hacia otra página, eligiendo otra URL en esa página, y así sucesivamente. Algunos rastreadores son útiles, como los de Google, que ayudan a categorizar e indexar resultados relevantes para los usuarios. Sin embargo, los actores maliciosos también pueden buscar información relevante sobre tu organización. Las trampas para arañas usan enlaces y páginas falsos a los que solo pueden acceder los propios rastreadores. Al seguir sus patrones de comportamiento, obtienes una visión más profunda de los hábitos de navegación automatizada. Eso, a su vez, sirve de base para tu estrategia frente a bots maliciosos.

Honeypot de malware

El honeypot de malware, una de las variantes más elaboradas, imita una aplicación y sus API asociadas. Los atacantes tienen la oportunidad de explotar cualquier vulnerabilidad, lo que ayuda a arrojar luz sobre rutas de ataque más largas que de otro modo podrían servirles para obtener acceso. Después, ese análisis se puede incorporar al software antimalware o utilizarse para cerrar vulnerabilidades en las API.

Base de datos señuelo

El último componente de tu infraestructura de honeypots es una base de datos señuelo que invite al posible atacante a esforzarse. Es fundamental no almacenar datos reales ni sensibles en esa base de datos señuelo, ya que la idea es poner a prueba cualquier arquitectura insegura que pueda dar lugar a inyecciones SQL y abusos de privilegios.

Honeypots de baja interacción frente a los de alta interacción

Los honeypots presentan distintos niveles de interactividad. Un honeypot de baja interacción está diseñado para ofrecer el mínimo acceso al sistema: lo justo para registrar la petición inicial de un ataque.

Un honeypot de alta interacción, en cambio, ofrece un abanico de capacidades mucho más amplio. En lugar de una simple fachada, pone a disposición de los atacantes una plataforma interactiva en la que llevar a cabo actividades posteriores a la explotación. Así, los investigadores de seguridad y los analistas de malware ven en primera fila hacia dónde se dirige el atacante, qué herramientas usa para escalar privilegios y qué exploits emplea contra el honeypot. Eso sí, esta modalidad exige muchos más recursos y conocimientos.

Riesgos del uso de honeypots

Aunque los honeypots resultan valiosos para vigilar el panorama de amenazas, conviene tener presentes sus límites. Por ejemplo, solo detectan la actividad dirigida al propio honeypot, de modo que pueden no reflejar el conjunto de las amenazas existentes.
Bien configurado, un honeypot eficaz puede hacer creer a los atacantes, de forma convincente, que han vulnerado el sistema real. Reproduce avisos de inicio de sesión, campos de datos, aspecto y logotipos idénticos a los de tus sistemas auténticos. Sin embargo, si un atacante lo identifica como honeypot, puede redirigir sus esfuerzos hacia tus otros sistemas y dejarlo intacto. Es más, una vez que el honeypot queda «identificado», el atacante puede darle la vuelta a la situación y alimentarlo con información falsa.
Y lo que es más preocupante: un atacante hábil podría usar el honeypot como puerta de entrada a tus sistemas. Por eso los honeypots nunca deben sustituir a los controles de seguridad esenciales. Un «honeywall» aporta una seguridad básica al honeypot y evita que los ataques reboten hacia tus sistemas en producción.

Cómo configurar un honeypot para detectar intrusiones en la red

Poner en marcha un honeypot y dejarlo listo para detectar anomalías es un proceso rápido. Mantenerlo, en cambio, puede resultar bastante más complicado. Con esto en mente, los siguientes pasos te guían por la configuración y lo que viene después.

1. Elige la plataforma

Aunque el on-premise es una opción válida, el cloud es el lugar más seguro para alojar un honeypot nuevo, ya que muchos proveedores cloud ofrecen algún tipo de máquina virtual gratuita. Las VM son uno de los montajes más seguros: si consiguen explotarlas, solo tienes que reiniciarlas y restaurarlas.

2. Monta la arquitectura

En una plataforma como AWS puedes elegir las imágenes de máquina que definen el software de la máquina virtual. Ahí es donde puedes levantar un sistema operativo y unas aplicaciones concretas. Al mismo tiempo, el tipo de instancia que elijas determina cuántos núcleos de CPU y cuánta RAM tendrá tu máquina virtual.
Igual de importante es decidir qué eventos va a monitorizar el programa del honeypot. Entre los puntos de atención habituales están los intentos de inicio de sesión y los cambios en archivos; teniendo esto en cuenta, configura un método de registro alternativo, porque los actores maliciosos podrían modificar los archivos de log del honeypot. Guardarlos fuera del honeypot te ahorrará más de un dolor de cabeza.

3. Define la configuración de red

El honeypot se coloca fuera de un firewall interno para lograr el mejor equilibrio entre seguridad y rendimiento. Entre otros ajustes, puedes configurar el firewall externo para mantener abiertos solo los puertos necesarios. Este enfoque ayuda además a dirigir el tráfico malicioso hacia el honeypot y alejarlo de la red interna. Cerrar todos los demás puertos aumenta tu seguridad y da más realismo al software señuelo.
Junto con unas medidas de seguridad de red adecuadas, garantiza una higiene de seguridad impecable asignando una etiqueta de nombre a la instancia. Así será más fácil identificarla. Además, cuando empieces a configurarlo todo, permite el acceso entrante únicamente desde tu router o tu VPN. Eso te deja probar el servicio del honeypot sin exponerlo a posibles ataques hasta que estés listo. Los escáneres de puertos como Nmap resultan muy útiles en este paso.

4. Haz unas comprobaciones finales

Por último, realiza alguna actividad dentro del honeypot y revisa después los logs del servidor correspondientes. Si falta algo en los registros, comprueba que el sistema de detección de intrusiones de tu organización no esté marcando un escaneo de puertos. Eso podría animar al atacante a buscar otro objetivo. Cuando todo esté listo, puedes pasar tu nuevo honeypot a producción; monitorízalo de cerca y ajusta la configuración.

Si prefieres aprender con contenido visual, nuestra videoguía «¿Qué es un honeypot?» te ofrece un recorrido paso a paso

Un honeypot no sustituye a la protección

Los honeypots ofrecen una visión incomparable de los mecanismos de los ataques en tiempo real. Por ejemplo, el descubrimiento de la botnet Chalubo por parte de SophosLabs fue posible gracias a un servidor honeypot que finge ser vulnerable a ataques distribuidos de denegación de servicio (DDoS). Así descubrieron que uno de los componentes principales de Chalubo era un descargador optimizado específicamente para hardware con procesadores Intel x86.
Es justo en este punto, sin embargo, donde se ven los límites del honeypot. Apenas ofrece protección real a los endpoints atacados: esos procesadores Intel siguen necesitando defensa.
La protección de endpoints de NinjaOne da a los equipos de TI y a los MSP un control total sobre las aplicaciones y configuraciones de su entorno de TI. Descubre cómo la integración con un solo clic de NinjaOne mejora el nivel de detalle de tu software antivirus y potencia hoy mismo a tu equipo de soporte técnico.