CISA: siembra credenciales falsas para atrapar a los atacantes

El 16 de septiembre de 2026, CISA publicó «Using Cyber Decoys to Strengthen Detection and Response», una guía de 22 páginas que pide a los equipos de seguridad algo contraintuitivo: llenar la red de credenciales falsas, cuentas de administrador ficticias y sistemas señuelo, y esperar a que alguien los toque. Cualquier interacción es prueba de compromiso. Sin línea base de comportamiento. Sin machine learning. Sin herramientas nuevas que comprar.

La guía se dirige a operadores de infraestructura crítica y a equipos con pocos recursos: las organizaciones con menos probabilidad de tener un equipo dedicado de threat hunting y más probabilidad de enfrentarse a adversarios estatales que usan técnicas living-off-the-land (LOTL), indistinguibles de la administración normal.

Por qué el engaño, y por qué ahora

El atacante moderno no deja malware a medida en el disco. Roba una credencial, inicia sesión por la VPN, ejecuta net group "Domain Admins" /domain, se mueve lateralmente por RDP y exfiltra a través de un servicio en la nube aprobado. Cada herramienta que usa es una herramienta que usan tus administradores. Cada protocolo que atraviesa es un protocolo que tu monitoreo ya ve miles de veces por hora.

La detección basada en firmas no puede atraparlo: no hay firma. La analítica de comportamiento puede marcarlo, pero la tasa de falsos positivos es lo bastante alta como para que las alertas reales se ahoguen en el ruido. El director ejecutivo interino de ciberseguridad de CISA, Chris Butera, describió los señuelos como «una forma de muy bajo costo pero realmente de alta fidelidad de detectar a un adversario que ya ha obtenido acceso» («both a very low-cost but actually high-fidelity way to detect an adversary who's already gained access») y presentó el enfoque como una manera de convertir las redes de infraestructura crítica en «lugares poco amistosos para los adversarios».

La idea central es sencilla: si colocas en tu red algo que ningún usuario legítimo tocaría jamás, entonces cualquier interacción con ello es maliciosa por definición. La relación señal/ruido no es de 10:1 ni de 100:1: es infinita. Cero falsos positivos esperados.

Las cuatro piezas básicas

El marco de CISA define cuatro tipos de activo de engaño:

Tipo	Qué es	Ejemplo
Honeytoken	Dato falso: credencial, clave de API, documento, registro de base de datos	Una contraseña falsa de svc_backup guardada en el Administrador de credenciales
Honeypot	Sistema o servicio falso	Una escucha de baja interacción en los puertos SMB/RDP/SSH de una VLAN de producción
Breadcrumb (miga de pan)	Pista que guía a los atacantes hacia un señuelo	Una conexión RDP guardada hacia un host señuelo, un archivo de configuración que referencia credenciales falsas de una base de datos
Tripwire (cable trampa)	Cualquier señuelo preparado para disparar una alerta al interactuar con él	Una cuenta canario de AD que dispara una alerta en el SIEM ante cualquier intento de autenticación

No son categorías excluyentes: una sola cuenta canario es a la vez un honeytoken (la credencial), un tripwire (la alerta) y el destino de las migas de pan (referencias sembradas que apuntan a ella).

Qué desplegar: tipos concretos de señuelo

CISA mapea los señuelos a las técnicas de MITRE ATT&CK que detectan:

Señuelo	Técnica ATT&CK detectada
Cuenta de usuario/servicio canario con SPN de Kerberos	T1558.003 Kerberoasting, T1078 abuso de cuentas válidas
Contraseñas falsas incrustadas en LSASS o guardadas en scripts	T1003 volcado de credenciales, T1552 credenciales no protegidas
Host/escucha señuelo en SMB, RDP, SSH, WinRM	T1021 movimiento lateral, T1046 descubrimiento de red
Documentos que emiten señales («Project_Metrics.xlsx»)	T1567 exfiltración mediante servicio web
Cuentas de equipo de AD falsas, GPO engañosas	T1087 enumeración de cuentas, T1482 descubrimiento de confianzas de dominio

Hoja de ruta de despliegue: por fases y sin compras

CISA lo diseñó explícitamente para equipos sin presupuesto de engaño. Todo el despliegue usa capacidades nativas de Windows, Active Directory y del SIEM/EDR existente:

Semanas 1–2: cuentas de servicio canario

Crea cuentas de servicio falsas con Service Principal Names (SPN) atractivos a los que apunten las herramientas de Kerberoasting. SPN de ejemplo: MSSQLSvc/fakesql.corp.local:1433. Conecta los eventos de autenticación (ID de evento 4624, 4625, 4768, 4776) a tu SIEM. Cualquier intento de inicio de sesión contra estas cuentas es hostil.

Semanas 2–4: honeytokens en almacenes de credenciales

Siembra credenciales falsas en el Administrador de credenciales de Windows, archivos unattend.xml, scripts de PowerShell y repositorios de configuración: en todos los sitios donde miran los atacantes al volcar credenciales. Combínalo con el monitoreo de accesos a LSASS. Un atacante que ejecute Mimikatz recogerá estas junto con las credenciales reales y acabará intentando usarlas.

Mes 2: recursos compartidos señuelo

Crea recursos compartidos de red con nombres como Finance-Backups y PasswordExport que contengan documentos que emiten señales. Alerta ante cualquier acceso de lectura. Ningún usuario legítimo abrirá un archivo en un recurso compartido cuya existencia nunca se le comunicó.

Meses 2–3: honeypots de baja interacción

Despliega escuchas en las VLAN de producción que respondan en puertos habituales de movimiento lateral (445, 3389, 5985, 22). Configura el envío por Syslog/CEF a tu SIEM. Cualquier conexión a una IP que no aloja ningún servicio real es reconocimiento hostil o movimiento lateral.

Gobierno continuo

Mantén un registro de señuelos de acceso restringido, visible solo para los responsables de IR/SOC. Excluye los señuelos de los barridos del escáner de vulnerabilidades (o alertarás por tus propios escáneres). Revísalos y rótalos cada trimestre.

Reglas de detección: tres reglas Sigma que puedes desplegar hoy

La comunidad ya ha producido reglas de detección alineadas con las recomendaciones de CISA:

1. Autenticación en cuentas canario

Monitorea los ID de evento de Windows 4624, 4625, 4768 y 4776 ante cualquier intento de inicio de sesión contra identidades canario designadas (p. ej., svc_backup, adm_jwalker, sql_reports, helpdesk_temp). Estas cuentas no tienen ningún uso legítimo, así que cualquier evento de autenticación es una evidencia de alta fidelidad de robo de credenciales.

2. Tripwire de Kerberoasting

Se dispara ante solicitudes de TGS de Kerberos cuyo nombre de servicio coincide con una cuenta canario. Filtra las solicitudes legítimas de cuentas de equipo (cuentas que terminan en $). Severidad crítica con cero falsos positivos esperados.

3. Conexiones de red a señuelos

Detecta cualquier tráfico hacia rangos de IP señuelo en los puertos 445 (SMB), 3389 (RDP), 5985 (WinRM) y 22 (SSH). Una aplicación heredada mal configurada es la única fuente legítima de falsos positivos, y encontrarla también es útil.

Despliegue con PowerShell: herramientas nativas, sin dependencia de proveedor

El enfoque de CISA usa solo capacidades integradas de Windows y Active Directory:

# Create canary service account
New-ADUser -Name "svc_backup" -Enabled $true -PasswordNeverExpires $true

# Set attractive SPN that Kerberoasting tools will target
Set-ADUser "svc_backup" -ServicePrincipalNames @{Add="MSSQLSvc/fakesql.corp.local:1433"}

# Plant honeytoken in Credential Manager
cmdkey /add:fakesql.corp.local /user:svc_backup /pass:FakeP@ssw0rd!

# Enable audit subcategories for detection
auditpol /set /subcategory:"Kerberos Service Ticket Operations" /success:enable
auditpol /set /subcategory:"Logon" /success:enable /failure:enable

# Validate: confirm zero legitimate logon history
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} |
  Where-Object { $_.Properties[5].Value -eq 'svc_backup' }

Una salvaguarda de seguridad crítica

CISA insiste en un requisito estricto: los señuelos no deben dar acceso real. Una cuenta de administrador falsa no debe tener permisos reales. Un host señuelo no debe servir de puente hacia los sistemas de producción. Una credencial honeytoken no debe desbloquear nada. La documentación que enumera la ubicación de los señuelos debe guardarse fuera del entorno de producción: si un atacante compromete la red y encuentra el mapa de señuelos, toda la estrategia se viene abajo.

Alineación con los marcos de MITRE

CISA recomienda usar MITRE ATT&CK para identificar a qué técnicas adversarias está más expuesto tu entorno y después alinear la ubicación de los señuelos con los tres objetivos de MITRE Engage:

• Exponer (Expose): detectar la presencia del adversario (cuentas canario, honeytokens, tripwires)
• Afectar (Affect): imponer costos y desbaratar operaciones (recursos señuelo que hacen perder tiempo al atacante, credenciales falsas que provocan bloqueos)
• Provocar (Elicit): observar con seguridad el comportamiento del atacante para obtener inteligencia (honeypots que registran herramientas, tiempos e infraestructura)

Cómo se conecta con la simulación de incidentes

Desplegar señuelos es una estrategia de detección. Saber qué hacer cuando uno se dispara es un problema de respuesta a incidentes. Si tu equipo nunca ha practicado la secuencia (alerta del señuelo → triaje → contención → forense → rotación de credenciales), el señuelo se dispara y el SOC se queda mirándolo. Las simulaciones Cyber War Room de PlayCISO hacen pasar a los equipos de seguridad por escenarios de incidentes ramificados en los que las decisiones se acumulan: la simulación de ransomware obliga a tomar exactamente el tipo de decisiones de contención del movimiento lateral que una alerta de honeytoken desencadenaría en producción.

Lo esencial para los líderes de seguridad

CISA te dice algo que rara vez dice tan directamente: asume que el atacante ya está dentro y prepara el entorno para que moverse por él haga saltar las alarmas. La guía es accesible para equipos sin presupuesto de engaño, sin herramientas especializadas y sin threat hunters dedicados. Funciona porque no intenta ser más listo que el atacante: convierte el propio éxito del atacante (encontrar y usar credenciales) en el disparador de la detección.

El documento de 22 páginas está disponible en cisa.gov.

Preguntas frecuentes

¿Qué son los ciberseñuelos y por qué los recomienda CISA? Los ciberseñuelos son credenciales, cuentas, archivos y sistemas falsos sembrados dentro de una red que no tienen ningún uso de negocio legítimo. Cualquier interacción con ellos es una evidencia sólida de acceso no autorizado. CISA los recomienda porque los atacantes modernos usan cada vez más credenciales robadas y herramientas administrativas integradas (técnicas living-off-the-land) indistinguibles de la actividad normal, lo que vuelve ineficaces los métodos de detección tradicionales. Los señuelos dan alertas de alta fidelidad con casi cero falsos positivos.

¿Cuál es la diferencia entre honeytokens, honeypots, breadcrumbs y tripwires? Los honeytokens son datos falsos, como credenciales, claves de API o documentos, que revelan un acceso no autorizado cuando se usan. Los honeypots son sistemas o servicios falsos (p. ej., una escucha SSH o RDP señuelo). Los breadcrumbs son pistas sembradas donde miran los atacantes (conexiones guardadas, archivos de configuración, marcadores del navegador) que los guían hacia los señuelos. Los tripwires son cualquier señuelo preparado para disparar una alerta al interactuar con él. Los cuatro funcionan juntos en una estrategia de engaño por capas.

¿Necesito comprar herramientas de engaño especializadas? No. CISA afirma explícitamente que las organizaciones pueden desplegar señuelos con herramientas que ya tienen: plataformas EDR, sistemas de gestión de identidades y accesos, Active Directory y herramientas de prevención de pérdida de datos. La guía incluye scripts de PowerShell para crear cuentas canario y sembrar honeytokens usando capacidades nativas de Windows y AD. Las soluciones de código abierto también son una buena opción para organizaciones con presupuesto limitado.

¿Cómo detectan los ciberseñuelos los ataques living-off-the-land? Los ataques LOTL usan credenciales legítimas y herramientas integradas como PowerShell, net.exe y RDP que se mezclan con la actividad normal, lo que hace poco fiable la detección por comportamiento. Los señuelos esquivan el problema por completo: una cuenta de servicio canario o una credencial falsa no tiene ningún uso legítimo. Cualquier intento de autenticación o acceso a archivos contra estos señuelos es malicioso por definición, sin necesidad de línea base de comportamiento ni machine learning.

¿Cuál es el calendario de despliegue recomendado? CISA recomienda un enfoque por fases: semanas 1–2, desplegar cuentas de servicio canario con SPN atractivos. Semanas 2–4, sembrar honeytokens en los almacenes de credenciales. Mes 2, crear recursos compartidos señuelo con documentos que emiten señales. Meses 2–3, desplegar honeypots de baja interacción. De forma continua: mantener un registro de señuelos de acceso restringido y revisarlo cada trimestre.