Cómo usar honeytokens y señuelos: una guía práctica

La mayor parte de la detección es una lucha contra los falsos positivos: deduces que un comportamiento es malicioso a partir de señales que a veces también son normales. El engaño cibernético esquiva esa lucha por completo. Plantas activos que ningún usuario legítimo debería tocar nunca, así que cuando alguien toca uno, lo sabes. Por eso los honeytokens y los señuelos están entre las detecciones con más señal y menos ruido que puede desplegar un defensor, y por eso las guías los recomiendan cada vez más para atrapar a intrusos que de otro modo pasan desapercibidos.

Las técnicas

• Honeytokens: credenciales, claves de API, registros de base de datos, documentos o URL falsos, instrumentados para alertar en el instante en que se accede a ellos o se usan. El cable trampa preferido: barato e inequívoco cuando salta.
• Cuentas canario: cuentas de usuario señuelo (a menudo con nombres que parecen privilegiados) que nunca deberían autenticarse. Un intento de inicio de sesión es una señal casi segura de compromiso o de reconocimiento.
• Honeypots / sistemas señuelo: servicios o equipos falsos que atraen a los atacantes, les hacen perder el tiempo y revelan sus herramientas y técnicas mientras los mantienen lejos de los activos reales.

Por qué funciona tan bien contra los ataques modernos

Las técnicas de living-off-the-land (usar herramientas y credenciales legítimas) son difíciles de detectar precisamente porque parecen normales. Al engaño no le importa qué herramientas use un atacante; le importa que haya tocado algo cuya existencia no debería conocer. Un intruso que hace reconocimiento para encontrar credenciales y moverse lateralmente tiene muchas probabilidades de toparse con un honeytoken bien colocado, y en el momento en que lo hace tienes una alerta temprana y de alta confianza.

Empezar con poco presupuesto

1. Siembra unos pocos honeytokens. Credenciales falsas creíbles, una clave de API señuelo, un documento tentador, conectados para alertar cuando se usen y colocados donde el reconocimiento los encontraría.
2. Añade una cuenta canario. Una cuenta sin usar, de aspecto privilegiado, que nunca debería iniciar sesión.
3. Envía las alertas al SOC con runbooks. Un honeytoken activado debe desencadenar una investigación, no quedarse sin ver: todo el valor está en la respuesta.
4. Amplía a sistemas señuelo cuando lo básico haya demostrado la calidad de su señal.

Dónde plantar honeytokens y señuelos, y qué atrapa cada uno

Para usar bien los honeytokens y los señuelos, coloca cada uno donde lo encontraría un atacante que esté dando un paso concreto, y conecta una alerta al único evento que la actividad legítima nunca produce. Ubicaciones habituales:

• Claves de acceso a la nube falsas en un archivo de configuración, un script o un repositorio interno. Atrapan la recolección de credenciales de endpoints y del código. Alerta ante cualquier intento de autenticación con la clave.
• Una cuenta de servicio señuelo con un service principal name (SPN) en Active Directory. Atrapa el Kerberoasting. Alerta ante las solicitudes de tickets de servicio Kerberos para esa cuenta (evento de Windows 4769).
• Una cuenta canario de administrador que nadie usa. Atrapa el password spraying y el uso de credenciales robadas. Alerta ante cualquier inicio de sesión, fallido o correcto (eventos 4625 y 4624, o el log de inicios de sesión de tu proveedor de identidad).
• Documentos señuelo con un nombre tentador (por ejemplo «contraseñas» o «nóminas») en recursos compartidos, preparados para avisar cuando se abren. Atrapan la exploración de recursos compartidos y la preparación de la exfiltración.
• Registros de base de datos falsos, como una fila de cliente con una dirección de correo única que vigilas. Atrapan el robo de datos, porque el correo a esa dirección, o la aparición del registro en cualquier sitio fuera de tus sistemas, significa que los datos han salido.
• Equipos o servicios señuelo (honeypots) en subredes internas. Atrapan el escaneo de red y el movimiento lateral.

Cuatro reglas mantienen limpia la señal:

• Nunca des a un señuelo privilegios reales ni datos reales.
• Mantén un inventario de cada token y de dónde está colocado.
• Excluye los escáneres legítimos y las tareas de copia de seguridad que puedan tocar los señuelos, para que no generen falsas alarmas.
• Envía cada alerta a un runbook que diga quién investiga y con qué rapidez.

Consulta el detalle del despliegue alineado con CISA (reglas Sigma, scripts) en nuestra guía de ciberseñuelos de CISA → y practica el triaje de detecciones en la herramienta de triaje del SOC.

Preguntas frecuentes

¿Qué es el engaño cibernético? Plantar activos falsos pero creíbles para que cualquier interacción con ellos sea una señal de alta confianza de un intruso.

¿Qué es un honeytoken? Una credencial, clave, registro o documento falsos instrumentados para alertar en el momento en que se accede a ellos o se usan.

¿Por qué es de alta fidelidad? El activo está diseñado para que ninguna actividad legítima lo toque nunca, así que una interacción es inequívoca: ideal contra el living-off-the-land y el movimiento lateral.

¿Cómo empezamos con poco dinero? Siembra unos pocos honeytokens y una cuenta canario conectados a alertas del SOC con runbooks; amplía a señuelos más adelante.