Honeypots y defensa por engaño
Un honeypot es un señuelo: un sistema falso que NADIE legítimo debería tocar, así que cualquier interacción es, por definición, sospechosa. Cazan atacantes, generan inteligencia y dan alertas con casi cero falsos positivos. Aquí los tipos, las herramientas y montas uno.
🍯Por qué funcionan tan bien
Su gracia: cero falsos positivos por diseño. Si alguien interactúa con el honeypot, algo pasa — no hay tráfico legítimo que confunda. Además recoges TTPs reales del atacante (comandos, malware, credenciales que prueba).
| Baja interacción | emula un servicio (poco riesgo, menos datos). Ej: Dionaea, Glastopf. |
| Media interacción | shell falsa con sistema de ficheros simulado. Ej: Cowrie/Kippo (SSH). |
| Alta interacción | sistema real sacrificable (máximos datos, máximo riesgo: aíslalo bien). |
📊Quién es quién
| Cowrie (sucesor de Kippo) | honeypot SSH/Telnet de media interacción: registra fuerza bruta y toda la sesión del atacante. |
| Dionaea | captura malware que se propaga por servicios (SMB, FTP...). |
| Glastopf | honeypot web: emula LFI/RFI, SQLi, inyección HTML. |
| OpenCanary | canarios ligeros: 'tokens' que avisan si alguien toca un recurso señuelo. |
| T-Pot | la suite todo-en-uno (Telekom): junta 20+ honeypots + dashboards. Ideal para empezar. |
| Artillery | honeypot + monitor + alertas por correo ante escaneos/fuerza bruta. |
🔧Lab: Cowrie (honeypot SSH) con Docker
ssh root@IP -p 2222 y prueba contraseñas: todo queda grabado.Pon el honeypot en un segmento AISLADO. Un señuelo mal confinado se convierte en punto de entrada real.
⚠Fallos típicos y solución
kippo_detect). Personaliza hostname, banners y el FS falso.💡Trucos
- Siembra honeytokens (credenciales/ficheros/URLs señuelo) DENTRO de la red: si alguien los usa, está dentro.
- T-Pot para arrancar rápido con dashboards y mapa de ataques en vivo.
- Un honeypot interno que se toca = incidente casi seguro; priorízalo.
🎯🎯 Lab puntuable: monta un honeypot y caza al intruso
Lab pesado descargable (Docker Compose): levantas un Cowrie (honeypot SSH), un atacante cae en la trampa él solo, y tú reconstruyes su sesión para encontrar la flag que dejó en el sistema. 1 reto, 50 puntos. (Necesitas Docker + Docker Compose, los tienes del curso.)
⬇ Descargar el pack ▶ Ir al reto · categoría “Arsenal · Honeypots”