# Honeypot

> Un blanco falso puesto a propósito para atraer atacantes, detectarlos y ver qué hacen.

- Nivel: Intermedio
- Temas: Seguridad
- URL: https://tidbit.legios.com.ar/es/honeypot/
- En inglés: [Honeypot](https://tidbit.legios.com.ar/honeypot/)

Un **honeypot** (literalmente, tarro de miel) es una computadora, un servicio o un archivo que parece real y valioso pero existe solo para que lo ataquen. Ningún usuario legítimo tiene motivo para tocarlo, así que cualquier conexión es sospechosa por definición. Eso lo vuelve una alarma muy silenciosa y muy confiable: en lugar de revisar millones de eventos normales buscando un intruso, esperás a que alguien muerda el anzuelo.

Algunos honeypots son herramientas de investigación. Un equipo de seguridad deja en internet un servidor débil a propósito y registra todo lo que pasa: qué contraseñas prueban los bots, qué malware instalan, qué comandos tipea un atacante humano. Muchos de los informes que leés sobre botnets nuevas salen de este tipo de trampas. Una red de honeypots se llama **honeynet**.

Dentro de las empresas el objetivo es enterarse temprano. Un servidor falso con un nombre como `payroll-db` o `admin-backup`, una cuenta de administrador falsa, o un **honeytoken** (también llamado canary token): una contraseña, una API key o un documento falsos, puestos donde solo un intruso miraría. Si alguien llega a usarlo o abrirlo, le salta una alerta directo al equipo de seguridad. Los honeypots tienen que estar aislados para que el atacante no los use de trampolín, y solo atrapan a quien viene a curiosear, así que complementan las defensas normales, no las reemplazan.

## Una analogía

Un negocio deja sobre el mostrador una billetera señuelo con un rastreador. Ningún cliente tiene por qué agarrarla, así que apenas se mueve, el dueño sabe exactamente a quién mirar.

## Para quedarse

- Un señuelo sin ningún uso legítimo: quien lo toca pasa a ser sospechoso.
- Los honeypots de investigación estudian atacantes; los de empresa dan la alarma temprano.
- Los honeytokens son credenciales o archivos falsos que avisan cuando alguien los usa o abre.
- Tienen que estar aislados, y solo atrapan a quien sale a buscar.

## Para seguir leyendo

- [Honeypot en Wikipedia](https://es.wikipedia.org/wiki/Honeypot)
- [The Honeynet Project (en inglés)](https://www.honeynet.org/)

## Términos relacionados

- [Internet](https://tidbit.legios.com.ar/es/internet/): Una red mundial de redes que conecta cualquier aparato con cualquier otro.
- [Servidor](https://tidbit.legios.com.ar/es/server/): Una computadora cuyo trabajo es responder pedidos de otras computadoras, todo el día.
- [Malware y ransomware](https://tidbit.legios.com.ar/es/malware-and-ransomware/): Software hecho para dañarte; el ransomware te bloquea los archivos y cobra por liberarlos.
- [DDoS](https://tidbit.legios.com.ar/es/ddos/): Tirar un sitio inundándolo con más tráfico del que puede aguantar.
- [Clave de API](https://tidbit.legios.com.ar/es/api-key/): Un texto secreto que identifica a tu app cuando llama a la API de otro.