Honeypot as a Service: detectar al atacante en su primer movimiento
Por Kike Gandia · Amenazas · 5 min de lectura
Un atacante que ya está dentro de tu red no hace ruido. Usa credenciales válidas que compró o robó, herramientas que ya venían instaladas en el sistema y protocolos que tu equipo mira todos los días sin pestañear. No ejecuta nada que un antivirus reconozca. Por eso la pregunta útil no es si sabrías pararlo, sino cuánto tardarías en enterarte de que está ahí.
El problema no es detectar el ataque, es detectarlo a tiempo
El tiempo que un intruso permanece en una red antes de ser descubierto —el dwell time— lleva años bajando. La mediana global que publica Mandiant en su informe M-Trends ronda ya los diez días, muy lejos de los meses de hace una década.
Esa cifra tranquiliza menos de lo que parece, porque una mediana esconde justo lo que importa. Ha bajado, sobre todo, porque el ransomware se delata solo: cifra los ficheros y deja la nota. Esas intrusiones se «detectan» rápido por definición, y arrastran la estadística hacia abajo. Las que de verdad hacen daño —espionaje industrial, acceso persistente, exfiltración lenta— son precisamente las que nadie descubre en diez días, porque su objetivo es no ser descubiertas nunca.
Y hay una asimetría más incómoda: una parte considerable de las organizaciones no se entera por sus propios medios, sino porque alguien de fuera les avisa. Un cliente, un proveedor, las fuerzas de seguridad o el propio atacante pidiendo rescate.
La regla que convierte un señuelo en una alarma fiable
Un honeypot es un activo puesto ahí para ser atacado: un servidor, un recurso compartido, una base de datos o simplemente unas credenciales que parecen reales pero no dan acceso a nada. La clave no es la tecnología, es la regla que lo acompaña.
Ese activo no tiene ningún uso legítimo. Nadie de tu empresa tiene motivo para tocarlo. Así que cualquier interacción con él es, de entrada, sospechosa.
Esa inversión lo cambia todo. Un EDR o un SIEM tienen que decidir si un comportamiento raro es un ataque o es Juan de contabilidad haciendo algo raro un martes. Un señuelo no tiene que decidir nada: o nadie lo toca, o alguien lo ha tocado.
Conviene ser honestos con el matiz, porque es donde se cae la mayoría de los despliegues caseros: un señuelo mal colocado sí genera ruido. Los escáneres de vulnerabilidades lo barren, los agentes de inventario de activos lo descubren, el backup intenta indexarlo y un administrador curioso se conecta para ver qué es esa máquina que no le suena. Nada de eso es un ataque. La diferencia entre una alarma en la que confías y otra que acabas silenciando está en excluir esas fuentes conocidas antes de encender el aviso, no después.
Por qué casi nadie mantiene sus propios honeypots
Desplegar uno es fácil. Hay herramientas libres excelentes y se levanta en una tarde. Lo difícil empieza al día siguiente, y es la razón por la que tantos proyectos de decepción acaban apagados y olvidados en un rincón del rack.
Lo que hay que sostener en el tiempo
- Que el señuelo siga siendo creíble: nombres de máquina que encajen con tu convención real, no un «honeypot-01» que delata la trampa a los diez segundos.
- Que las credenciales señuelo roten y tengan historial de uso. Una cuenta creada ayer, con cero inicios de sesión y contraseña que nunca caduca, es lo primero que un atacante con experiencia descarta.
- Que los banners y versiones de los servicios emulados se actualicen, porque existen escáneres públicos que identifican honeypots por su huella por defecto.
- Que haya alguien al otro lado a las tres de la mañana de un domingo, que es cuando suena.
Ese último punto es el que decide si el proyecto sirve para algo. Una alarma de altísima fiabilidad que nadie atiende hasta el lunes no es detección temprana: es un registro muy preciso de cuándo empezó el incidente que ya te ha explotado.
Si lo que quieres es montarlo tú, el desglose técnico está en nuestra guía sobre honeypots y canary tokens: herramientas concretas, configuración y cómo evitar que un red team las detecte. Este artículo va de lo otro, de quién lo mantiene vivo.
IoT: donde el señuelo resulta más creíble
A medida que las empresas llenan sus oficinas y plantas de dispositivos conectados, el IoT se ha convertido en la puerta de entrada preferida. Cámaras IP, sensores industriales, impresoras de red, control de accesos, climatización. Casi todos comparten los mismos tres problemas: firmware que nadie parchea, credenciales de fábrica que nadie cambió y una posición en la red mucho más privilegiada de lo que su función justifica.
Para un atacante que acaba de entrar por la wifi de invitados o por un puerto expuesto, un termostato inteligente o una cámara sin actualizar es exactamente lo que espera encontrar. Y ahí está la ventaja: un señuelo IoT no necesita disimular que es viejo y vulnerable, porque eso es justo lo que lo hace verosímil. Emular un dispositivo mal mantenido es mucho más fácil que emular un servidor de producción convincente.
En un entorno industrial el razonamiento se extiende a los protocolos de planta. Un dispositivo que responde a Modbus o S7comm y que no forma parte de ningún proceso real no lo toca un operario: lo toca alguien que está mapeando la red OT.
Qué ves cuando salta la alarma
Una alerta útil no es un correo que dice «actividad sospechosa detectada». Es un aviso que te permite decidir en treinta segundos si levantas a alguien de la cama.
| Fase del atacante | Qué hace | Qué señuelo lo caza |
|---|---|---|
| Reconocimiento interno | Barre la red buscando qué hay | Servicios señuelo en cada VLAN |
| Búsqueda de credenciales | Revisa recursos compartidos y documentación | Ficheros trampa con credenciales falsas |
| Movimiento lateral | Salta de una máquina a otra | Recursos SMB y RDP señuelo |
| Escalada en el dominio | Pide tickets, vuelca memoria | Cuentas de servicio señuelo |
| Exfiltración | Saca información fuera | Documentos que avisan al abrirse fuera de la red |
Cada aviso llega con la dirección de origen, la credencial usada, el momento exacto y qué intentó hacer. Eso es lo que convierte la alerta en una decisión y no en otra pestaña abierta.
Del lado cómodo de la asimetría
La frase de que el defensor tiene que acertar siempre y el atacante solo una vez describe bien por qué defender es agotador. Los señuelos le dan la vuelta al problema dentro de tu red.
Cuando la red está sembrada de activos que nadie legítimo toca, el atacante pasa a tener que acertar en cada movimiento. Cada recurso compartido que abre, cada credencial que prueba, cada máquina que escanea es una tirada que puede delatarle. Y tú solo necesitas que falle una.
No sustituye a nada. No reemplaza al EDR, ni al parcheo, ni a la segmentación, ni a hacer copias que de verdad restauren. Es la capa que asume que todo lo anterior va a fallar alguna vez, y decide que ese día quieres enterarte el primer día y no el día treinta.
Servicio relacionado
Seguridad gestionada (MSSP): monitorización y respuesta continua
Seguir leyendo
- Honeypots y canary tokens: defensa contra adversarios sofisticados
- Cazadores de élite: el Threat Hunting como ventaja estratégica
- El asedio de Scattered Spider al comercio