¿Y si en lugar de esperar al atacante le tendieras una trampa? La ciberdecepción (deception) llena la red de señuelos que ningún usuario legítimo tiene motivos para tocar. Así, cualquier interacción con ellos delata al intruso. Este módulo del Máster en Ciberseguridad Defensiva y Ofensiva de la UCM te enseña a diseñar esas trampas, a detectar al adversario antes de que llegue a lo importante y a convertir cada intrusión en información para defenderte mejor.
Ciberdecepción, honeytokens y Canarytokens para detectar intrusos
Qué es la ciberdecepción: detección de alta fidelidad y marco MITRE Engage
Descubre qué aporta el engaño a la defensa. Como cualquier interacción con un señuelo es sospechosa por definición, genera alertas de alta fidelidad, casi sin falsos positivos. Además, ralentiza y desgasta al atacante y te da tiempo para reaccionar. Planifica estas operaciones con MITRE Engage, el marco de referencia para diseñar acciones de engaño frente a un adversario.
Qué es un honeypot: baja y alta interacción, producción e investigación
Un honeypot es un sistema trampa diseñado para atraer a los atacantes y observar lo que hacen. Conoce los honeypots de baja y de alta interacción, según cuánto dejan hacer al intruso, y la diferencia entre los honeypots de producción, pensados para detectar, y los de investigación, pensados para estudiar al adversario.
Honeynets con Cowrie, Dionaea, Conpot y T-Pot
Combina varios honeypots en una honeynet que reproduzca un entorno creíble. Despliégalos con Cowrie, Dionaea, Conpot y T-Pot, herramientas capaces de simular desde un servidor SSH hasta un sistema industrial, un escenario que conecta con el módulo de Infraestructuras críticas y ciberseguridad industrial.
Honeytokens y Canarytokens: credenciales, documentos y registros trampa
No todas las trampas son sistemas completos. Siembra honeytokens por toda la organización: credenciales falsas, documentos trampa o registros que avisan en cuanto alguien los toca. Crea los tuyos con soluciones como Canarytokens y descubre por qué son una de las formas más sencillas y eficaces de detectar a un intruso.
Despliegue en la red, integración con el SIEM y aspectos legales
Una trampa mal colocada no sirve de nada. Aprende a situar los señuelos en los puntos clave de la red e intégralos con el SIEM para que sus alertas lleguen al equipo de defensa, como verás en Detección, correlación y acción. Evita además que el atacante reconozca el engaño o use un honeypot como punto de salto, y conoce los límites legales de estas prácticas.
De la trampa a la inteligencia: extracción de TTP e IOCs
Termina el módulo convirtiendo lo capturado en conocimiento. Extrae las tácticas, técnicas y procedimientos (TTP), los indicadores de compromiso (IOCs) y las muestras de malware que deja cada intruso, y úsalos para reforzar tus defensas y alimentar el análisis del módulo de Modelado de amenazas y comprensión de adversarios.
Contenidos del módulo de señuelos, trampas y engaño al atacante
- Fundamentos de la ciberdecepción.
- Qué es deception y qué aporta a la defensa.
- Detección de alta fidelidad y desgaste del atacante.
- Marco MITRE Engage.
- Honeypots y honeynets.
- Honeypots de baja y alta interacción.
- Honeypots de producción y de investigación.
- Herramientas: Cowrie, Dionaea, Conpot y T-Pot.
- Honeytokens y señuelos.
- Credenciales, documentos y registros trampa.
- Canarytokens.
- Despliegue y explotación de la información.
- Ubicación en la red e integración con el SIEM.
- Riesgos, evasión por parte del atacante y aspectos legales.
- Extracción de TTP e IOCs para inteligencia de amenazas.