Primera implementación de cyberdeception

Guía · 15 de septiembre de 2026

Elegir una pregunta de detección

Comenzá por una acción que no debería ocurrir: un usuario que abre un archivo señuelo, una cuenta que utiliza una credencial ficticia o un proceso que intenta conectarse a un servicio interno simulado. La pregunta debe permitir explicar por qué esa interacción merece investigación.

Elegir el recurso

Un honeytoken funciona cuando el dato puede colocarse en un sitio creíble y el mecanismo de alerta está verificado. Un honeypot resulta útil cuando se necesita observar interacciones de red o protocolos. OpenCanary documenta un enfoque multiprotocolo para redes internas; Cowrie documenta SSH y Telnet. La elección depende del comportamiento buscado, no del número de funciones de la herramienta.

Preparar el entorno

Identificá dónde verá el señuelo el adversario, cómo recibirá la alerta el equipo y qué ocurrirá si alguien intenta interactuar más de lo esperado. Separá el señuelo de activos productivos y registrá los cambios de configuración. Si se usa una plataforma de laboratorio como T-Pot, estudiá sus requisitos y límites antes de exponerla a una red pública.

Definir respuesta y observación

Una alerta necesita responsable, prioridad y pasos de comprobación. Probá con una interacción autorizada, registrando cuánto tarda en llegar la alerta y qué información contiene. Después observá durante un período definido: cantidad de interacciones, utilidad de las señales y trabajo de revisión.

Decidir si ampliar

Ampliá si el señuelo produce información accionable y se mantiene creíble. Ajustá posición o diseño si solo capta escaneos masivos sin aportar la señal buscada. Documentá también los intentos sin alerta y los falsos positivos: son parte del resultado.

El NCSC británico observó que cyberdeception puede funcionar, pero requiere estrategia, contexto y métricas útiles.