Un Honeypot es una herramienta de seguridad que simula ser un sistema o

servicio vulnerable para atraer y engañar a los atacantes informáticos.

Su objetivo es detectar, obtener información y prevenir posibles amenazas a

la red o al sistema real.

Existen diferentes tipos de Honeypots según su nivel de interacción, su

ubicación y su función.

Algunos ejemplos son:

- Honeypots de interacción alta: son servidores que poseen servicios reales
instalados y que permiten al atacante interactuar con ellos como si fueran
sistemas reales.

Proporcionan información detallada sobre el ataque, pero también implican

un mayor riesgo y mantenimiento.

- Honeypots de interacción baja: son servidores que simulan servicios o

protocolos, pero que no permiten al atacante ejecutar comandos o acceder a
recursos.

Son más fáciles de instalar y administrar, pero también más fáciles de

detectar por el atacante.

- Honeypots internos: son aquellos que se ubican dentro de la red de la

organización, detrás del firewall externo.

Sirven para detectar ataques internos o movimientos laterales de los

atacantes que ya han comprometido la red.

- Honeypots externos: son aquellos que se ubican fuera de la red de la

organización, expuestos al público.

Sirven para detectar ataques externos y analizar las técnicas y herramientas

que usan los atacantes.

- Honeypots de alerta: son aquellos que se diseñan y programan con el objetivo

de detectar ataques, pero sin realizar ninguna acción más.

Solo sirven como sistemas de alarma o aviso.

- Honeypots de investigación: son aquellos que se diseñan y programan con el

objetivo de obtener información sobre los atacantes, sus métodos, sus
motivaciones y sus objetivos.

Sirven para mejorar el conocimiento y la defensa de la ciberseguridad.

- Honeypots de distracción: son aquellos que se diseñan y programan con el
objetivo de ralentizar o desviar a los atacantes, haciéndoles perder tiempo y
recursos en un sistema falso.

Sirven para proteger el sistema real y ganar tiempo para tomar medidas
preventivas.

Para configurar un Honeypot, se necesita tener un servidor dedicado,

preferiblemente aislado del resto de la red, y un software específico que simule o
implemente los servicios o sistemas que se quieren ofrecer como señuelo.

Existen diferentes programas y herramientas que facilitan la instalación y

gestión de los Honeypots, como por ejemplo:

- Heralding: es un Honeypot de interacción baja que simula varios servicios

comunes, como SSH, FTP, Telnet, HTTP, etc. Es fácil de instalar y configurar, y
registra los intentos de conexión y autenticación de los atacantes.

- Cowrie: es un Honeypot de interacción media que simula un servicio SSH y

Telnet, permitiendo al atacante ejecutar algunos comandos limitados. Es más
realista que Heralding, pero también más complejo de configurar y mantener.

- Dionaea: es un Honeypot de interacción alta que simula varios servicios

vulnerables, como SMB, HTTP, FTP, etc.

Permite al atacante descargar y ejecutar malware en el sistema, capturando

así las muestras y analizando su comportamiento.

Para instalar cualquiera de estos Honeypots, se necesita tener un sistema

operativo Linux, preferiblemente actualizado y seguro, y seguir los pasos que se
indican en la documentación oficial de cada herramienta.

Por ejemplo, para instalar Heralding, se pueden seguir los siguientes pasos:

- Instalar las dependencias necesarias: `sudo apt install -y python3-pip

python3-dev python3-venv build-essential libssl-dev libffi-dev git libpq-dev`

- Descargar Heralding: `git clone https://github.com/johnnykv/heralding.git`

- Entrar en el directorio de Heralding: `cd heralding`

- Configurar el entorno virtual: `python3 -m venv venv && source

venv/bin/activate && pip install --upgrade pip && pip install -r requirements.txt`

- Crear el archivo de configuración y colocar el puerto 22: `sudo mkdir -p

/etc/endlessh && sudo echo "Port 22" | sudo tee /etc/endlessh/config`

- Iniciar el servicio y habilitarlo para que arranque durante el inicio del sistema
operativo: `sudo systemctl enable --now endlessh`

- Verificar que el servicio esté escuchando: `sudo netstat -tulpn | grep

endlessh`

Espero que esta información te sea muy útil.

Manuel Navarro Hidalgo.