В deception часто используют два понятия — ловушки и приманки.
Их нередко смешивают, хотя задачи у них разные.
Ловушка — это ложный ресурс, с которым взаимодействует атакующий: сервер, сервис, база данных, веб-приложение, сетевое оборудование и т. д. Но есть проблема: злоумышленник еще должен эту ловушку найти.
И здесь появляются приманки.
Это ложные артефакты, которые располагаются в инфраструктуре и выглядят для атакующего как потенциально полезные: учетные данные, сведения о сетевых ресурсах, ссылки на сервисы и другие следы.
Их задача — не собирать активность, а направить атакующего туда, где эту активность уже можно наблюдать.
Получается простая связка:
приманка привлекает внимание → атакующий идет по ложному следу → ловушка фиксирует его действия.
И вот здесь deception становится значительно интереснее отдельного honeypot.
Атакующий сам начинает раскрывать:
- какие учетные данные пробует использовать
- какие сервисы ищет
- какие команды выполняет
- какими инструментами пользуется
- куда пытается двигаться дальше.
В HoneyCorn ловушки и приманки работают как единая система. Это позволяет не просто поставить в сети несколько ложных сервисов, а сформировать deception-ландшафт, через который можно направлять действия атакующего и получать данные для дальнейшего обнаружения и расследования.
Поэтому вопрос не только в том, насколько реалистична ловушка. Не менее важно — что заставит атакующего вообще с ней взаимодействовать.
