Ловушка сработала — атакующий оставил следы — аналитик получил данные.
Это базовый сценарий Deception. Но чем сложнее становятся атаки, тем важнее не просто зафиксировать взаимодействие, а получить больше контекста и быстрее использовать его в защите.
Именно в эту сторону развивается HoneyCorn.
В уже вышедшем релизе 5.3.0 появился конструктор генерации ловушек под новые CVE с помощью ИИ, сбор полной телеметрии, генерация уникальных приманок для каждого хоста и возможность получать историю команд нарушителя на Linux- и Windows-агентах. Также предусмотрено автоматическое разворачивание ловушки после успешной эксплуатации.
Следующий этап — сделать саму deception-среду более динамичной.
В релизе 5.4.0, запланированном на Q4 2026 года, появятся новые специализированные ловушки — SMB Share и MitM, конструктор ловушек будет перенесен в общую консоль HoneyCorn, а также появится механизм автоматической ротации ловушек по заданным политикам.
То есть ложная инфраструктура сможет не просто существовать в сети, а меняться вместе с ней.
Дальше — работа с тем, что удалось получить от атакующего.
В релизе 6.1.0 планируется отдельный модуль управления индикаторами компрометации. HoneyCorn сможет собирать IoC с ловушек и внешних источников, нормализовать их, проверять валидность, редактировать и передавать дальше в средства защиты. Среди собираемых данных — IP атакующего, логины и пароли, файлы, трафик, обращения к файлам, процессам и реестру.
В той же ветке развития предусмотрены ответы на консольные запросы злоумышленника с помощью ИИ и MCP-сервер для управления системой через ИИ.
Еще дальше — интерактивные ловушки.
В 6.2.0 запланирована SSH-ловушка с ИИ, которая сможет поддерживать взаимодействие с атакующим внутри имитации Linux-сервера, генерировать ответы, вести его по ложному следу и логировать команды. Параллельно будут развиваться приманки: в реестре, памяти серверов и рабочих станций, внутри самих ловушек и через сторонние средства развертывания.
В итоге HoneyCorn постепенно движется от модели «поставили ловушку и ждем события» к другой архитектуре:
приманка → взаимодействие → телеметрия → IoC → проверка → распространение → новое действие системы.
И чем больше этих процессов удается автоматизировать, тем дольше атакующий остается внутри контролируемой среды и тем больше данных о своих действиях успевает оставить.
Наши соцсети:
