Honeytokens: detección de intrusiones con 100% de certeza
Toda defensa basada en firmas o en comportamiento —IDS, EDR, antivirus— padece la misma dolencia: las falsas alarmas. Adivina si una actividad es maliciosa, y a veces se equivoca. Un honeytoken invierte la ecuación: es una trampa digital —un archivo, una clave, una contraseña o una dirección— que ningún proceso legítimo llega a tocar jamás. Así, cada acceso a él es una intrusión confirmada, con cero falsas alarmas.
Qué es realmente un honeytoken
Un honeytoken es un cebo falso que el operador planta en cualquier lugar sensible: una URL señuelo, un registro DNS, una clave de nube ficticia, un documento «confidencial» o un par de credenciales para una base de datos que no existe. La idea es tan antigua como el propio espionaje: un nombre falso en una lista de correo para atrapar a quien la vendió. En el mundo cibernético esto se convierte en la señal de brecha más limpia que existe: si alguien leyó, abrió o usó el honeytoken, no se suponía que estuviera ahí. Punto.
Cómo funciona: 100% sin agente
1. Emitir. Desde el panel, el operador acuña un honeytoken por tipo y etiqueta (por ejemplo «clave SSH · servidor de backup»). La salida es simplemente una cadena de texto. 2. Plantar. Pegas la cadena en cualquier sitio tentador: un archivo passwords.xlsx en un servidor de archivos, una clave señuelo en el código, un registro DNS interno. No hay nada que instalar en ningún dispositivo. 3. Disparar. En el momento en que un atacante toca el honeytoken, el acceso llega a un Worker público —un faro en la nube— que registra el evento: IP de origen, geolocalización, marca de tiempo. 4. Enriquecer. El faro coteja la IP contra el feed de inteligencia de amenazas (C2) que ya sirve a la plataforma. 5. Ocultar. El Worker devuelve un inocente GIF de 1x1: el atacante no ve nada sospechoso y sigue como si nada hubiera pasado. Nosotros ya lo sabemos.
Qué ocurre en el momento en que se dispara
- El impacto entra en el feed de ataques en vivo en tiempo real.
- Se alimenta en la correlación de incidentes del SIEM, conectándose con todas las demás señales en una única historia de ataque.
- El operador recibe un correo instantáneo: no hace falta estar frente a una pantalla para enterarse.
- El contador de ese honeytoken en el panel sube, de modo que puedes ver tendencias («este archivo se tocó 4 veces esta semana»).
Dónde encaja en el marco
En términos de MITRE y NIST, esto es engaño en la función Detect. Mientras UEBA y EDR aprenden «qué es normal» y adivinan las desviaciones, el honeytoken no adivina nada: tiende una trampa y espera. Los dos enfoques se complementan: el comportamiento estrecha el campo de visión, y el honeytoken aporta la prueba limpia. Juntos, en una sola plataforma, son la diferencia entre esperar atrapar a un intruso y saber en qué momento entra uno.