איך זה עובד
עד עכשיו דיברנו על הגנה שמנסה למנוע את המתקפה. יש עקרון נוסף: להכניס את התוקף למלכודת. רעיון ה־Deception פשוט — שמים בארגון פרזות מושכות (חשבונות, סיסמאות, קבצים) שאף אדם לגיטימי לעולם לא ייגע בהן. כל נגיעה = התראה שהארגון נמצא תחת מתקפה.
- Honeypot-Accounts: חשבונות שנראים מפתים (svc_sql_backup, svc_exchange_admin) עם תיאור משכנע ו־«סיסמה» שנראית אמיתית, אבל בלי הרשאות אמיתיות. על החשבון מפעילים שרושם כל ניסיון אימות/קריאה/כתיבה.
- Canary Tokens: אסימוני מלכודת שמפעילים התראה על נגיעה — למשל קובץ Word מזויף ב־share, או מפתח AWS מזויף.
מדוע זה חזק כל כך: תוקף שפרץ חייב לאסוף מידע (enumeration). הוא ינסה לקרוא חשבונות, לראות מי admin, למשוך סיסמאות. כל שלב כזה נגד הונייפוט הוא נורה אדומה מדויקת — אין לו תוצאה לגיטימית.
- כל התראה = בדיקה דחופה: מי נגע, מאיזה מחשב, באיזו שיטה.
- תחזקו את ההונייפוט שיראה אמיתי: תיאור משכנע, לא מסומן כ־disabled.
- עקבו אחר השימוש בו למניעת false positives (למשל סורק פנימי שסורק את כל החשבונות).