honeypot-foundry

Acerca del proyecto

Honeypot Foundry es un conjunto de herramientas integral y listo para producción, diseñado para el despliegue y la gestión del ciclo de vida de honeypots en entornos corporativos y empresariales. Un honeypot, en ciberseguridad, es un sistema o servicio expuesto de forma deliberada que imita infraestructura real para atraer a los atacantes. Cuando un atacante interactúa con un honeypot, cada acción se registra y analiza, proporcionando inteligencia de amenazas de enorme valor sin poner en riesgo los sistemas de producción reales. Este conjunto de herramientas permite a los equipos de seguridad desplegar múltiples tipos de honeypots — desde sensores de baja interacción que emulan servicios básicos (SSH, HTTP, FTP, SMB) hasta trampas de alta interacción que simulan sistemas operativos completos. Cada instancia de honeypot es totalmente configurable mediante archivos de configuración basados en YAML, lo que permite a los equipos personalizar qué servicios se exponen, qué nivel de interacción se permite y cómo se generan las alertas. La plataforma se integra de forma nativa con Elasticsearch para la agregación y el análisis de logs, permitiendo a los analistas de seguridad correlacionar la actividad de los honeypots con otros eventos de seguridad en su SIEM. Los paneles en tiempo real ofrecen visibilidad sobre patrones de ataque, geolocalización de las IP de origen, técnicas de ataque (mapeadas al marco MITRE ATT&CK) y tendencias temporales. Entre sus funciones clave se incluyen el despliegue automatizado mediante contenedores Docker, la gestión centralizada de múltiples instancias de honeypot, umbrales de alerta configurables, integración con fuentes de inteligencia de amenazas para enriquecer la reputación de IP, y generación automática de informes para documentación de cumplimiento y respuesta a incidentes.

Por qué importa esto

Los honeypots representan una de las estrategias más potentes, pero menos aprovechadas, de la ciberseguridad defensiva. A diferencia de los controles de seguridad tradicionales, que son reactivos (cortafuegos, antivirus), los honeypots son mecanismos de detección proactivos: cualquier interacción con ellos es intrínsecamente sospechosa, ya que ningún usuario o sistema legítimo debería acceder a ellos. Esto reduce drásticamente los falsos positivos, un reto persistente en las operaciones de seguridad. En el panorama actual de amenazas, donde los atacantes eluden rutinariamente las defensas perimetrales, los honeypots actúan como un sistema de alerta temprana en lo profundo de la red. Detectan movimientos laterales de insiders y amenazas persistentes avanzadas (APTs) que ya han superado las defensas iniciales. Para las organizaciones sujetas a cumplimiento normativo (PCI-DSS, HIPAA, SOC 2), los honeypots proporcionan evidencia de capacidades proactivas de detección de amenazas. Este proyecto cubre una carencia crítica en el ecosistema open-source al proporcionar una plataforma de honeypots de nivel empresarial que es fácil de desplegar, configurar e integrar con la infraestructura de seguridad existente — capacidades que antes solo estaban disponibles a través de soluciones comerciales costosas.

Guía paso a paso

1. Clona el repositorio e instala todas las dependencias utilizando el script de instalación proporcionado. El conjunto de herramientas requiere Docker y Python 3.8+ como requisitos previos. Ejecuta 'pip install -r requirements.txt' para instalar las dependencias de Python.
2. Configura el despliegue de tus honeypots editando el archivo honeypot.config.yaml. Define qué servicios simular (SSH, HTTP, FTP, SMB, MySQL, etc.), establece las interfaces de red y los puertos, configura la verbosidad del registro y especifica los destinos de las alertas (email, Slack, webhook).
3. Despliega tus honeypots usando el comando 'foundry deploy --profile production'. Esto levantará contenedores Docker para cada servicio configurado, configurará la recopilación de logs e iniciará el panel de monitorización. Usa '--profile staging' para pruebas antes del despliegue en producción.
4. Supervisa las alertas entrantes a través del panel integrado de Kibana, que ofrece visualización en tiempo real de la actividad de ataque, mapas de calor geográficos del origen de los atacantes y correlación automatizada con indicadores de inteligencia de amenazas conocidos. Exporta los datos a tu SIEM existente para un análisis centralizado.

Tecnologías utilizadas