honeypot

Honeypot to system, na przykład serwer WWW, albo zasób systemu, na przykład plik na serwerze, zaprojektowany tak, by przyciągać włamywaczy, tak jak miód przyciąga niedźwiedzie ^[1]. Nie obsługuje żadnego legalnego ruchu, więc każde odwołanie do niego jest podejrzane z samej definicji. MITRE D3FEND opisuje takie środowisko jako hosty i sieci służące do wprowadzania napastnika w błąd i podaje „honeypot” jako synonim ^[2]. Honeypot jest narzędziem wykrywania i obserwacji, a nie zaporą: nikogo nie zatrzymuje, tylko rejestruje, co napastnik robi.

Jak działa

Zasada jest prosta. Systemy w środowisku pułapki konfiguruje się tak, by pewien wykrywalny kanał komunikacji nie miał żadnego uzasadnionego celu biznesowego ^[2]. Każde połączenie tym kanałem powinno zostać zapisane i przeanalizowane, bo może wskazywać na przeszły lub przyszły atak na inne systemy ^[2]. Z tego powodu honeypot daje mało fałszywych alarmów: prawowity użytkownik nie ma powodu, by się z nim łączyć.

Honeypot udaje usługę wartą ataku. Może to być serwer SSH przyjmujący dowolne hasło, panel logowania albo instalacja WordPressa z rzekomo podatną wtyczką. Napastnik lub automat, który się z nim połączy, zostawia ślady: adres IP, próbowane hasła, wpisywane polecenia, pobierane pliki. Te dane stają się wskaźnikami kompromitacji i materiałem dla threat intelligence.

Przebieg typowej sesji z honeypotem SSH pokazuje schemat poniżej.

RYS. 1Automat atakujący honeypot SSH

Rodzaje

Honeypoty różnią się stopniem interakcji i miejscem w sieci. Projekt Cowrie opisuje swój honeypot SSH i Telnet jako średnio- lub wysokointeraktywny: w trybie średnim emuluje system UNIX w Pythonie, a w trybie wysokim działa jako pośrednik do prawdziwego systemu, na którym obserwuje się zachowanie napastnika ^[3]. Cowrie służy do rejestrowania ataków siłowych (brute-force) i poleceń wpisywanych w powłoce ^[3].

D3FEND dzieli środowiska pułapek według związku z produkcją ^[2].

Honeypotem nie musi być cały serwer. Pojedynczy plik, rekord w bazie albo ukryte pole formularza też spełnia definicję RFC 4949, bo ta obejmuje zasoby systemu ^[1]. Pokrewnym pojęciem jest canary token, czyli pułapka zostawiana w dokumentach i systemach, która alarmuje przy użyciu.

W WordPressie

W świecie WordPressa honeypot występuje w dwóch postaciach. Pierwsza to ukryte pole formularza przeciw spamowi w komentarzach. Człowiek go nie widzi i zostawia puste, a złośliwy bot wypełnia wszystkie pola i tym się zdradza. Wtyczka Antispam Bee z katalogu wordpress.org używa takiego pola honeypot ^[5]. Jej dokumentacja zwraca uwagę na dwa szczegóły. Pola nie wolno ukrywać przez display: none ani visibility: hidden, bo wiele botów pomija pola ukryte w ten sposób, a pułapka potrzebuje, by je wypełniły ^[5]. Wtyczka ukrywa pole stylami w linii, więc na stronie ze ścisłą polityką CSP pole może stać się widoczne; od wersji 2.11.13 filtr antispam_bee_honeypot_styles pozwala przenieść te style do własnego arkusza ^[5].

// Style pola honeypot z własnego arkusza zamiast stylów w linii (zgodność z CSP).
add_filter( 'antispam_bee_honeypot_styles', '__return_empty_string' );

Druga postać to cała fałszywa instalacja WordPressa. Wordpot to honeypot WordPressa, który wykrywa sondowanie wtyczek, motywów, skryptu timthumb i innych plików używanych do rozpoznawania instalacji ^[4]. Można w nim ustawić tytuł bloga, motyw, udawane wtyczki i wersję WordPressa ^[4]. Taki honeypot pokazuje, których wtyczek szukają automaty, co pomaga ocenić, która podatność we wtyczce jest właśnie masowo wykorzystywana.

Na produkcyjnej stronie podobny efekt daje obserwacja adresów, których nikt legalnie nie odwiedza, na przykład nieistniejących ścieżek do plików XML-RPC czy kopii konfiguracji. Żądania do nich są sygnałem skanowania podatności i mogą zasilać blokady w WAF albo w narzędziu fail2ban.

Zagrożenia i ograniczenia

Honeypot sam jest serwerem wystawionym na atak. Wysokointeraktywny honeypot daje napastnikowi prawdziwy system, więc musi być odizolowany od produkcji; dlatego D3FEND wyróżnia wariant samodzielny, niepołączony z systemami produkcyjnymi ^[2]. Źle odizolowana pułapka może posłużyć jako punkt wyjścia do lateral movement. Rozsądnie jest więc umieścić ją w osobnym segmencie sieci, podobnie jak serwery w DMZ, z regułami, które nie przepuszczają ruchu z pułapki do produkcji.

Drugim ograniczeniem jest wiarygodność. Emulowana usługa odpowiada inaczej niż prawdziwa i doświadczony napastnik może to rozpoznać. Honeypot widzi też tylko ruch skierowany do siebie, więc nie zastępuje monitoringu właściwych systemów ani systemu SIEM.

Historia i przykłady

The Honeynet Project to międzynarodowa organizacja non-profit badająca nowe ataki i rozwijająca otwarte narzędzia bezpieczeństwa; jej wolontariusze uczestniczyli w walce ze złośliwym oprogramowaniem, takim jak Conficker ^[6]. We wrześniu 2026 roku projekt ogłosił wersję 1.0.0 honeypota Conpot, który emuluje usługi systemów przemysłowych ICS i SCADA ^[6].

Zasadę „dane, których nikt legalnie nie czyta” wykorzystało też Valve. Według Sekuraka z 23 lutego 2023 roku firma umieściła w aktualizacji gry Dota 2 fragment danych, którego gra nigdy nie odczytuje podczas normalnej rozgrywki, ale który odczytywały programy do oszukiwania ^[7]. Na tej podstawie zablokowano 40 000 kont ^[7].

Sam termin budził zastrzeżenia. Słownik RFC 4949 z sierpnia 2007 roku zaleca, by dokumenty IETF nie używały go bez definicji, bo inne kultury mogą posługiwać się inną metaforą ^[1].