[German_Sidorov]

Здравствуйте. Обсуждаем на техсовете идею развернуть в сети ловушки: фальшивые серверы и учётки, чтобы ловить того, кто уже внутри периметра. Часть коллег считает это игрушкой для отчётов, часть считает единственным способом поймать тихое перемещение по сети. Опыта ни у кого нет. Расскажите, кто внедрял: работает ли это на практике и сколько сил уходит на поддержание такой инфраструктуры. Сеть распределённая, филиалов больше десяти, полный контроль периметра недостижим. Бюджета на большие внедрения в этом году нет, ищем недорогие меры.

[Rodion_Belyakov]

Работает, и главное достоинство в низком уровне ложных срабатываний: к ловушке не обращаются по ошибке, поэтому почти каждое событие требует внимания. Класс TDP как раз про это, и особенно полезен он на этапе, когда злоумышленник уже внутри и изучает сеть. По трудозатратам основное это правдоподобность: пустая ловушка без следов использования вычисляется быстро. Начните с приманок в виде учётных данных на реальных машинах, они дешевле в поддержке и часто срабатывают раньше самих ловушек. В распределённой сети ловушки особенно полезны в филиалах, куда мониторинг обычно доходит в последнюю очередь. Начните с малого числа приманок, эффект видно уже на первых, и бюджет на это нужен небольшой.