Honeypot: cos'è, come funziona e a cosa serve

Un honeypot è una risorsa informatica finta (un server, un servizio, un file, una credenziale) messa in rete apposta per essere cercata e attaccata. Non ha nessun uso legittimo, quindi chi la tocca è sospetto per definizione. Per questo un honeypot genera pochi allarmi, quasi sempre fondati, e mostra come si muove chi è già entrato.

Qui vediamo come funziona, i tipi principali, a cosa serve in azienda, i limiti e il rapporto con la NIS2.

Cos'è un honeypot

Il glossario del NIST riprende la definizione della RFC 4949 dell'IETF: un honeypot è un sistema, per esempio un web server, o una risorsa di sistema, per esempio un file su un server, progettato per attirare intrusi come il miele attira gli orsi. Da qui il nome, letteralmente vaso di miele.

ENISA, nello studio sugli honeypot del novembre 2012 realizzato con CERT Polska, spiega il principio che li rende utili. La risorsa non ha valore per la produzione, quindi chiunque ci si colleghi o provi a usarla è sospetto per definizione. Tutta l'attività che la riguarda viene registrata e analizzata. Perché funzioni servono due condizioni: dal punto di vista dell'attaccante l'honeypot non deve distinguersi da una risorsa vera, e deve restare isolato dall'ambiente di produzione.

Come funziona

Un sistema di rilevamento tradizionale guarda il traffico vero e deve trovare gli eventi malevoli in mezzo a quelli legittimi. L'honeypot rovescia il problema: nessun traffico legittimo dovrebbe raggiungerlo, quindi ogni contatto è già un segnale.

ENISA lo mette a confronto con IDS e IPS in questi termini:

• un honeypot è per natura meno soggetto ai falsi positivi, ma è più specifico e chiede più lavoro di amministrazione;
• non vede gli attacchi diretti alle risorse di produzione, e quindi non li blocca;
• IDS e IPS coprono molti più attacchi, al prezzo di più falsi positivi;
• le due tecnologie sono complementari: l'honeypot può cogliere ciò che l'IDS perde, per esempio perché manca una firma o perché l'alert si è perso tra troppi altri.

Il valore pratico sta nella qualità del segnale. Chi gestisce un SOC conosce il peso degli allarmi inutili (ne parliamo nell'articolo sull'alert fatigue): un honeypot posizionato bene produce alert rari, e quasi sempre da guardare subito.

I tipi di honeypot

La classificazione di base, secondo ENISA, usa due criteri indipendenti: il tipo di risorsa attaccata e il livello di interazione.

Lato server e lato client

Gli honeypot lato server sono quelli classici: espongono una o più porte, o intere applicazioni (SSH, un servizio di condivisione file, un pannello web), e aspettano connessioni. Intercettano le scansioni automatiche, ma anche i tentativi manuali di intrusione.

Gli honeypot lato client, chiamati anche honeyclient, fanno il contrario: usano un'applicazione client, di solito un browser, per visitare siti e servizi e osservare se il contenuto servito tenta di sfruttare una vulnerabilità.

Bassa e alta interazione

Un honeypot a bassa interazione emula un servizio senza eseguirlo davvero. È più facile da installare e mantenere e comporta meno rischi, perché l'attaccante non ottiene mai un sistema reale. In cambio l'emulazione è imperfetta: l'attacco può interrompersi prima della fase interessante, l'honeypot è più facile da riconoscere e non può emulare vulnerabilità che nessuno conosce ancora.

Un honeypot ad alta interazione usa sistemi e applicazioni veri, spesso in macchine virtuali. Raccoglie molti più dati e può cogliere attacchi a vulnerabilità zero-day, ma secondo ENISA è più costoso da gestire, rende più difficile capire quali comportamenti siano malevoli e porta un rischio più alto di perdere il controllo del sistema compromesso.

Honeynet, honeytoken e breadcrumb

Una honeynet è un insieme di honeypot che simula una rete intera. MITRE D3FEND, il catalogo delle tecniche di contrasto, distingue tre varianti a seconda del legame con la produzione: la honeynet isolata, non collegata a nessun sistema aziendale; quella connessa alla rete aziendale, che simula alcune funzioni senza esporre un accesso pieno a un sistema di produzione; quella integrata, con esche collocate dentro l'ambiente di produzione.

Un honeytoken non è un sistema ma un dato: un file, un record di database, una credenziale, un indirizzo email. ENISA lo descrive con le parole di Lance Spitzner come un honeypot che non è un computer: nessuna attività normale dovrebbe toccarlo, quindi ogni accesso è con buona probabilità non autorizzato. Il NIST, nel controllo SI-20 della SP 800-53 Rev. 5, porta un esempio concreto: inserire nomi e indirizzi email falsi in un database interno. Se arriva posta a uno di quegli indirizzi, il database è stato compromesso e chi ha scritto potrebbe averne una copia.

L'NCSC britannico, nel 2024, ha fissato un vocabolario utile per orientarsi:

• tripwire: componenti pensati per rivelare la presenza di un attaccante nel momento in cui interagisce con loro, honeytoken compresi;
• honeypot: componenti che lasciano interagire l'attaccante per osservarne tecniche, strumenti e infrastruttura, con lo scopo di raccogliere threat intelligence;
• breadcrumb: tracce digitali sparse nei sistemi che invogliano l'attaccante a interagire con un tripwire o un honeypot.

A cosa serve un honeypot in azienda

Lo scopo decide il tipo e la posizione. Per un'azienda mid-market gli usi concreti sono tre.

Accorgersi di chi è già dentro

È l'uso più utile. ENISA descrive l'installazione interna: un honeypot in un segmento di rete di produzione, con un indirizzo IP mai assegnato prima, serve a rilevare sistemi compromessi, infezioni interne e minacce dall'interno. Visto che non ha alcun valore operativo, qualunque interazione, salvo errori di configurazione, indica attività indesiderata.

Lo stesso studio nota che negli attacchi mirati gli attaccanti si muovono nella rete con credenziali legittime ogni volta che possono, e usano malware o tecniche rumorose solo in certi casi. Una credenziale esca o un server finto sul loro percorso cambiano le probabilità: per scoprire la rete devono toccare qualcosa, e prima o poi toccano la cosa sbagliata.

Capire come attaccano

Il NIST, nel controllo IR-4(13), osserva che se un'organizzazione mantiene un ambiente di inganno, analizzare cosa vi succede (quali risorse cerca l'attaccante, con quali tempi) dà indicazioni su tattiche, tecniche e procedure. È lavoro di intelligence: serve se qualcuno poi usa quelle informazioni, come spieghiamo nell'articolo sulla threat intelligence.

Rilevare un furto di dati

Qui entrano gli honeytoken. Un record finto in un archivio clienti, un documento esca in una cartella condivisa, una chiave cloud mai usata: se compaiono fuori dal perimetro, o se qualcuno li usa, si sa che cosa è uscito e da dove.

Limiti e rischi da conoscere

Un honeypot non sostituisce nessun altro controllo, e le fonti lo dicono in modo esplicito.

• Vede solo ciò che lo tocca. Un attacco diretto ai sistemi veri, che non passa dall'esca, resta invisibile all'honeypot.
• Si può riconoscere. ENISA avverte che chi cerca segni di inganno con attenzione prima o poi li trova: stringhe fisse nel codice, banner di servizio tipici, protocolli riprodotti in modo inesatto. Un honeypot scoperto perde gran parte del suo valore, e può essere usato per inquinare i dati raccolti.
• Va isolato. Il controllo SC-26 del NIST (Decoys, che comprende honeypot, honeynet e reti di inganno) chiede misure di isolamento perché il codice malevolo attirato dall'esca non raggiunga i sistemi aziendali. Il rischio cresce con l'alta interazione: un sistema vero compromesso può diventare una base per attaccare altri.
• Ha implicazioni legali. Lo stesso SC-26 indica che, a seconda dell'uso, prima dell'installazione può servire il parere dell'ufficio legale; ENISA pone la questione della responsabilità nel caso in cui un honeypot venga usato per attaccare un sistema di terzi.
• Chiede competenze e manutenzione. Tra gli ostacoli all'adozione ENISA elencava documentazione scarsa, software poco stabile, poca standardizzazione e la necessità di personale molto qualificato. L'NCSC, nel resoconto dei test pubblicato a dicembre 2025, ha scritto che uno strumento di inganno configurato male può non rilevare nulla, dare un falso senso di sicurezza o aprire nuove strade agli attaccanti, e che va aggiornato e regolato man mano che la rete cambia.

Cosa dicono i test dell'NCSC

Una verifica su scala ampia l'ha condotta l'NCSC nel Regno Unito, nell'ambito del programma Active Cyber Defence 2.0: 121 organizzazioni, 14 fornitori di prodotti di cyber deception, 10 prove in ambienti diversi, dal cloud alla tecnologia operativa. Il resoconto è del dicembre 2025.

• La maggior parte delle organizzazioni coinvolte vede un valore reale, soprattutto per rilevare minacce nuove e arricchire l'intelligence, ma mancano ancora metriche di risultato.
• Senza una strategia chiara il rischio è installare strumenti che producono rumore invece di informazioni utili.
• Il 90% dei partecipanti ha dichiarato che non renderebbe pubblico l'uso di tecniche di inganno.

Nel post del 2024 che lanciava l'iniziativa, l'NCSC aveva distinto due usi. Tripwire e honeytoken a bassa interazione, per segnalare accessi non autorizzati, adatti a tutte le organizzazioni. Honeypot a bassa e alta interazione per raccogliere threat intelligence, adatti a organizzazioni con capacità di security operations mature e ai fornitori di servizi di sicurezza gestiti.

Honeypot e NIS2

Le misure di sicurezza di base fissate da ACN per i soggetti NIS (determinazione 379907/2025, allegati 1 e 2) non nominano gli honeypot. Chiedono però, nella misura DE.CM-01 punto 1, che per almeno i sistemi informativi e di rete rilevanti siano presenti, aggiornati, mantenuti e configurati in modo adeguato "strumenti tecnici per rilevare tempestivamente gli incidenti significativi".

Un honeypot o un insieme di honeytoken possono far parte di quegli strumenti, ma non bastano da soli: un sistema che vede solo chi tocca l'esca non copre la rilevazione sui sistemi rilevanti che la misura chiede. Il loro posto naturale è come fonte in più dentro il monitoraggio che c'è già, con gli alert che confluiscono nel SIEM insieme a log, endpoint e rete.

Da dove partire

Per un'azienda senza un team di sicurezza numeroso, la sequenza prudente:

1. Decidere lo scopo. Rilevare chi è già dentro è un obiettivo diverso dallo studiare gli attacchi da Internet, e richiede strumenti e posizioni diverse.
2. Partire dalla bassa interazione e dagli honeytoken. Credenziali esca, file esca, un servizio finto in un segmento interno con un indirizzo mai usato. È l'uso che l'NCSC indica per tutte le organizzazioni.
3. Collegare gli alert a chi risponde. Un honeypot che scatta di notte e che nessuno legge non serve. Gli alert devono arrivare nel SIEM e a un SOC che li gestisca a qualunque ora, con una procedura scritta.
4. Isolare e documentare. Segmentazione, regole di uscita dal sistema esca, parere legale per l'alta interazione, elenco di dove sono le esche.
5. Verificare nel tempo. Provare periodicamente che l'alert arrivi davvero e aggiornare le esche quando la rete cambia, come raccomanda l'NCSC.

In sintesi

Un honeypot è una risorsa esca senza uso legittimo: chi la tocca si rivela. Produce alert rari e affidabili, ma vede solo ciò che lo raggiunge, va isolato e va mantenuto. Per la maggior parte delle aziende il primo passo sono honeytoken e honeypot a bassa interazione dentro la rete, collegati al monitoraggio e a qualcuno che risponda.

Se vuoi capire come inserire esche e trappole nel monitoraggio che hai già, o valutare un servizio SOC che gestisca gli alert per te, parliamone.