honeypot-detectionlisted

# Detección de honeypots y honeytraps Un honeypot bien puesto te hace **perder tiempo** y, peor, **te delata** (alerta al defensor). Detéctalo PRONTO; en confianza alta, **aborta ese vector** (modelo de decisión del Orquestador) — el host sale de la frontera activa y no bloquea el cierre. ## Fingerprints de honeypots conocidos - **SSH — Cowrie/Kippo:** acepta casi cualquier credencial; filesystem falso muy "de libro"; comandos que responden raro (`wget`/`curl` siempre "funcionan", `/proc` falso); banner SSH forzado/desfasado. - **Malware — Dionaea:** emula SMB/FTP/HTTP/MSSQL/MySQL para capturar binarios; acepta uploads sin lógica real; respuestas demasiado uniformes. - **ICS — Conpot:** emula PLC/Modbus/SNMP/S7; banners industriales "perfectos" en un host que no debería tenerlos. - **Web — Glastopf / SNARE-Tanner:** responde positivo a CUALQUIER payload (SQLi/LFI/RCE) sin coherencia ("vulnerable a todo a la vez"). - **T-Pot / multi-honeypot:** un solo host con DECENAS de servicios dispares abiertos (telnet+RDP+SCADA+…). ## Heurísticas conductuales (sin fingerprint exacto) - **TODOS o casi todos los puertos abiertos** (imposible en un host real). - **Cualquier credencial "funciona"** sin esfuerzo, o un exploit notorio cae "demasiado fácil". - **Banners/versiones incoherentes** entre sí o con el OS detectado; servicios que no deberían coexistir. - **Respuestas demasiado uniformes/perfectas**, latencias artificiales, o **canary tokens** plantados. - (Post-explotación) h