هانی پات چیست؟ کاربرد Honeypot در امنیت سرور و شناسایی هکر

تصور کنید سارقی وارد یک خانه می‌شود، بدون اینکه بداند کل این خانه یک دکور است و پلیس از پشت آینه‌های دوطرفه در حال تماشای تمام حرکات اوست. در دنیای امنیت سایبری، دقیقاً به چنین تله‌ای هانی پات می‌گویند. ​اما از نظر فنی هانی پات چیست؟ هانی پات (Honeypot) یک سرور، سیستم یا سرویس شبیه‌سازی‌شده است که هیچ کاربرد واقعی و تجاری در سازمان ندارد، اما طوری پیکربندی می‌شود که برای هکرها و بدافزارها جذاب به نظر برسد. هدف از این لایه دفاعی، درگیر کردن مهاجم سایبری با یک سیستم جعلی است تا تیم امنیت بتواند بدون به خطر افتادن داده‌های اصلی سازمان، تاکتیک‌های نفوذ، ابزارها و رفتار او را به‌دقت ثبت و بررسی کند. ​در این مقاله، بررسی می‌کنیم که این تله سایبری چگونه کار می‌کند، چه اطلاعاتی از مهاجمان به دست می‌آورد و چرا جایگاه ویژه‌ای در معماری امنیت سرور دارد.

هانی پات چیست؟

هانی پات یک هدف ساختگی اما واقعی‌نماست که برای جلب توجه مهاجم ساخته می‌شود. این هدف می‌تواند یک سرور، سرویس SSH، پایگاه داده، برنامه تحت وب یا حتی بخشی از یک شبکه باشد. تفاوت اصلی آن با یک سیستم معمولی این است که از ابتدا برای مشاهده و ثبت فعالیت غیرمجاز طراحی شده است.

مؤسسه ملی فناوری و استانداردها (NIST) در تعریف این مفهوم می‌گوید:

​«سیستمی که به‌گونه‌ای طراحی می‌شود تا برای مهاجمان و نفوذگران احتمالی جذاب به نظر برسد.»

به بیانی ساده اگر بخواهیم بگوییم هانی پات چیست، می‌توان آن را محیط فریبی دانست که مهاجم را به‌سمت خود می‌کشاند تا تیم امنیت بتواند روش ورود، نوع حمله و رفتار او را بهتر ببیند. بنابراین هدف اصلی Honeypot جلوگیری مستقیم از حمله نیست؛ بلکه بیشتر برای فریب، تشخیص و جمع‌آوری اطلاعات امنیتی استفاده می‌شود.

برای مثال، ممکن است در یک شبکه سرویسی قرار داده شود که هیچ کاربر واقعی نباید به آن متصل شود. اگر فرد یا سیستمی شروع به اسکن آن سرویس، امتحان کردن رمزهای مختلف یا اجرای دستور کند، همین رفتار می‌تواند برای تیم امنیت ارزش بررسی داشته باشد.

تکامل هانی‌پات‌ها: ورود به عصر تکنولوژی فریب (Deception Technology)

​در مقالات معتبر بین‌المللی، هانی‌پات‌ها بخشی از استراتژی گسترده‌تری به نام تکنولوژی فریب شناخته می‌شوند. در معماری‌های مدرن، به‌جای یک سرور ایزوله، شبکه‌ای از اطلاعات جعلی، کلیدهای API تقلبی و پایگاه‌های داده ساختگی در سراسر شبکه پخش می‌شوند تا مهاجم را در هر مرحله از نفوذ گمراه کنند.

هانی پات چه اطلاعاتی از مهاجم جمع‌آوری می‌کند؟

هانی پات بسته به نوع و نحوه تنظیم، می‌تواند اطلاعات مختلفی را ثبت کند:

• نشانی IP و زمان اتصال: سیستم می‌تواند مشخص کند ارتباط از چه IP مشاهده شده و در چه زمانی اتفاق افتاده است. البته IP ثبت‌شده همیشه به‌معنی شناسایی فرد واقعی پشت حمله نیست.
• پورت و سرویس هدف: مشخص می‌شود مهاجم بیشتر به کدام سرویس‌ها توجه داشته یا چه پورت‌هایی را بررسی کرده است.
• تلاش‌های ورود: نام‌های کاربری، رمزهای امتحان‌شده و تعداد دفعات Login می‌توانند در لاگ ثبت شوند.
• دستورهای اجراشده: در هانی پات‌های تعاملی‌تر می‌توان دید مهاجم بعد از ورود چه دستورهایی اجرا کرده و دنبال چه اطلاعاتی بوده است.
• فایل‌ها و بدافزارها: اگر مهاجم فایلی را به محیط منتقل کند، در بعضی پیاده‌سازی‌ها امکان ثبت یا تحلیل آن وجود دارد.
• روش حمله: برخی Exploitها، روش‌های سوءاستفاده از آسیب‌پذیری و مسیرهای حمله‌ای که واقعاً با هانی پات درگیر شده‌اند قابل مشاهده هستند.
• رفتار پس از دسترسی: در محیط‌های پیشرفته‌تر می‌توان بررسی کرد مهاجم بعد از ورود چه مراحلی را دنبال می‌کند و چه هدفی دارد.

نکته مهم این است که Honeypot شواهد فنی را ثبت می‌کند. اگر یک IP در لاگ دیده شود، نمی‌توان با اطمینان گفت همان IP متعلق به شخص مهاجم است؛ زیرا ممکن است حمله از طریق VPN، Proxy، سرور آلوده یا شبکه‌ای از سیستم‌های آلوده انجام شده باشد.

​چرخه عملکرد Honeypot در ۶ مرحله: هانی پات چگونه کار می‌کند؟

عملکرد این سیستم بر پایه ثبت دقیق وقایع بنا شده است.اگر بخواهیم دقیق‌تر بگوییم که فرایند اجرایی هانی پات چیست، می‌توان آن را در چرخه زیر خلاصه کرد:

1. ابتدا یک محیط فریب ساخته می‌شود. این محیط می‌تواند شبیه یک سرور، سرویس SSH یا برنامه واقعی باشد. ظاهر آن باید به‌اندازه‌ای طبیعی باشد که مهاجم آن را یک هدف واقعی در نظر بگیرد.
2. هانی پات در بخش مشخصی از شبکه قرار می‌گیرد. محل قرارگیری اهمیت زیادی دارد، چون محیط باید از سیستم‌های اصلی جدا باشد و در عین حال بتواند تعامل‌های مشکوک را ثبت کند.
3. مهاجم با سرویس ارتباط برقرار می‌کند. هکر پورت‌ها را اسکن کرده و با یافتن سرویس آسیب‌پذیر، وارد عمل می‌شود.
4. فعالیت‌ها در لاگ ثبت می‌شوند. زمان اتصال، IP، درخواست‌ها، تلاش‌های ورود، دستورها و سایر رفتارهای قابل‌مشاهده ذخیره می‌شوند.
5. رویدادهای مهم بررسی می‌شوند. اگر رفتار ثبت‌شده اهمیت داشته باشد، سیستم مانیتورینگ یا SIEM می‌تواند هشدار ایجاد کند تا تیم امنیت سریع‌تر متوجه رخداد شود.
6. تیم امنیت موضوع را دنبال می‌کند. در این مرحله، لاگ هانی پات با لاگ Firewall، سرور، IDS یا سایر منابع مقایسه می‌شود تا مشخص شود آیا همان رفتار روی سیستم‌های واقعی هم دیده شده است یا خیر.

نقش و کاربرد هانی پات در امنیت سرور

هانی پات در سرور برای دیدن فعالیت‌هایی مفید است که در حالت عادی نباید اتفاق بیفتند. از آنجا که معمولاً کاربر واقعی با محیط فریب کاری ندارد، تعامل با آن می‌تواند نشانه‌ای باشد که ارزش بررسی دارد.

مهم‌ترین کاربردهای هانی پات در سرور عبارت‌اند از:

• شناسایی زودهنگام اسکن‌ها (Reconnaissance): مهاجمان معمولاً قبل از حمله بررسی می‌کنند چه پورت‌ها و سرویس‌هایی روی یک سرور در دسترس هستند. اگر این اسکن به هانی پات برسد، تیم امنیت می‌تواند نشانه‌های مرحله شناسایی اولیه را در لاگ مشاهده کند.
• شناسایی تلاش‌های Brute Force: سرویس‌هایی مانند SSH بارها هدف امتحان کردن نام کاربری و رمزهای مختلف قرار می‌گیرند. Honeypot می‌تواند این تلاش‌ها را ثبت کند و نشان بدهد مهاجم چه الگوی ورود یا چه Credentialهایی را امتحان کرده است.
• تشخیص ورودهای غیرمنتظره: وقتی هیچ کاربر واقعی نباید به یک سرویس فریب متصل شود، حتی یک تلاش Login هم می‌تواند مهم باشد. این ویژگی باعث می‌شود تیم امنیت بعضی فعالیت‌های مشکوک را سریع‌تر از میان حجم زیاد لاگ‌های معمولی پیدا کند.
• مشاهده رفتار مهاجم بعد از ورود: در هانی پات‌های تعاملی‌تر، بررسی فقط به لحظه Login محدود نمی‌شود. ممکن است بتوان دید مهاجم چه دستورهایی اجرا کرده، چه فایل‌هایی را بررسی کرده و در ادامه چه کاری انجام داده است.
• ثبت Malware یا Exploit مشاهده‌شده: اگر مهاجم فایل مخربی منتقل کند یا از روش خاصی برای سوءاستفاده از یک آسیب‌پذیری استفاده کند، بخشی از این رفتار، قابل ثبت و بررسی خواهد بود. البته Honeypot فقط حمله‌ای را می‌بیند که واقعاً با خودش تعامل داشته باشد.
• کمک به شناخت تهدیدها: اطلاعاتی مانند الگوی اسکن، روش ورود و ابزارهایی که مهاجم استفاده کرده است می‌تواند برای Threat Intelligence مفید باشد. این داده‌ها به تیم امنیت کمک می‌کنند بفهمد چه نوع حملاتی بیشتر زیرساخت را هدف گرفته‌اند.
• کمک به بررسی رخداد امنیتی: هشدار هانی پات می‌تواند شروع یک بررسی دقیق‌تر باشد. برای نمونه، تیم امنیت می‌تواند بررسی کند آیا IP یا رفتار مشابهی در لاگ سرورهای اصلی، Firewall یا IDS هم دیده شده است یا خیر.
• شناسایی فعالیت مشکوک در شبکه داخلی: در بعضی معماری‌ها، Honeypot فقط رو به اینترنت قرار ندارد. اگر یک سیستم داخلی با Decoy ارتباط برقرار کند، ممکن است نشانه آلودگی، اسکن داخلی یا حرکت مهاجم در شبکه باشد و به همین دلیل باید بررسی شود.

معرفی ابزار: یکی از محبوب‌ترین ابزارهای متن‌باز در این حوزه Cowrie است. این ابزار سرویس‌های SSH و Telnet را شبیه‌سازی می‌کند و توانایی ثبت تلاش‌های Brute Force و دستورات اجراشده توسط مهاجم را دارد.

باید واقع‌بین بود؛ سیستم فریب، تضمینی برای شناسایی همه حملات روز صفر (Zero-Day) نمی‌دهد. این ابزار فقط تهدیدی را می‌بیند که مستقیماً با خودش درگیر شود. استقرار چنین سیستمی نیازمند محیطی است که ادمین در آن روی شبکه، پورت‌ها و ایزوله‌سازی کنترل کامل داشته باشد. به همین دلیل، خرید سرور با منابع اختصاصی و امکان مدیریت لایه‌های شبکه، اولین قدم برای اجرای ایمن این سناریوهاست.

هاستینگ چگونه به شناسایی زودتر حملات کمک می‌کند؟

سخت‌افزار میزبان مستقیماً هکر را شناسایی نمی‌کند، اما بستر لازم برای اجرای امن تله را فراهم می‌سازد. زیرساخت اصولی مانع از این می‌شود که محیط فریب به نقطه‌ای برای نفوذ به کل شبکه تبدیل شود.

برای اجرای امن هانی پات، زیرساخت باید چند ویژگی مهم داشته باشد:

• امکان جدا کردن شبکه: بهتر است Honeypot در Segment جدا قرار بگیرد تا دسترسی مستقیم و آزاد به سرورهای اصلی نداشته باشد.
• کنترل مناسب Firewall: تیم فنی باید بتواند مشخص کند چه ترافیکی اجازه ورود دارد و Honeypot به چه مقصدهایی اجازه ارتباط خروجی خواهد داشت.
• مانیتورینگ وضعیت سرور: مصرف منابع، وضعیت سرویس‌ها و ارتباط‌های شبکه باید قابل مشاهده باشند تا رفتار غیرعادی سریع‌تر مشخص شود.
• ثبت مطمئن لاگ‌ها: Logها باید به شکلی نگهداری شوند که در صورت نفوذ به Honeypot، مهاجم نتواند به‌راحتی تمام شواهد را حذف کند.
• ارسال لاگ به SIEM یا سامانه مانیتورینگ: اگر رویدادها در یک سیستم مرکزی جمع شوند، مقایسه آن‌ها با لاگ سایر تجهیزات و سرورها ساده‌تر خواهد بود.
• کنترل ترافیک ورودی و خروجی: فقط کنترل اتصال‌های ورودی کافی نیست. ترافیک خروجی هم باید محدود شود تا یک Honeypot آلوده نتواند آزادانه با سیستم‌های دیگر ارتباط برقرار کند.
• منابع متناسب با نوع Honeypot: محیط‌های ساده معمولاً منابع کمی مصرف می‌کنند، اما High-Interaction یا پلتفرم‌های چند Honeypot ممکن است CPU، RAM و فضای ذخیره‌سازی بیشتری نیاز داشته باشند.
• امکان نگهداری و به‌روزرسانی: Honeypot هم مانند هر نرم‌افزار دیگری باید Patch شود و وضعیت امنیتی آن به‌صورت منظم بررسی شود.

در پروژه‌هایی که تیم امنیت نیازمند کنترل مطلق روی سیستم‌عامل، کرنل سرور و ایزوله‌سازی فیزیکی شبکه است، خرید سرور اختصاصی بهینه‌ترین گزینه است تا محیط فریب بدون دخالت سایر سرویس‌ها و با بالاترین سطح دسترسی مدیریت شود.

انواع هانی پات؛ دسته‌بندی براساس هدف و تعامل

در ادبیات امنیت اطلاعات، Honeypotها از دو جنبه اصلی طبقه‌بندی می‌شوند:

انواع Honeypot براساس هدف

از نظر هدف استفاده، هانی پات‌ها معمولاً در ۲ گروه Production و Research قرار می‌گیرند.

• هانی پات عملیاتی (Production): در شبکه‌های تجاری واقعی نصب می‌شود. هدف آن تولید هشدارهای سریع و دقیق برای تیم امنیت است تا اگر حمله‌ای رخ داد، در کمترین زمان ممکن شناسایی شود.
• هانی پات تحقیقاتی (Research): بیشتر در دانشگاه‌ها و سازمان‌های امنیتی کاربرد دارد. هدف آن صدور هشدار نیست، بلکه برای بررسی عمیق تکنیک‌ها، ابزارها و رفتارهای جدید مهاجمان راه‌اندازی می‌شود.

انواع Honeypot براساس سطح تعامل

هرچه تعامل هکر با سیستم بیشتر باشد، داده‌های ارزشمندتری به دست می‌آید، اما ریسک فنی نیز بالاتر می‌رود.

نکته: در این زمینه مفهوم هانی نت (Honeynet ) نیز مطرح می شود. باید گفت که  Honeynet  یک سطح تعامل جدا نیست. درواقع  Honeynet به شبکه یا مجموعه‌ای از چند Honeypot و Decoy گفته می‌شود که در کنار یکدیگر قرار گرفته‌اند تا رفتار مهاجم در سطح گسترده‌تری مشاهده شود.

تفاوت هانی پات با ابزارهای امنیتی دیگر (Firewall, IDS, SIEM)

برای اینکه بهتر بگوییم هانی پات چیست، باید نقش آن را با ابزارهای امنیتی دیگر مقایسه کنیم. مقایسه زیر نشان می‌دهد چرا این سیستم‌ها مکمل یکدیگرند.

آیا Honeypot جایگزین Firewall یا IPS است؟

خیر، هانی پات جایگزین هیچ‌کدام از این تجهیزات نیست. فایروال جلوی ورود ترافیک مخرب را می‌گیرد، درحالی‌که سیستم فریب عمداً آن را می‌پذیرد تا بررسی‌اش کند. در یک معماری اصولی، لاگ‌های استخراج‌شده از تله سایبری به سیستم SIEM ارسال می‌شوند تا در کنار داده‌های فایروال و IDS تصویر کاملی از حمله بسازند.

مزایای استفاده از Honeypot چیست؟

اضافه کردن هانی پات سرور  به لایه‌های دفاعی، مزایای زیر را برای ادمین‌ها خلق می‌کند:

• فعالیت‌های غیرمنتظره را واضح‌تر نشان می‌دهد: چون معمولاً کاربر واقعی نباید با Honeypot کاری داشته باشد، هر اسکن یا تلاش ورود می‌تواند نشانه مهمی برای بررسی باشد.
• رفتار مهاجم را بهتر نشان می‌دهد: در مدل‌های تعاملی‌تر می‌توان دید مهاجم پس از ورود چه مسیری را دنبال کرده، چه دستورهایی اجرا کرده و روی چه بخش‌هایی تمرکز داشته است.
• برای شناخت تهدیدها داده تولید می‌کند: اطلاعات به‌دست‌آمده می‌تواند نشان دهد چه روش‌هایی بیشتر تکرار شده‌اند و مهاجمان از چه ابزارها یا الگوهایی استفاده کرده‌اند.
• Brute Force و اسکن را قابل مشاهده می‌کند: این نوع رفتارها معمولاً در Honeypot به‌سادگی ثبت می‌شوند و می‌توان آن‌ها را برای تحلیل بعدی نگهداری کرد.
• به بررسی رخداد کمک می‌کند: اطلاعات Honeypot در کنار Logهای Firewall، سرورها و IDS می‌تواند دید کامل‌تری از یک Incident ایجاد کند.
• کیفیت مانیتورینگ را محک می‌زند: اگر تعامل مهمی با Honeypot رخ دهد اما هیچ‌کس متوجه آن نشود، مشخص می‌شود فرایند Alert و Monitoring نیاز به اصلاح دارد.

هانی پات می‌تواند نسبت سیگنال به نویز مناسبی ایجاد کند، چون ترافیک مشروع در آن معمولاً کم است. بااین‌حال، این به معنی حذف کامل False Positive نیست و هر هشدار باید با شواهد دیگر بررسی شود.

معایب و محدودیت‌های هانی پات

برای اینکه دید کاملی داشته باشیم که محدودیت‌های هانی پات چیست، باید بدانیم این سیستم چه کارهایی را نمی‌تواند انجام دهد:

• همه حملات را نمی‌بیند: اگر مهاجم مستقیماً سرور اصلی را هدف بگیرد و هیچ ارتباطی با Honeypot نداشته باشد، این ابزار اطلاعاتی درباره آن حمله ثبت نخواهد کرد.
• جلوی نفوذ به سایر سیستم‌ها را نمی‌گیرد: هانی پات ابزار پیشگیری کامل نیست و نباید جای Firewall، Patch Management یا کنترل دسترسی را بگیرد.
• ممکن است توسط مهاجم شناسایی شود: بعضی Honeypotهای ساده از روی پاسخ سرویس، محدودیت‌های غیرطبیعی یا تنظیمات مشخص قابل تشخیص هستند.
• High-Interaction ریسک بیشتری دارد: هرچه آزادی عمل مهاجم در محیط بیشتر باشد، احتمال سواستفاده از همان محیط هم بالاتر می‌رود.
• تنظیم اشتباه می‌تواند مشکل‌ساز شود: اگر ارتباط با شبکه اصلی یا اینترنت بیش‌ازحد باز باشد، خود Honeypot می‌تواند به Attack Surface تازه تبدیل شود.
• ترافیک خروجی باید کنترل شود: یک محیط آلوده نباید بتواند آزادانه به سیستم‌های دیگر وصل شود یا در حملات بعدی مورد استفاده قرار گیرد.
• نیاز به نگهداری دارد: Logها باید بررسی شوند، نرم‌افزارها به‌روز بمانند و Alertها به‌صورت منظم ارزیابی شوند.
• هر اتصال به معنی شناسایی هکر نیست: اطلاعات Honeypot باید در کنار سایر شواهد تفسیر شود و نباید از یک IP یا Login نتیجه‌گیری قطعی درباره هویت شخص انجام داد.

الزامات زیرساختی: چگونه یک هانی پات امن راه‌اندازی کنیم؟

راه‌اندازی این سیستم نیازمند معماری سخت‌گیرانه‌ای است تا بستر فریب به نقطه ضعف سازمان تبدیل نشود. چک‌لیست زیر اصول استقرار امن را نشان می‌دهد:

• محیط فریب را از سیستم‌های اصلی جدا کنید: Honeypot بهتر است در شبکه یا Segment مستقل قرار گیرد. این کار احتمال دسترسی مهاجم از Decoy به Production را کمتر می‌کند.
• اطلاعات واقعی در آن قرار ندهید: رمزها، کلیدهای API، فایل‌های مشتریان و اطلاعات حساس نباید در محیط فریب ذخیره شوند. اگر اطلاعات نمونه لازم است، باید غیرواقعی و بدون ارزش عملی باشد.
• دسترسی مدیریتی را جدا کنید: مسیر مدیریت Honeypot نباید همان مسیری باشد که مهاجم از آن وارد می‌شود. بهتر است دسترسی مدیریتی از شبکه یا Interface جداگانه انجام شود.
• ترافیک خروجی را محدود کنید: اگر مهاجم وارد Honeypot شد، نباید بتواند آزادانه به اینترنت یا سایر سیستم‌ها متصل شود. Ruleهای خروجی باید براساس نیاز واقعی تنظیم شوند.
• لاگ‌ها را خارج از محیط نگهداری کنید: بهتر است Logها به یک Log Server یا SIEM منتقل شوند. در این صورت حتی اگر Honeypot دستکاری شود، شواهد اصلی در سیستم دیگری باقی می‌مانند.
• برای رفتارهای مهم هشدار بسازید: Login، انتقال فایل، اجرای دستورهای خاص یا ارتباط‌های غیرعادی می‌توانند باعث ایجاد Alert شوند تا تیم امنیت سریع‌تر واکنش نشان دهد.
• سیستم را به‌روز نگه دارید: خود نرم‌افزار Honeypot هم ممکن است آسیب‌پذیر شود. بنابراین Patch Management برای این سیستم نیز ضروری است.
• زمان نگهداری لاگ مشخص باشد: باید معلوم باشد اطلاعات چه مدت نگهداری می‌شوند، چه کسی آن‌ها را بررسی می‌کند و در چه شرایطی باید Incident باز شود.
• فرایند پاسخ به رخداد داشته باشید: دریافت هشدار پایان کار نیست. تیم باید بداند بعد از Alert چه Logهایی را بررسی کند، چه سیستم‌هایی را کنترل کند و چه زمانی لازم است دسترسی محدود شود.

اهمیت کنترل ترافیک خروجی فقط یک توصیه نظری نیست. در دسامبر ۲۰۲۵ یک آسیب‌پذیری SSRF برای Cowrie منتشر شد که نسخه‌های پیش از ۲.۹.۰ را تحت‌تأثیر قرار می‌داد. این مشکل در نسخه ۲.۹.۰ برطرف شد و نشان داد حتی Honeypot هم به به‌روزرسانی منظم و کنترل ارتباط‌های خروجی نیاز دارد.

سرور مجازی (VPS) یا سرور اختصاصی؟

برای هانی‌پات‌های تحقیقاتی و High-Interaction که نیازمند کنترل مطلق روی کرنل، ایزوله‌سازی سخت‌افزاری و پردازش حجم عظیمی از لاگ‌ها هستند، خرید سرور اختصاصی (Dedicated Server) گزینه‌ای بسیار امن‌تر از محیط‌های اشتراکی است.

سناریوی عملی شناسایی تلاش نفوذ با Honeypot

برای اینکه روند کار روشن‌تر شود، یک سناریوی فرضی را قدم‌به‌قدم بررسی کنیم. در این مثال، یک Honeypot با سرویس SSH در بخشی جدا از شبکه قرار گرفته و هیچ کاربر واقعی نباید به آن متصل شود.

1. مرحله ۱: مهاجم شروع به بررسی سرور می‌کند: ابتدا پورت‌های مختلف IP را اسکن می‌کند تا ببیند چه سرویس‌هایی در دسترس هستند. در این مرحله، Honeypot درخواست‌های مربوط به اسکن پورت را ثبت می‌کند. همین داده نشان می‌دهد یک منبع خارجی در حال بررسی سرویس‌های قابل دسترسی بوده است.
2. مرحله ۲: سرویس SSH توجه مهاجم را جلب می‌کند:
   پس از مشاهده پورت SSH، مهاجم تلاش می‌کند درباره سرویس اطلاعات بیشتری به دست آورد. ممکن است نوع سرویس، نحوه پاسخ‌دهی یا امکان ورود را بررسی کند. تمام این درخواست‌ها در لاگ محیط فریب ثبت می‌شوند.
3. مرحله ۳: تلاش برای ورود شروع می‌شود: مهاجم چند نام کاربری و رمز مختلف را امتحان می‌کند. اگر تعداد تلاش‌ها زیاد باشد، الگوی Brute Force به‌وضوح دیده می‌شود. در این مرحله می‌توان زمان تلاش‌ها، IP مشاهده‌شده و نام‌های کاربری امتحان‌شده را ثبت کرد.
4. مرحله ۴: مهاجم وارد محیط فریب می‌شود؛ در یک Honeypot تعاملی، ممکن است محیط اجازه دهد مهاجم تصور کند ورود موفق انجام شده است. او گمان می‌کند به یک سرور واقعی رسیده، در حالی که همچنان داخل محیط کنترل‌شده قرار دارد.
5. مرحله ۵: رفتار بعد از ورود ثبت می‌شود: مهاجم ممکن است دستورهایی برای بررسی سیستم‌عامل، کاربران، فایل‌ها یا وضعیت شبکه اجرا کند. همچنین ممکن است تلاش کند فایلی دانلود کند یا ابزار دیگری روی سیستم قرار دهد. بسته به نوع Honeypot، بخشی از این رفتارها در لاگ ذخیره می‌شوند.
6. مرحله ۶: سیستم مانیتورینگ هشدار می‌دهد: وقتی رفتار مهمی مانند چند Login ناموفق، ورود موفق به Decoy یا اجرای دستور خاص ثبت شود، Alert برای تیم امنیت ایجاد می‌شود. هدف این هشدار این است که رویداد در میان حجم زیاد Logها گم نشود.
7. مرحله ۷: تیم امنیت لاگ‌ها را بررسی می‌کند: کارشناس امنیت ابتدا اطلاعات Honeypot را می‌بیند و سپس بررسی می‌کند آیا همان IP یا الگوی رفتاری روی سرورهای واقعی هم دیده شده است یا خیر. برای مثال، ممکن است لاگ Firewall یا SSH سایر سرورها برای همان بازه زمانی بررسی شود.
8. مرحله ۸: دامنه رخداد مشخص می‌شود: اگر مشخص شود فعالیت فقط روی Honeypot اتفاق افتاده، احتمالاً یک تلاش شناسایی یا حمله محدود ثبت شده است. اما اگر همان الگو روی سرورهای اصلی هم دیده شود، موضوع جدی‌تر می‌شود و باید بررسی گسترده‌تری انجام شود.
9. مرحله ۹: پاسخ امنیتی انجام می‌شود: براساس نتیجه بررسی، ممکن است تیم امنیت Ruleهای Firewall را اصلاح کند، IPهای مشکوک را زیر نظر بگیرد، Credentialهای در معرض خطر را تغییر دهد، سرویس‌های آسیب‌پذیر را Patch کند یا سایر سرورها را برای نشانه‌های نفوذ بررسی کند.

نکته اصلی در این سناریو این است که Honeypot تعامل مشکوک را ثبت کرده و اطلاعات لازم برای بررسی را در اختیار تیم امنیت قرار داده است. این ابزار لزوماً هویت واقعی شخص مهاجم را مشخص نکرده، اما کمک کرده رفتار حمله سریع‌تر دیده و بررسی شود.

سخن پایانی: آیا سازمان شما به هانی پات نیاز دارد؟

اگر بخواهیم در یک جمله بگوییم هانی پات چیست، باید آن را یک محیط فریب برای ثبت و تحلیل فعالیت مشکوک بدانیم. Honeypot به‌تنهایی جلوی نفوذ را نمی‌گیرد، اما می‌تواند اطلاعات ارزشمندی درباره اسکن، Brute Force و رفتار مهاجم فراهم کند. ارزش واقعی آن زمانی مشخص می‌شود که محیط به‌درستی ایزوله شود، لاگ‌ها منظم بررسی شوند و اطلاعات آن در کنار Firewall، IDS/IPS و سایر ابزارهای مانیتورینگ قرار بگیرد.

اگر سازمان شما هنوز در اجرای اصول اولیه (مثل مدیریت پسوردها، نصب فایروال، پچ کردن مداوم سرورها و بک‌آپ‌گیری منظم) ضعف دارد، هانی‌پات انتخاب مناسبی برای شما نیست. ​اما اگر زیرساخت‌های حیاتی (متصل به اینترنت) دارید، تیم SOC در سازمانتان مستقر است و به دنبال شکار تهدیدات پیشرفته (Threat Hunting) و درک بهتر رفتار مهاجمان هستید، پیاده‌سازی اصولی یک Honeypot می‌تواند بینش امنیتی بی‌نظیری به شما بدهد.