--- id: CP-235 slug: honeypot-honeytoken-canarytokens-esche lang: it title: "Honeypot e honeytoken: trappole per individuare l'intruso" description: "Server esca, documento falso, chiave di accesso falsa: cosa sono le esche di sicurezza e cosa deve fare il dipendente se ne incontra una." canonical_url: https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/ markdown_url: https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Honeypot e honeytoken: trappole per individuare l'intruso», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-078 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/ fr: https://startbrain.io/cyberpedia/fr/articles/honeypot-honeytoken-canarytokens/ en: https://startbrain.io/cyberpedia/en/articles/honeypot-honeytoken-canarytokens-traps/ de: https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/ es: https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/ nl: https://startbrain.io/cyberpedia/nl/articles/honeypot-honeytoken-canarytokens-lokvogels/ sources: - "n": 1 title: honeypot - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/honeypot accessed: "2026-11-03" - "n": 2 title: Building a Security Operations Centre (SOC) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/building-a-security-operations-centre published: "2022-05-23" accessed: "2026-11-03" - "n": 3 title: "Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1552/001/ accessed: "2026-11-03" - "n": 4 title: File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1083/ accessed: "2026-11-03" - "n": 5 title: Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 6 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 7 title: CHAPITRE II - Principes publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 accessed: "2026-11-03" - "n": 8 title: Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1042/ accessed: "2026-11-03" --- # Honeypot e honeytoken: trappole per individuare l'intruso Un honeypot è un'esca. Il glossario del NIST lo definisce come un sistema (per esempio un server web) o una risorsa di sistema (per esempio un file su un server) progettato per attirare hacker e intrusi, « like honey is attractive to bears » [1]. In questa scheda, «honeytoken» indica la stessa idea su scala più piccola: un dato privo di un uso reale, come un falso identificativo di accesso o una falsa chiave di accesso, collocato dove un intruso lo troverà. Le fonti citate qui non definiscono questo termine. Per un dipendente, queste trappole restano per lo più invisibili. Servono alla sicurezza dell'azienda, che le installa e le sorveglia. La scheda spiega il principio, che cosa ci si aspetta da ciascuno se un'esca si trova sul suo percorso, e i difetti che rendono questi strumenti inutili o pericolosi. ## In 30 secondi - Dove succede: su sistemi, file o account che il team di sicurezza ha collocato di proposito, senza che i dipendenti debbano occuparsene. - Cosa vuole l'attaccante: trovare password, chiavi o token di accesso. L'esca gli offre esattamente questo, ma non porta da nessuna parte. - Il riflesso: non toccare un'esca, non installarne mai una da soli e segnalare alla sicurezza qualsiasi messaggio di allarme o file sospetto. - Se è già successo: avvisare subito la sicurezza, indicando che cosa è stato aperto e in quale momento. ## Domande dirette ### A che cosa serve un'esca? Serve a individuare un'intrusione. L'NCSC britannico ricorda che l'obiettivo primario della cybersicurezza è impedire gli attacchi [2]. Non è sempre possibile [2]. Il compito di un centro operativo di sicurezza (SOC) è limitare i danni rilevando e gestendo gli attacchi che aggirano i controlli preventivi [2]. Un'esca è uno strumento di rilevamento tra gli altri: si aggiunge alle protezioni che bloccano, non le sostituisce. ### Perché un intruso ci casca? Perché cerca proprio ciò che l'esca imita. MITRE descrive avversari che frugano nei file system locali e nelle condivisioni di rete alla ricerca di file contenenti credenziali protette male [3]. Possono essere file creati dagli utenti per annotare le proprie password, file di configurazione contenenti password, o codice sorgente con password incorporate [3]. Gli stessi avversari possono elencare file e cartelle per decidere come proseguire [4]. Un falso file di password, collocato nel punto giusto, sembra una scoperta fortunata. ### Un dipendente può far scattare un'esca per errore? È possibile, e la scheda non può dire con quale frequenza: le fonti del dossier non lo documentano. La regola è quindi semplice. Un file, un account o una condivisione che non c'entra con il vostro lavoro non va aperto per curiosità. Se lo avete aperto, ditelo alla sicurezza invece di tacere. ### Un dipendente deve installare un'esca a casa o sul proprio computer? No. Un'esca posizionata male può creare un problema invece di risolverne uno. La scelta della collocazione, dell'isolamento e della sorveglianza spetta al team di sicurezza. ## Come funziona Esistono tre grandi famiglie di esche, che la scheda distingue in base agli esempi del glossario del NIST [1] e delle pagine MITRE [3][5]. - Il server o il sistema esca: è l'honeypot nel senso del NIST, un sistema attraente per l'intruso [1]. - Il documento o il file falso: una risorsa collocata su un server, che il NIST include anch'esso nella definizione di honeypot [1]. - Il token falso o la chiave di accesso falsa: un token applicativo serve a effettuare richieste autorizzate per conto di un utente o di un servizio ed è diffuso nelle applicazioni cloud e nei container [5]. Un avversario che ruba tali token può accedere ai dati e agire con i diritti degli account interessati [5]. Un token esca, secondo il ragionamento della scheda, attirerebbe la stessa avidità. Il principio dell'allarme si fonda sull'uso: l'esca non ha alcuna funzione nel lavoro quotidiano, quindi ogni contatto con essa merita di essere esaminato. Le fonti del dossier non descrivono il funzionamento tecnico degli strumenti commerciali, e questa scheda non lo descrive. Lo stesso ragionamento vale per gli account. MITRE osserva che gli account cloud, creati da un'organizzazione per i suoi utenti, i suoi servizi o l'amministrazione, sono bersagli [6]. Un avversario può prenderli di mira con la forza bruta o con il phishing [6]. Un account falso potrebbe fare da esca su questo terreno, secondo il ragionamento della scheda. ## Cosa fate - Non toccate ciò che non vi riguarda. Un file con il nome «password_aziendali» in una cartella condivisa che non usate mai non è un colpo di fortuna. - Non copiate, non provate e non condividete alcun identificativo, chiave o token trovato per caso. - Segnalate alla sicurezza qualsiasi messaggio di allarme inatteso, qualsiasi file o account sospetto, con il nome, la posizione e l'ora. - Non installate un'esca da soli, né su un computer né in uno spazio cloud. - Non conservate le vostre password in un file: MITRE cita proprio questi file tra quelli che gli avversari cercano [3]. ## Le trappole ### L'esca troppo facile da riconoscere Un documento falso rozzo, dal nome troppo ovvio, non inganna nessuno. Le fonti del dossier non dicono come realizzare un'esca credibile: il punto è solo segnalato qui, senza indicazioni tecniche. ### L'allarme ignorato Rilevare non serve a nulla se nessuno reagisce. L'NCSC descrive il SOC come un insieme che rileva e risponde [2]. La sua guida tratta sia il rilevamento sia la risposta agli incidenti [2]. ### L'esca isolata male Le fonti del dossier non trattano l'isolamento di un'esca rispetto al resto della rete. MITRE raccomanda invece, in termini generali, di ridurre la superficie di attacco eliminando software, funzioni e servizi inutili [8], e questo vale anche per un'esca dimenticata. ### I dati personali raccolti senza regole Se un'esca registra ciò che fa una persona, possono applicarsi le norme sui dati personali. Il GDPR, all'articolo 5, chiede che siano trattati in modo lecito, corretto e trasparente [7]. Devono essere raccolti per finalità determinate, esplicite e legittime [7]. Devono inoltre essere limitati a quanto necessario [7]. Esige anche una sicurezza adeguata del trattamento [7]. Un dispositivo di sorveglianza senza una finalità chiara né un'informativa alle persone si discosta da questi principi. ### L'account cloud preso di mira Un account cloud sincronizzato con i sistemi interni può aprire la strada verso l'azienda stessa: MITRE precisa che gli account federati o sincronizzati possono permettere di agire sia sui sistemi interni sia sul cloud [6]. La scheda ne deduce che un falso account di questo tipo dovrebbe essere compartimentato come un account sensibile. ## Fonti 1. NIST, «honeypot - Glossary | CSRC». https://csrc.nist.gov/glossary/term/honeypot (consultato il 3 novembre 2026) 2. NCSC (Royaume-Uni), «Building a Security Operations Centre (SOC)», 23 maggio 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1552/001/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1083/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1528/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultato il 3 novembre 2026) 7. CNIL, «CHAPITRE II - Principes». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (consultato il 3 novembre 2026) 8. MITRE ATT&CK, «Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1042/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.