--- id: CP-235 slug: honeypot-honeytoken-canarytokens-wabiki lang: pl title: "Honeypoty i honeytokeny: pułapki wykrywające intruza" description: "Fałszywy serwer, dokument, klucz dostępu: czym są wabiki bezpieczeństwa i co powinien zrobić pracownik, który na jeden trafi." canonical_url: https://startbrain.io/cyberpedia/pl/articles/honeypot-honeytoken-canarytokens-wabiki/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/honeypot-honeytoken-canarytokens-wabiki.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Honeypoty i honeytokeny: pułapki wykrywające intruza”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/honeypot-honeytoken-canarytokens-wabiki/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-078 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/honeypot-honeytoken-canarytokens-wabiki/ fr: https://startbrain.io/cyberpedia/fr/articles/honeypot-honeytoken-canarytokens/ en: https://startbrain.io/cyberpedia/en/articles/honeypot-honeytoken-canarytokens-traps/ de: https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/ es: https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/ it: https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/ nl: https://startbrain.io/cyberpedia/nl/articles/honeypot-honeytoken-canarytokens-lokvogels/ pt: https://startbrain.io/cyberpedia/pt/articles/honeypot-honeytoken-canarytokens-engodos/ sources: - "n": 1 title: honeypot - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/honeypot accessed: "2026-11-03" - "n": 2 title: Building a Security Operations Centre (SOC) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/building-a-security-operations-centre published: "2022-05-23" accessed: "2026-11-03" - "n": 3 title: "Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1552/001/ accessed: "2026-11-03" - "n": 4 title: File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1083/ accessed: "2026-11-03" - "n": 5 title: Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 6 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 7 title: CHAPITRE II - Principes publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 accessed: "2026-11-03" - "n": 8 title: Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1042/ accessed: "2026-11-03" --- # Honeypoty i honeytokeny: pułapki wykrywające intruza Honeypot to wabik. Słownik NIST definiuje go jako system (na przykład serwer WWW) lub zasób systemu (na przykład plik na serwerze), zaprojektowany tak, by był atrakcyjny dla hakerów i intruzów, „like honey is attractive to bears” [1]. W tej karcie „honeytoken” oznacza ten sam pomysł w mniejszej skali: dane bez realnego zastosowania, takie jak fałszywy login czy fałszywy klucz dostępu, umieszczone tam, gdzie znajdzie je intruz. Cytowane tu źródła nie definiują tego terminu. Dla pracownika takie pułapki zwykle pozostają niewidoczne. Służą bezpieczeństwu firmy, która je instaluje i monitoruje. Karta wyjaśnia zasadę działania, czego oczekuje się od każdego, gdy wabik pojawi się na jego drodze, oraz jakie wady sprawiają, że takie rozwiązania są bezużyteczne lub niebezpieczne. ## W 30 sekund - Gdzie to się zdarza: w systemach, plikach lub kontach, które zespół bezpieczeństwa umieścił celowo i którymi pracownicy nie muszą się zajmować. - Czego chce atakujący: znaleźć hasła, klucze lub tokeny dostępu. Wabik daje mu dokładnie to, ale prowadzi donikąd. - Odruch: nie dotykać wabika, nigdy nie instalować go samodzielnie i zgłaszać zespołowi bezpieczeństwa każdy komunikat alarmowy lub podejrzany plik. - Jeśli już się stało: niezwłocznie poinformować zespół bezpieczeństwa, podając, co zostało otwarte i kiedy. ## Pytania wprost ### Do czego służy wabik? Służy do wykrycia włamania. Brytyjskie NCSC przypomina, że pierwszym celem cyberbezpieczeństwa jest zapobieganie atakom [2]. Nie zawsze jest to możliwe [2]. Rolą centrum operacji bezpieczeństwa (SOC) jest ograniczanie szkód przez wykrywanie i obsługę ataków, które omijają zabezpieczenia prewencyjne [2]. Wabik to jeden ze sposobów wykrywania: uzupełnia zabezpieczenia, które blokują, ale ich nie zastępuje. ### Dlaczego intruz daje się nabrać? Bo szuka dokładnie tego, co wabik naśladuje. MITRE opisuje przeciwników, którzy przeszukują lokalne systemy plików i udziały sieciowe w poszukiwaniu plików ze słabo chronionymi danymi uwierzytelniającymi [3]. Mogą to być pliki tworzone przez użytkowników do zapisywania haseł, pliki konfiguracyjne zawierające hasła lub kod źródłowy z wbudowanymi hasłami [3]. Ci sami przeciwnicy mogą wyliczać pliki i katalogi, by zdecydować o dalszych działaniach [4]. Fałszywy plik z hasłami, leżący w odpowiednim miejscu, wygląda jak cenne znalezisko. ### Czy pracownik może przez pomyłkę uruchomić wabik? To możliwe, a karta nie może powiedzieć, jak często: cytowane tu źródła tego nie dokumentują. Zasada jest więc prosta. Pliku, konta ani udziału, które nie mają związku z Państwa pracą, nie należy otwierać z ciekawości. Jeśli ktoś już je otworzył, powinien powiedzieć o tym zespołowi bezpieczeństwa, a nie milczeć. ### Czy pracownik powinien zainstalować wabik w domu lub na swoim stanowisku? Nie. Źle umieszczony wabik może stworzyć problem zamiast go rozwiązać. Wybór miejsca, izolacji i monitorowania należy do zespołu bezpieczeństwa. ## Jak to działa Wabiki dzielą się na trzy główne rodziny, które karta wyróżnia na podstawie przykładów ze słownika NIST [1] i z kart MITRE [3][5]. - Fałszywy serwer lub system: to honeypot w rozumieniu NIST, czyli system atrakcyjny dla intruza [1]. - Fałszywy dokument lub plik: zasób umieszczony na serwerze, który NIST również zalicza do definicji honeypota [1]. - Fałszywy token lub klucz dostępu: token aplikacji służy do wykonywania autoryzowanych żądań w imieniu użytkownika lub usługi i jest powszechny w aplikacjach chmurowych i kontenerowych [5]. Przeciwnik, który kradnie takie tokeny, może uzyskać dostęp do danych i działać z uprawnieniami danych kont [5]. Fałszywy token wzbudzałby, zgodnie z rozumowaniem karty, takie samo pożądanie. Zasada alarmu opiera się na użyciu: wabik nie pełni żadnej funkcji w codziennej pracy, więc każdy kontakt z nim zasługuje na sprawdzenie. Cytowane tu źródła nie opisują technicznego działania narzędzi komercyjnych i karta tego nie robi. To samo rozumowanie dotyczy kont. MITRE zauważa, że konta chmurowe, tworzone przez organizację dla jej użytkowników, usług lub administracji, są celami ataków [6]. Przeciwnik może je atakować metodą brute force lub phishingiem [6]. Fałszywe konto mogłoby tu posłużyć za przynętę, zgodnie z rozumowaniem karty. ## Co należy zrobić - Nie należy dotykać tego, co nie dotyczy Państwa pracy. Plik o nazwie „mots_de_passe” w folderze współdzielonym, z którego nigdy Państwo nie korzystają, nie jest okazją. - Nie należy kopiować, testować ani udostępniać żadnego loginu, klucza ani tokenu znalezionego przypadkiem. - Należy zgłaszać zespołowi bezpieczeństwa każdy nieoczekiwany komunikat alarmowy, każdy podejrzany plik lub konto, podając nazwę, lokalizację i godzinę. - Nie należy samodzielnie instalować wabika, ani na stanowisku, ani w przestrzeni chmurowej. - Nie należy zapisywać własnych haseł w pliku: MITRE wymienia właśnie takie pliki wśród tych, których szukają przeciwnicy [3]. ## Pułapki ### Wabik zbyt łatwy do rozpoznania Prymitywny fałszywy dokument o zbyt oczywistej nazwie nikogo nie oszuka. Cytowane tu źródła nie mówią, jak stworzyć wiarygodny wabik: kwestia jest tu tylko zasygnalizowana, bez wskazówek technicznych. ### Zignorowany alarm Wykrywanie nie ma sensu, jeśli nikt nie reaguje. NCSC opisuje SOC jako zespół, który wykrywa i reaguje [2]. Jego poradnik obejmuje zarówno wykrywanie, jak i reagowanie na incydenty [2]. ### Źle odizolowany wabik Cytowane tu źródła nie omawiają izolowania wabika od reszty sieci. MITRE zaleca natomiast ogólnie zmniejszanie powierzchni ataku przez usuwanie zbędnego oprogramowania, funkcji i usług [8], co dotyczy także zapomnianego wabika. ### Dane osobowe zbierane bez ram Jeśli wabik rejestruje, co robi dana osoba, mogą mieć zastosowanie przepisy o danych osobowych. RODO w artykule 5 wymaga, by były przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty [7]. Muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach [7]. Muszą być też ograniczone do tego, co niezbędne [7]. RODO wymaga także odpowiedniego bezpieczeństwa przetwarzania [7]. System nadzoru bez jasnego celu i bez informowania osób odbiega od tych zasad. ### Konto chmurowe jako cel Konto chmurowe zsynchronizowane z systemami wewnętrznymi może otworzyć drogę do samej firmy: MITRE wskazuje, że konta federacyjne lub zsynchronizowane mogą umożliwiać działanie zarówno w systemach wewnętrznych, jak i w chmurze [6]. Karta wnioskuje z tego, że fałszywe konto tego typu powinno być odizolowane jak konto wrażliwe. ## Źródła 1. NIST, „honeypot - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/honeypot (dostęp 3 listopada 2026) 2. NCSC (Royaume-Uni), „Building a Security Operations Centre (SOC)”, 23 maja 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1552/001/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1083/ (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1528/ (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/004/ (dostęp 3 listopada 2026) 7. CNIL, „CHAPITRE II - Principes”. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (dostęp 3 listopada 2026) 8. MITRE ATT&CK, „Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1042/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/honeypot-honeytoken-canarytokens-wabiki/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.