Cyberpediaod Brain
PLDEENESFRITNLPT

Honeypoty i honeytokeny: pułapki wykrywające intruza

Fałszywy serwer, dokument, klucz dostępu: czym są wabiki bezpieczeństwa i co powinien zrobić pracownik, który na jeden trafi.

W 30 sekund

Gdzie to się zdarza
W systemach, plikach lub kontach, które zespół bezpieczeństwa umieścił celowo i którymi pracownicy nie muszą się zajmować.
Czego chce atakujący
Znaleźć hasła, klucze lub tokeny dostępu. Wabik daje mu dokładnie to, ale prowadzi donikąd.
Odruch
Nie dotykać wabika, nigdy nie instalować go samodzielnie i zgłaszać zespołowi bezpieczeństwa każdy komunikat alarmowy lub podejrzany plik.
Jeśli już się stało
Niezwłocznie poinformować zespół bezpieczeństwa, podając, co zostało otwarte i kiedy.

O co chodzi

Honeypot to wabik. Słownik NIST definiuje go jako system (na przykład serwer WWW) lub zasób systemu (na przykład plik na serwerze), zaprojektowany tak, by był atrakcyjny dla hakerów i intruzów, „like honey is attractive to bears”1. W tej karcie „honeytoken” oznacza ten sam pomysł w mniejszej skali: dane bez realnego zastosowania, takie jak fałszywy login czy fałszywy klucz dostępu, umieszczone tam, gdzie znajdzie je intruz. Cytowane tu źródła nie definiują tego terminu.

Dla pracownika takie pułapki zwykle pozostają niewidoczne. Służą bezpieczeństwu firmy, która je instaluje i monitoruje. Karta wyjaśnia zasadę działania, czego oczekuje się od każdego, gdy wabik pojawi się na jego drodze, oraz jakie wady sprawiają, że takie rozwiązania są bezużyteczne lub niebezpieczne.

Pytania wprost

Do czego służy wabik?

Służy do wykrycia włamania. Brytyjskie NCSC przypomina, że pierwszym celem cyberbezpieczeństwa jest zapobieganie atakom2. Nie zawsze jest to możliwe2. Rolą centrum operacji bezpieczeństwa (SOC) jest ograniczanie szkód przez wykrywanie i obsługę ataków, które omijają zabezpieczenia prewencyjne2. Wabik to jeden ze sposobów wykrywania: uzupełnia zabezpieczenia, które blokują, ale ich nie zastępuje.

Dlaczego intruz daje się nabrać?

Bo szuka dokładnie tego, co wabik naśladuje. MITRE opisuje przeciwników, którzy przeszukują lokalne systemy plików i udziały sieciowe w poszukiwaniu plików ze słabo chronionymi danymi uwierzytelniającymi3. Mogą to być pliki tworzone przez użytkowników do zapisywania haseł, pliki konfiguracyjne zawierające hasła lub kod źródłowy z wbudowanymi hasłami3. Ci sami przeciwnicy mogą wyliczać pliki i katalogi, by zdecydować o dalszych działaniach4. Fałszywy plik z hasłami, leżący w odpowiednim miejscu, wygląda jak cenne znalezisko.

Czy pracownik może przez pomyłkę uruchomić wabik?

To możliwe, a karta nie może powiedzieć, jak często: cytowane tu źródła tego nie dokumentują. Zasada jest więc prosta. Pliku, konta ani udziału, które nie mają związku z Państwa pracą, nie należy otwierać z ciekawości. Jeśli ktoś już je otworzył, powinien powiedzieć o tym zespołowi bezpieczeństwa, a nie milczeć.

Czy pracownik powinien zainstalować wabik w domu lub na swoim stanowisku?

Nie. Źle umieszczony wabik może stworzyć problem zamiast go rozwiązać. Wybór miejsca, izolacji i monitorowania należy do zespołu bezpieczeństwa.

1Jak to działa1 min

Wabiki dzielą się na trzy główne rodziny, które karta wyróżnia na podstawie przykładów ze słownika NIST1 i z kart MITRE35.

  • Fałszywy serwer lub system: to honeypot w rozumieniu NIST, czyli system atrakcyjny dla intruza1.
  • Fałszywy dokument lub plik: zasób umieszczony na serwerze, który NIST również zalicza do definicji honeypota1.
  • Fałszywy token lub klucz dostępu: token aplikacji służy do wykonywania autoryzowanych żądań w imieniu użytkownika lub usługi i jest powszechny w aplikacjach chmurowych i kontenerowych5. Przeciwnik, który kradnie takie tokeny, może uzyskać dostęp do danych i działać z uprawnieniami danych kont5. Fałszywy token wzbudzałby, zgodnie z rozumowaniem karty, takie samo pożądanie.

Zasada alarmu opiera się na użyciu: wabik nie pełni żadnej funkcji w codziennej pracy, więc każdy kontakt z nim zasługuje na sprawdzenie. Cytowane tu źródła nie opisują technicznego działania narzędzi komercyjnych i karta tego nie robi.

To samo rozumowanie dotyczy kont. MITRE zauważa, że konta chmurowe, tworzone przez organizację dla jej użytkowników, usług lub administracji, są celami ataków6. Przeciwnik może je atakować metodą brute force lub phishingiem6. Fałszywe konto mogłoby tu posłużyć za przynętę, zgodnie z rozumowaniem karty.

2Co należy zrobić1 min
  • Nie należy dotykać tego, co nie dotyczy Państwa pracy. Plik o nazwie „mots_de_passe” w folderze współdzielonym, z którego nigdy Państwo nie korzystają, nie jest okazją.
  • Nie należy kopiować, testować ani udostępniać żadnego loginu, klucza ani tokenu znalezionego przypadkiem.
  • Należy zgłaszać zespołowi bezpieczeństwa każdy nieoczekiwany komunikat alarmowy, każdy podejrzany plik lub konto, podając nazwę, lokalizację i godzinę.
  • Nie należy samodzielnie instalować wabika, ani na stanowisku, ani w przestrzeni chmurowej.
  • Nie należy zapisywać własnych haseł w pliku: MITRE wymienia właśnie takie pliki wśród tych, których szukają przeciwnicy3.
3Pułapki1 min

Wabik zbyt łatwy do rozpoznania

Prymitywny fałszywy dokument o zbyt oczywistej nazwie nikogo nie oszuka. Cytowane tu źródła nie mówią, jak stworzyć wiarygodny wabik: kwestia jest tu tylko zasygnalizowana, bez wskazówek technicznych.

Zignorowany alarm

Wykrywanie nie ma sensu, jeśli nikt nie reaguje. NCSC opisuje SOC jako zespół, który wykrywa i reaguje2. Jego poradnik obejmuje zarówno wykrywanie, jak i reagowanie na incydenty2.

Źle odizolowany wabik

Cytowane tu źródła nie omawiają izolowania wabika od reszty sieci. MITRE zaleca natomiast ogólnie zmniejszanie powierzchni ataku przez usuwanie zbędnego oprogramowania, funkcji i usług8, co dotyczy także zapomnianego wabika.

Dane osobowe zbierane bez ram

Jeśli wabik rejestruje, co robi dana osoba, mogą mieć zastosowanie przepisy o danych osobowych. RODO w artykule 5 wymaga, by były przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty7. Muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach7. Muszą być też ograniczone do tego, co niezbędne7. RODO wymaga także odpowiedniego bezpieczeństwa przetwarzania7. System nadzoru bez jasnego celu i bez informowania osób odbiega od tych zasad.

Konto chmurowe jako cel

Konto chmurowe zsynchronizowane z systemami wewnętrznymi może otworzyć drogę do samej firmy: MITRE wskazuje, że konta federacyjne lub zsynchronizowane mogą umożliwiać działanie zarówno w systemach wewnętrznych, jak i w chmurze6. Karta wnioskuje z tego, że fałszywe konto tego typu powinno być odizolowane jak konto wrażliwe.

Karta

Identyfikator
CP-235
Skrzydło
3. Protokoły i obrona
Kompetencja Brain
Bezpiecznie przeglądać sieć (browse_safely)
Odruch Brain
cr-078
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 8
ŹródłaŹródła: 8
  1. NIST, „honeypot - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/honeypot (dostęp 3 listopada 2026)
  2. NCSC (Royaume-Uni), „Building a Security Operations Centre (SOC)”, 23 maja 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1552/001/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1083/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1528/ (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/004/ (dostęp 3 listopada 2026)
  7. CNIL, „CHAPITRE II - Principes”. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (dostęp 3 listopada 2026)
  8. MITRE ATT&CK, „Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1042/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Honeypoty i honeytokeny: pułapki wykrywające intruza”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/honeypot-honeytoken-canarytokens-wabiki/

BibTeX 
@misc{brain_cp235_pl_2026,
  author = {Brain},
  title = {Honeypoty i honeytokeny: pułapki wykrywające intruza},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/honeypot-honeytoken-canarytokens-wabiki/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0