„Honeypot“ tinklo saugumo srityje: kas tai yra, tipai ir tikrasis panaudojimas

Informatec Digital » Ištekliai » „Honeypot“ tinklo saugumo srityje: kas tai yra, tipai ir tikrasis panaudojimas

Kasdieniame tinklų kibernetinio saugumo pasaulyje pasitaiko terminų, kurie skamba kaip mokslinė fantastika, o vienas intriguojančių yra garsusis „ medaus puodas“ . Tai ne magija ar kažkas panašaus, bet vienas išradingiausių būdų suprasti, kaip kibernetiniai nusikaltėliai atakuoja, ir sustabdyti jų veiksmus, kol jie nepasiekė svarbiausių sistemų.

Kalbėdami apie tinklo saugumo „medaus puodą“ , iš tikrųjų turime omenyje spąstų sistemą, sukurtą taip, kad atrodytų pažeidžiama ir patraukli užpuolikui. Leisdamos užpuolikui užsikabinti už masalą, saugumo komandos gali ramiai stebėti jo taktiką, įrašyti kiekvieną judesį ir panaudoti visą šią informaciją organizacijos faktinei gynybai sustiprinti.

Kas yra „medaus puodas“ tinklo kibernetiniame tinkle?

Kibernetinio saugumo srityje „medaus puodas“ – tai IT išteklius, sąmoningai sukurtas atakoms: jis gali imituoti serverį, duomenų bazę, žiniatinklio programą ar net visą nedidelį tinklą. Užpuolikui jis atrodo kaip teisėtas taikinys, tačiau iš tikrųjų tai yra kruopščiai izoliuota ir stebima masalo sistema , kurios vienintelis tikslas – pritraukti ir tirti kenkėjišką veiklą.

Idėja yra ta, kad visas srautas, patenkantis į „honeypot“, pagal numatytuosius nustatymus laikomas įtartinu arba kenkėjišku . Niekas neturėtų jo teisėtai naudoti, todėl bet koks bandymas jį pasiekti, nuskaityti prievadus, išnaudoti pažeidžiamumus ar įdiegti kenkėjišką programinę įrangą yra labai išsamiai registruojamas vėlesnei analizei.

Šios sistemos gali būti įmonės tinklo arba tyrimų laboratorijos dalis ir paprastai imituoja įprastas gamybos paslaugas : žiniatinklio serverius, FTP, RDP, SSH, duomenų bazes arba programas su žinomais pažeidžiamumais. Kuo įtikinamesnė apgaulė, tuo didesnė tikimybė, kad užpuolikas skirs laiko ir išteklių jai pažeisti.

Be to, kad medaus puodas atlieka spąstų funkciją, jis veikia ir kaip savotiškas grėsmių radaras : jis leidžia greitai aptikti anomalias veiklas, kurios galbūt nebūtų sukėlę įtarimų gamybinėse sistemose, perpildytose teisėtu srautu.

Formalus medaus puodų apibrėžimas ir pagrindiniai principai

Formaliau žiūrint, „medaus puodas“ yra sąmoningai atskleistas informacijos šaltinis , kurio vertė slypi vien tame, kad jį galima užpulti ir analizuoti. Jis nesuteikia jokios realios paslaugos verslui; jo tikslas – pritraukti įsibrovėlius ir užfiksuoti jų elgesį.

Vienas iš pagrindinių principų yra tas, kad „medaus puodas“ turi veikti su tam tikru „imunitetu“ tikriems duomenims : jame neturėtų būti neskelbtinos informacijos, aktyvių prisijungimo duomenų ar tiesioginės prieigos prie gamybos sistemų; taip pat patartina įdiegti priemones asmens duomenims apsaugoti internete . Jei užpuolikui pavyksta jį pažeisti, žala turi likti tik toje kontroliuojamoje aplinkoje.

Kitas pagrindinis principas yra tylus stebėjimas . Medaus puodas ne iš karto blokuoja užpuoliką ir nepadaro jam nieko neįmanomo nuo pat pirmos sekundės; priešingai, jis suteikia jam pakankamai laiko pamatyti, kokius įrankius jis naudoja, kokias komandas vykdo, kaip juda į šonus ir ką bando išgauti.

Galiausiai, „medaus puodo“ sugeneruota informacija turėtų būti integruota į nuolatinio saugumo gerinimo procesą : atnaujinant užkardos taisykles, koreguojant įsilaužimų aptikimo sistemas (IDS/IPS), stiprinant konfigūracijas, nustatant pataisų prioritetus ir kuriant geresnes incidentų reagavimo procedūras.

Kaip „medaus puodas“ veikia tinkle

Praktinis tinklo „medaus puodo“ veikimas yra paprastas, tačiau reikalauja daug techninio planavimo . Pirmiausia, sukuriama gaudyklių sistema: kokias paslaugas ji imituos, kokius akivaizdžius pažeidžiamumus rodys ir kokio tipo klaidingus duomenis atskleis, kad atrodytų patikima.

Įdiegus „medaus puodą“, jis prisijungia prie tinklo (vidinio, išorinio arba segmentuoto) ir sukonfigūruojamas taip, kad kuo išsamiau įrašytų viską, kas jame vyksta : gaunamus ryšius, vykdomas komandas, failų pakeitimus, bandymus didinti privilegijas, judėjimą į šonus ir kt.

Kai užpuolikas aptinka „medaus puodą“, dažniausiai automatizuotų nuskaitymų arba masinių IP adresų peržiūrų metu, jis interpretuoja jį kaip realų taikinį. Tada jis pradeda leisti išnaudojimo rinkinius, „brute-force“ scenarijus, kenkėjiškas programas arba įrankius, skirtus po išnaudojimo . Visa ši veikla stebima realiuoju laiku ir saugoma vėlesnei analizei.

Šios analizės dėka saugumo komandos gali atrasti taktikas, metodus ir procedūras (TTP) , kurios dar nebuvo atspindėtos jų gynybos sistemose, nustatyti naujus kenkėjiškų programų variantus arba aptikti atakų kampanijas, nukreiptas į konkrečius sektorius.

Be to, „medaus puodas“ padeda patvirtinti hipotezes: jei įtariama, pavyzdžiui, kad tam tikras IP adresų diapazonas yra nukreiptas į konkrečius robotus, „medaus puodą“ galima patalpinti tame pačiame diapazone ir per kelias minutes patikrinti, ar įsilaužimo bandymai iš tikrųjų pasipila.

Medaus puodų tipai pagal jų paskirtį

Priklausomai nuo pagrindinės paskirties, medaus puodai paprastai skirstomi į dvi pagrindines kategorijas: gamybinius ir tyrimų medaus puodus . Abu jie turi bendrą spąstų koncepciją, tačiau jų veikimo principas ir išdėstymas gana skiriasi.

Gamybos „medaus puodai“ yra integruojami į realią verslo aplinką ir yra skirti ankstyvam įsilaužimų aptikimui , įspėjimų generavimui ir užpuolikų dėmesio atitraukimui, atitraukiant juos nuo svarbiausių organizacijos išteklių.

Kita vertus, tyrimų „medaus puodus“ paprastai valdo akademinės komandos, kibernetinio saugumo laboratorijos arba dideli saugumo tiekėjai. Jų tikslas – rinkti didelio masto duomenis apie kylančias grėsmes, pasaulines kenkėjiškų programų kampanijas ir kibernetinių nusikaltėlių grupuočių elgesį.

Daugeliu atvejų šių tyrimų rezultatai, gauti iš duomenų rinkinių, yra bendrinami su kibernetinio saugumo bendruomene : grėsmių ataskaitos, nauji aptikimo parašai, kompromitavimo indikatoriai ir gynybos priemonės, kurios vėliau taikomos visame pasaulyje.

Gamybos medaus puodai: gynyba priešakinėse linijose

Gamybos „medaus puodas“ dislokuojamas įmonės tinklo infrastruktūroje , paprastai demilitarizuotose zonose (DMZ) arba konkrečiuose segmentuose, siekiant veikti kaip ankstyvojo perspėjimo sistema ir atitraukti dėmesį.

Akivaizdžiausia jo misija – būti realaus laiko atakų jutikliu . Jei užpuolikas pradeda skenuoti tinklą arba vykdyti atakas prieš, regis, pažeidžiamas paslaugas, „medaus puodas“ bus vienas pirmųjų, kuris bus paveiktas, ir sugeneruos įspėjimus saugumo komandai.

Be to, šie „medaus puodai“ padeda nukreipti užpuoliko dėmesį. Užuot iš karto sutelkęs dėmesį į kritines sistemas, kibernetinis nusikaltėlis gali skirti laiko ir pastangų jaukui pažeisti, taip suteikdamas incidentų reagavimo komandai laiko aptikti, suvaldyti ir sušvelninti įsilaužimą.

Kita vertus, gamybinių „medaus puodų“ surinkta informacija yra itin naudinga tobulinant užkardos, IDS/IPS, EDR arba XDR taisykles . Aptikus konkrečius atakų modelius prieš šiuos masalus, panašus elgesys gali būti automatiškai blokuojamas gamybinėse sistemose.

Tačiau gamybinės aplinkos „medaus puodai“ turi būti laikomi izoliuoti ir griežtai kontroliuojami, kad užpuolikai negalėtų jų panaudoti kaip tramplino į kitas sistemas . Prasta tinklo segmentacija arba pernelyg dideli leidimai gali paversti „medaus puodą“ grėsme.

Tyrimų medaus puodai: gilios žinios apie priešą

Tyrimų „medaus puodai“ yra skirti sistemingai rinkti informaciją apie grėsmes . Paprastai jie yra pasauliniu mastu paskirstytų tinklų, kurie sulaukia milijonų įvairiausių atakų bandymų – nuo ​​automatinių robotų iki tikslinių kampanijų, – dalis.

Šiame kontekste išsami analizė teikiama pirmenybė , o ne neatidėliotinas operatyvinis reagavimas. Įrašomi dideli duomenų kiekiai: kenkėjiškų programų pavyzdžiai, visa naudingoji informacija, išsamūs tinklo pėdsakai, scenarijai ir sudėtingos atakų grandinės.

Turėdami šią informaciją, tyrėjai ir analitikai gali analizuoti naujas kenkėjiškų programų šeimas , nustatyti naujus pažeidžiamumo rinkinius, sudaryti tam tikrų nusikalstamų grupuočių vadovavimo ir kontrolės (C2) infrastruktūros žemėlapį ir sukurti efektyvesnes aptikimo bei reagavimo priemones.

Rezultatai paprastai atsispindi viešose ataskaitose, antivirusinių variklių taisyklėse, IDS parašuose, IoC sklaidos kanaluose ir kituose ištekliuose, kurie leidžia įmonėms ir organizacijoms sustiprinti savo gynybos mechanizmus, kol ataka nepadarė didelio poveikio.

Apibendrinant galima teigti, kad gamybinis „medaus puodas“ yra skirtas tiesiogiai apsaugoti organizacijos tinklą , o tyrimų „medaus puodas“ siekia išplėsti pasaulines žinias apie grėsmes ir prisidėti prie visos skaitmeninės ekosistemos saugumo.

Sąveikos lygiai: mažas ir didelis sudėtingumas

Kitas įprastas būdas klasifikuoti „medaus puodus“ yra pagal jų sąveikos su užpuoliku lygį. Iš esmės skiriami mažai ir daug sąveikos turintys „medaus puodai“, kurių kiekvienas turi savų privalumų ir trūkumų.

Mažos sąveikos „medaus puodas“ imituoja tik tam tikras paslaugas ar protokolus, reaguodamas labai ribotai. Paprastai jį paprasčiau diegti ir valdyti, jis mažiau rizikuoja operaciniu požiūriu , tačiau jis taip pat suteikia paviršutiniškesnį atakos vaizdą.

Kitame kraštutinume yra didelės sąveikos „medaus puodai“, kurie labai primena tikrą sistemą: jie leidžia užpuolikui vykdyti komandas, diegti kenkėjiškas programas, naršyti katalogus, didinti privilegijas arba bandyti judėti horizontaliai kruopščiai kontroliuojamoje aplinkoje.

Šie didelės sąveikos „medaus puodai“ teikia daug išsamesnės informacijos apie kibernetinių nusikaltėlių elgesį, tačiau jie reikalauja daugiau priežiūros pastangų ir kelia didesnę riziką, jei nėra tinkamai izoliuoti nuo gamybos infrastruktūros.

Priklausomai nuo kiekvienos organizacijos tikslų ir išteklių, dažniausiai pasirenkamas abiejų metodų derinys : paskirstyti mažai sąveikos turintys „medaus puodai“ didelio masto ankstyvam aptikimui ir kai kurie didelės sąveikos „medaus puodai“ kontroliuojamoje aplinkoje išsamiai analizei.

Mažos sąveikos „medaus puodai“: paprastumas ir maža rizika

Mažos sąveikos „medaus puodai“ daugiausia dėmesio skiria riboto paslaugų rinkinio (pavyzdžiui, žiniatinklio serverio, SSH arba FTP su minimaliu funkcionalumu) modeliavimui. Jie reaguoja į užklausas paprastu būdu, kad skaitytuvai ir robotai galėtų juos aptikti kaip tinkamą taikinį.

Jų pagrindinis privalumas yra paprastas diegimas ir priežiūra : juos galima greitai įdiegti, jiems reikia mažiau techninės įrangos išteklių ir juos lengviau stebėti. Be to, kadangi užpuolikui nesiūloma „pilna įranga“, užpuoliko manevravimo erdvė yra ribota.

Nors sąveika yra ribota, šie „medaus puodai“ yra labai naudingi aptinkant pradinius atakų modelius : prievadų nuskaitymus, bandymus atlikti „brute force“ veiksmus su kredencialais, automatinius spragų testus ir kt. Turint šią informaciją, visame tinkle galima atnaujinti saugumo filtrus ir taisykles.

Pagrindinis jų trūkumas yra tas, kad dėl mažiau realistiškų elementų įgudęs užpuolikas gali greitai juos atpažinti kaip masalą ir nuspręsti neatskleisti visos jų strategijos . Taip pat prarandama informacija apie vėlesnius atakos etapus.

Net ir tokiu atveju, aplinkose, kuriose ištekliai riboti arba ieškoma pradinio lygio sprendimo, mažai sąveikos reikalaujantys „medaus puodai“ yra ekonomiškas ir mažos rizikos pasirinkimas norint geriau matyti grėsmes.

Didelės sąveikos „medaus puodai“: maksimalus detalumas, maksimalus rūpestis

Kita vertus, didelės sąveikos „medaus puodai“ užpuolikui siūlo beveik identišką patirtį, kaip ir tikroje gamybinėje sistemoje . Tai gali būti ištisi serveriai, virtualios mašinos arba konteineriai, kruopščiai sukonfigūruoti taip, kad atrodytų pažeidžiami ir patrauklūs.

Šio tipo „medaus puode“ įsibrovėlis gali vykdyti savavališką kodą, atsisiųsti įrankius, keisti konfigūracijas ir bandyti persijungti į kitus išteklius . Dėl šios priežasties tinklo valdymas ir segmentavimas turi būti labai gerai įdiegti.

Pagrindinis privalumas yra tas, kad jie leidžia užfiksuoti visus atakos etapus: nuo pradinės žvalgybos iki imituoto duomenų išgavimo ar netikrų išpirkos reikalaujančių programų diegimo. Tai suteikia vertingą detalumo lygį kuriant realius grėsmių modelius.

Tačiau šių „medaus puodų“ priežiūra reikalauja didelių išteklių sąnaudų: reikia diegti pataisas (išlaikant tam tikrą pažeidžiamumo įspūdį), tvarkyti atsargines kopijas, keisti konfigūracijas ir užtikrinti, kad užpuolikas negalėtų panaudoti „medaus puodo“ kaip atramos taško trečiosioms šalims atakuoti.

Dėl visų šių priežasčių didelės sąveikos „medaus puodai“ paprastai skirti organizacijoms su brandžiomis saugumo komandomis arba laboratorijoms, kurios specializuojasi kenkėjiškų programų analizėje ir pažangiose kibernetinėse grėsmėse.

Kaip įdiegti „honeypot“ tinkle

Efektyvaus „medaus puodo“ įdiegimas neapsiriboja vien pažeidžiamo aparato sukūrimu ir geriausio viltimi. Tam reikia aiškios strategijos ir kruopštaus planavimo , siekiant užtikrinti, kad masalas teiktų vertę ir netaptų papildoma saugumo problema.

Pirmas žingsnis – apibrėžti tikslus: ar ieškote grėsmių žvalgybos informacijos konkrečiam sektoriui? Ar norite pagerinti ankstyvą vidinių ar išorinių atakų aptikimą? Ar norite apmokyti saugumo komandą reaguoti į incidentus? Priklausomai nuo atsakymo, bus pasirinktas tinkamiausias „medaus puodo“ tipas.

Toliau reikia nuspręsti dėl jo vietos tinklo architektūroje . Jis gali būti interneto pakraštyje, demilitarizuotoje zonoje (DMZ), vidiniame segmente arba net izoliuotoje laboratorinėje aplinkoje, priklausomai nuo srauto tipo, kurį norite pritraukti ir stebėti.

Sąranka turi išlaikyti subtilią pusiausvyrą: medaus puodas turi atrodyti realistiškas ir pakankamai pažeidžiamas , kad būtų viliojantis, tačiau neturi pasiūlyti realių galinių durų į gamybos sistemas. Tai apima senesnių paslaugų versijų naudojimą, strateginį prievadų atidarymą ir patikimus modeliuojamus duomenis.

Kai „medaus puodas“ pradės veikti, jis turi būti integruotas su stebėjimo ir analizės įrankiais: SIEM, SOC, centralizuotomis registravimo sistemomis, valdomomis aptikimo ir reagavimo ataskaitų suvestinėmis (MDR, EDR, XDR) ir kt. Tokiu būdu jo generuojama informacija nėra izoliuota, o perduodama į kitas apsaugos sistemas.

Galiausiai patartina nustatyti aiškias procedūras: kas peržiūri žurnalus, kaip dažnai, kaip elgtis aptikus ataką ir kokių veiksmų imamasi, kad išmoktos žinios realiai pagerintų saugumo padėtį.

Surinktos žvalgybos stebėsena, analizė ir naudojimas

Tikroji medaus puodo galia slypi tame, kas daroma su jo generuojamais duomenimis. Nepakanka tiesiog palikti jį ten „tik tuo atveju“: reikia nuolat stebėti ir analizuoti, kas vyksta masalo viduje.

Pirma, visi svarbūs įvykiai (ryšiai, komandos, failų pakeitimai, paleisti procesai) siunčiami į centralizuotą žurnalų sistemą arba SIEM , kur jie susiejami su informacija iš kitų tinklo sistemų.

Remdamiesi tuo, analitikai gali nustatyti įtartino elgesio modelius , pvz., pakartotinius autentifikavimo bandymus iš to paties IP adreso, žinomų po išnaudojimo įrankių naudojimą arba tam tikrų tipų kenkėjiškų programų diegimą.

Šie rezultatai paverčiami konkrečiomis taisyklėmis: naujais IDS/IPS parašais, į EDR įtraukiamais kompromitavimo indikatoriais, užkardoje blokuojamų IP adresų sąrašais arba pažeidžiamų paslaugų prieigos politikos koregavimais.

Laikui bėgant, „medaus puodas“ įsitvirtina kaip stabilus praktinės grėsmių informacijos šaltinis , leidžiantis organizacijai būti vienu žingsniu priekyje užpuolikų, o ne reaguoti tik tada, kai jie jau sukelia rimtą incidentą.

„Honeypots“ naudojimo tinklo saugumo srityje privalumai

Į tinklo saugumo strategiją įtraukiant „medaus puodus“ galima gauti daug naudos, kuri gerokai viršija vien techninį smalsumą. Tinkamai įdiegti jie tampa pagrindinėmis priemonėmis atakoms numatyti ir incidentų poveikiui sušvelninti.

Pagrindinis privalumas yra ankstyvas grėsmių aptikimas . Kadangi bet koks bandymas patekti į „medaus puodą“ yra įtartinas, jis veikia kaip ankstyvojo perspėjimo sistema, ypač prieš žvalgybinę veiklą ar automatizuotas masines atakas.

Antra, „medaus puodai“ padeda sumažinti triukšmą ir klaidingus pavojaus signalus . Skirtingai nuo kitų aptikimo sistemų, į kurias įmaišomas teisėtas srautas, čia bet koks neteisėtas ryšys turi labai mažai tikimybės būti nekaltas, todėl supaprastinamas įspėjimų prioritetizavimas.

Jie taip pat teikia daug informacijos apie grėsmes . Tiesioginis užpuolikų veikimo stebėjimas leidžia atnaujinti taisykles, politiką ir konfigūracijas remiantis realiais duomenimis, o ne prielaidomis ar teorijomis.

Galiausiai, jo įdiegimas paprastai yra gana ekonomiškas . Investuojant į techninę įrangą ir laiką, galima gauti informacijos, kuri sutaupo daug pinigų reaguojant į incidentus, mažinant žalą ir atkuriant sistemą.

Medaus puodų rizika ir iššūkiai

Nepaisant visų savo privalumų, „medaus puodai“ nėra stebuklinga priemonė. Prastai suprojektuoti ar prižiūrimi jie gali sukelti naujų saugumo rizikų ir tapti labiau galvos skausmu nei pagalba.

Vienas akivaizdžiausių pavojų yra tas, kad užpuolikas gali panaudoti „medaus puodą“ kaip atspirties tašką atakuoti kitas organizacijos sistemas ar net trečiąsias šalis, jei tinklo segmentavimas nėra gerai apibrėžtas.

Kita rizika – galimas atsitiktinis neskelbtinos informacijos atskleidimas, jei „medaus puodai“ užpildomi tikrais duomenimis, kad jie atrodytų patikimesni. Bet koks masalui naudojamas turinys turi būti kruopščiai sukurtas.

Taip pat reikia atsižvelgti į išteklių sąnaudas: vieno ar kelių „medaus puodų“ projektavimas, diegimas, stebėjimas ir analizė reikalauja laiko, specializuoto personalo ir tinkamų įrankių . Jei organizacija negali imtis šių pastangų, sistema galiausiai bus apleista ir nesuteiks jokios vertės.

Galiausiai, yra teisinių ir etinių aspektų . Nors užpuoliko sugavimas ir stebėjimas nėra tas pats, kas kontrataka, labai svarbu užtikrinti, kad būtų laikomasi galiojančių įstatymų dėl privatumo, duomenų tvarkymo ir atsakomybės, jei „medaus puodas“ būtų panaudotas žalai trečiosioms šalims pakenkti.

Integracija su kitomis kibernetinio saugumo priemonėmis

„Medaus puodų“ nereikėtų laikyti izoliuotu sprendimu, o veikiau kaip vieno iš giluminės gynybos strategijos elementų . Tikrasis jų potencialas atsiskleidžia, kai jie integruojami su kitomis saugumo priemonėmis ir procesais.

Aiškus pavyzdys yra jo derinys su pažeidžiamumų vertinimais ir įsiskverbimo testavimu (VAPT) . Šių testų rezultatai gali parodyti, kur prasminga išdėstyti „medaus puodus“ ir kurias paslaugas reikėtų imituoti, kad būtų galima stebėti realias atakas prieš tas pačias silpnąsias vietas.

Jie taip pat gerai integruojasi su įprastais pažeidžiamumų skaitytuvais. Šių skenavimų rezultatai padeda nustatyti, kuris masalo scenarijus yra vertingiausias ir kuriuos atakų modelius verta atidžiau stebėti.

Operaciniu lygmeniu labai svarbi integracija su saugumo operacijų centru (SOC) , tiek vidiniu, tiek teikiamu kaip paslauga (SOCaaS). SOC yra atsakingas už įspėjimų iš „medaus puodo“ gavimą ir koreliaciją su likusia infrastruktūra, o tai pagerina aptikimą ir reagavimą.

Galiausiai, susiejus „medaus puodo“ informaciją su MDR, EDR ir XDR platformomis , apgaulingoje aplinkoje įgytos pamokos tiesiogiai paverčiamos apsaugos taisyklėmis ir automatizuotu atsaku visuose organizacijos galiniuose įrenginiuose ir sistemose.

Praktinis medaus puodų pritaikymas

Be teorijos, „medaus puodai“ turi daugybę praktinių pritaikymų kasdieniame kibernetinio saugumo srityje. Jie yra ne tik laboratorinis žaislas, bet ir labai naudingi įrankiai realioje aplinkoje.

Vienas aiškiausių jo pritaikymo būdų – žvalgybos duomenų apie kylančias grėsmes rinkimas . Užpuolikams išbandant naujus metodus arba diegiant naują kenkėjišką programinę įrangą, „medaus puodai“ gali užfiksuoti šiuos pavyzdžius, kol jie nepasiekė kritinių sistemų.

Kita svarbi taikymo sritis – bendros organizacijos gynybos gerinimas . Informacija, gauta iš realių atakų prieš „medaus puodą“, naudojama ugniasienėms stiprinti, IDS/IPS konfigūracijoms koreguoti, el. pašto taisyklėms atnaujinti, slaptažodžių politikoms tobulinti ir pažeidžiamoms paslaugoms apsaugoti.

Be to, „medaus puodai“ yra ideali aplinka saugumo komandų mokymams . Jie leidžia atkurti realius incidentus, praktikuotis aptikimo, analizės ir reagavimo srityse, taip pat įvertinti, kaip analitikai reaguoja į stresines situacijas nekeldami pavojaus gamybos ištekliams.

Galiausiai, jie netgi gali būti atgrasymo priemonė. Organizacija, kuri demonstruoja pažangias aptikimo priemones ir aktyvius masalus, gali būti mažiau patraukli užpuolikams, kurie paprastai renkasi taikinius su paprastesne gynyba.

Apskritai „medaus puodai“ atlieka tiesioginę gynybinę funkciją (atakų aptikimą ir nukreipimą) su tyrimų, mokymosi ir nuolatinio tobulėjimo komponentais , todėl jie yra labai vertingi sąjungininkai, saugant šiuolaikinius tinklus nuo nuolat kintančio grėsmių kraštovaizdžio.