פיתיונות: זיהוי חדירה 100% ודאי
כל מערכת-הגנה מבוססת-חתימות או התנהגות — IDS, EDR, אנטי-וירוס — סובלת מאותה מחלה: אזעקות-שווא. היא מנחשת אם פעילות היא זדונית, ולפעמים טועה. פיתיון (honeytoken) הופך את המשוואה: זהו פח דיגיטלי — קובץ, מפתח, סיסמה או כתובת — שאף תהליך לגיטימי לעולם לא נוגע בו. לכן כל גישה אליו היא חדירה מאושרת, עם אפס אזעקות-שווא.
מה זה בעצם פיתיון
פיתיון הוא פיסת-פיתוי מזויפת שהמפעיל שותל בכל מקום רגיש: URL דמה, רשומת DNS, מפתח-ענן פיקטיבי, מסמך "סודי", או צמד-הרשאות למסד-נתונים שלא קיים. הרעיון עתיק כמו הביון עצמו — שם מזויף ברשימת-דיוור כדי לתפוס מי מכר אותה. בעולם הסייבר זה הופך לאות-הפריצה הכי נקי שיש: אם מישהו קרא, פתח או השתמש בפיתיון — הוא לא היה אמור להיות שם. נקודה.
איך זה עובד — 100% agentless
1. מנפיקים. מהדשבורד המפעיל טובע פיתיון לפי סוג ותווית (למשל "מפתח-SSH · שרת-גיבוי"). התוצר הוא בסך-הכול מחרוזת. 2. שותלים. את המחרוזת מדביקים בכל מקום מפתה — קובץ passwords.xlsx בשרת-קבצים, מפתח דמה בקוד, רשומת-DNS פנימית. אין להתקין דבר על אף מכשיר. 3. מפעילים. ברגע שתוקף נוגע בפיתיון, הגישה פוגעת בWorker ציבורי — beacon ענני — שרושם את האירוע: IP מקור, גֵאוֹ, חותמת-זמן. 4. מעשירים. ה-beacon מצליב את ה-IP מול פיד מודיעין-האיומים (C2) שכבר משרת את הפלטפורמה. 5. מסתירים. ה-Worker מחזיר GIF תמים בגודל 1x1 — התוקף לא רואה שום דבר חשוד, וממשיך כאילו כלום. אנחנו כבר יודעים.
מה קורה ברגע ההפעלה
- הפגיעה נכנסת לפיד-התקיפות החי בזמן-אמת.
- היא מוזנת לקורלציית-האירועים של ה-SIEM, ומתחברת לכל שאר האותות לכדי סיפור-מתקפה אחד.
- המפעיל מקבל אימייל מיידי — לא צריך לשבת מול מסך כדי לדעת.
- המונה של אותו פיתיון בדשבורד עולה, כך שרואים מגמות ("הקובץ הזה נגעו בו 4 פעמים השבוע").
איפה זה יושב במסגרת
במונחי MITRE ו-NIST זו הונאה (deception) בפונקציית ה-Detect. בעוד UEBA וה-EDR לומדים "מה נורמלי" ומנחשים סטיות, הפיתיון לא מנחש כלום — הוא מניח מלכודת ומחכה. שתי הגישות משלימות: ההתנהגות מצמצמת את שדה-הראייה, והפיתיון נותן את ההוכחה הנקייה. יחד, על אותה פלטפורמה אחת, הם ההבדל בין לקוות שתתפסו פורץ — לבין לדעת ברגע שהוא נכנס.