CISA ha pubblicato la sua prima guida dettagliata sui cyber decoys, spostando il tema da idea di laboratorio a pratica a basso costo per chi difende infrastrutture critiche e team piccoli. Il punto è usare account, file e dati finti ma credibili per far emergere accessi abusivi che passano per credenziali valide e strumenti nativi.
Il meccanismo è semplice: collocare honeytokens, tripwire e altri artefatti dove un utente legittimo non dovrebbe mai arrivare. Se qualcuno li tocca, l’allarme ha poco rumore di fondo perché quel contatto non fa parte del lavoro normale. CISA li presenta come un complemento al Zero Trust, utile per vedere attività LOTL e movimenti laterali che il monitoraggio convenzionale tende a confondere con il traffico ordinario.
Per i team che già usano IAM, EDR o DLP, il valore sta nel trasformare strumenti già presenti in una rete di segnali più precisa. La guida non introduce un obbligo nuovo; indica però una via concreta per rendere più visibili intrusioni che altrimenti restano nascoste dentro credenziali rubate e strumenti legittimi.