ハニートークン.

ハニートークンは実システムに埋め込む欺瞞アーティファクトであり、それが使われること自体が設計上、悪意あるものか異常であることを意味します。この用語は 2003 年 2 月、Honeynet Project の Lance Spitzner とのメーリングリスト上のやり取りで Augusto Paes de Barros によって生み出され、ハニーポットの考え方をシステム全体から個々のデータ項目へと拡張しました。例として、仕込んだユーザーアカウント、偽のデータベース行、囮のクラウドアクセスキー、電子透かし入り文書、名前解決時にビーコンを発する DNS レコードなどがあります。

flowchart LR
  P[ハニートークンを配置<br/>リポジトリ/共有/DB] --> W[待機:正規の利用なし]
  W --> X((攻撃者が発見し<br/>利用))
  X --> T[利用が高精度<br/>アラートを発火]
  T --> IR[IR:発生源を特定し<br/>侵害範囲を画定]

ハニートークンは不活性で正規プロセスが決して触れないため、誤検知がほぼゼロで、認証情報の窃取・データのステージング・内部不正に対して高精度かつ早期のシグナルを与えます。実用的なパターンが AWS canary キーです。仕込んだ IAM キーの使用を CloudTrail が捕捉します。Thinkst Canarytokens は無料でセルフホスト可能な版(URL・文書・AWS キーのトークン)を普及させました。ハニートークンはログが乏しい領域——サードパーティ SaaS、ソースコードリポジトリ、バックアップ——へ可視性を広げ、ATT&CK の防御技術 Decoy に対応づけられます。留意点として、トークンはもっともらしく、かつ通常のワークフローから決して到達されない必要があり、漏洩認証情報スキャナや不注意な CI パイプラインが誤発火させることがあるため、各アラートは配置場所に照らしたトリアージが依然として必要です。