Наткнулся тут на интересную статью про психологию 🧠 создания эффективных honey-токенов – ловушек в виде фейковых учетных данных, которые срабатывают именно тогда, когда злоумышленник пытается их валидировать (это может быть как часть отдельных обманных систем, так и просто одним из элементом процесса отвлечения внимания плохих парней). Эффективность таких токенов определяется не просто техническими характеристиками, а тем, насколько хорошо они вписываются в контекст реальной среды и используют человеческие когнитивные механизмы злоумышленника 🤯 Авторы исходят из достаточно логичной мысли 🤔, что злоумышленники, как ленивые люди, обычно не проверяют все найденные данные подряд – они отбирают те, которые кажутся им ценными и реалистичными. Решение о проверке происходит очень быстро, на уровне интуитивного мышления (то, что Даниэль Канеман называет Система 1). Размышления хакеров происходит автоматически и на паттернах прошлого опыта 🤯 Статья выделяет три когнитивных искажения, которые атакующие используют бессознательно: 🧠 1️⃣ Искажение ценности (Value Bias). Высокая потенциальная ценность + низкий риск – "хленые крошки", имитирующие токены для доступа к облакам, реквизиты доступа к базами данных и т.п., валидируются автоматически. Чем больше потенциальной выгоды у обманного токена, тем меньше внимания уделяется риску попасть на удочку ИБ. 2️⃣ Искажение знакомства (Familiarity Bias). Если тип токена и место его обнаружения кажутся "такой же ситуацией, как и раньше", мозг действует быстро, не задумываясь. Например, AWS-ключи в CI/CD выглядят очень знакомо для атакующих. 3️⃣ Путь наименьшего сопротивления (Path of Least Resistance). Токены, которые кажутся свежими (внедрены в недавних коммитах или активных репозиториях), воспринимаются как более вероятные реальные данные и валидируются злоумышленниками без дополнительного анализа. Статья опирается на концепцию из книги Канемана "Думай медленно... решай быстро": 🤯 ➖ Система 1 – быстрое, интуитивное мышление, отвечает за первоначальную оценку токена. ➖ Система 2 – более медленное, аналитическое мышление, включается, если контекст вызывает сомнения. Если токен вписан в знакомый контекст, он проверяется автоматически ("Система 1") – это ключ для срабатывания ловушки 🧠 Если контекст не похож на реальный, включается "Система 2" и происходит задержка: злоумышленник сомневается или пропускает токен. Чтобы обманка успешно сработала, он должен быть не просто технически корректным, но и контекстно правдоподобным: выглядеть так, как будто он должен был быть найден именно здесь: ✅ Токены в скриптах развертывания, а не в странных папках. ✅ AWS-ключи в активном конвейере CI/CD. ✅ Учетные записи, соответствующие реальным схемам именования. ✅ Метки и временные признаки, указывающие на использование 🤯 ЗЫ. Точно также, следуя идеям Канемана, действуют и специалисты ИБ, принимая те или иные решения. ЗЗЫ. У нас на грядущем PHDays будет отдельный трек "Отличные люди" про психологию во всем ее многообразии. Так что, если вам есть что сказать, то можете податься на CFP. Или просто бронируйте время, если вам интересны не только технические аспекты ИБ, но и психологические 🧠 #психология