Paper2026
Material revisado: AbstractLos autores proponen TAB-DEN, un marco para sistemas sanitarios de IoT que combina blockchain permisionada con consenso Prueba de Autoridad para autenticación descentralizada, una arquitectura jerárquica de servidores edge que calculan puntuaciones de confianza en tiempo real y desvían el tráfico según su fiabilidad, y nodos edge basados en engaño que actúan como entornos tipo honeypot para atraer, aislar y perfilar a los atacantes. El objetivo declarado es proporcionar seguridad escalable y resistente a ataques cuánticos, registrando los eventos de intrusión mediante un esquema de firma post-cuántico basado en retículos para que los registros de ataque resulten inmutables y verificables en el libro mayor distribuido.
IoTNetworkHoneypotDecoy
Paper2026
Material revisado: AbstractLos autores presentan AdvancedShelLM, un honeypot SSH basado en LLM que utiliza una arquitectura multiagente (Manager y Worker) para mejorar la comprensión de comandos y la capacidad de engaño respecto a su predecesor shelLM. Según el resumen, el sistema fue evaluado mediante pruebas unitarias, un atacante de IA, atacantes humanos y un despliegue en Internet.
NetworkEndpointHoneypotDecoy
Paper2026
Material revisado: AbstractEste estudio examina cómo los efectos de anclaje influyen en las decisiones de los atacantes en escenarios de ciberataque, mediante dos experimentos. El primero compara métodos de medición del anclaje en tareas de Crontab y nombres de host; el segundo integra disparadores de sesgo en una cadena de ataque de extremo a extremo.
NetworkEndpointDecoyAdversary engagement
Paper2026
Material revisado: AbstractEl artículo analiza el uso de tecnologías de Cyber Deception (engaño cibernético) para el estudio de amenazas actuales y el comportamiento de posibles atacantes, y sostiene la utilidad de los sistemas honeypot para recopilar información sobre intentos de acceso no autorizado y técnicas de ciberataque. Sus autores proponen una arquitectura de laboratorio basada en infraestructura virtual con el sistema honeypot Cowrie, orientada a la recolección automatizada de registros de eventos y la monitorización continua de intentos de acceso, procesos de autenticación, comandos ejecutados y análisis posterior de la actividad de los atacantes.
NetworkEndpointHoneypotDecoy
Paper2026
Material revisado: AbstractLos autores examinan la suposición de que los señuelos pueden situarse en cualquier punto donde exista comportamiento del atacante, aplicando una rúbrica de cuatro criterios a las 250 técnicas de MITRE ATT&CK v18.1. Concluyen que solo el 32% de las técnicas admiten un señuelo plausible y describen dos patrones de colocación denominados Sweep y Seek, ofreciendo una regla simple para el despliegue de señuelos.
NetworkEndpointDecoyAdversary engagement
Paper2026
Material revisado: AbstractEste trabajo de posición propone que presentar contenido de historias de engaño puede influir en cómo atacantes humanos y agentes basados en modelos grandes de lenguaje (LLM) evalúan la autenticidad de funciones y efectos de engaño en una red o host. Los autores describen su modelo industrial HoneyContent para diseñar y crear contenido de historias de engaño que 'envuelva' o incruste funciones de engaño, integrando teoría de garantía (warranting) y teoría de señales (signaling), y visualizan su uso en un escenario industrial de engaño cibernético.
NetworkEndpointDecoy
Paper2026
Material revisado: AbstractEste artículo estudia cómo mejorar la precisión de emulación de shell en honeypots SSH basados en LLM locales de peso abierto, mediante diseño de prompts y ajuste fino supervisado, comparando ocho modelos frente a sus versiones base. Los autores reportan, usando 34 pruebas automatizadas, que el diseño de prompts tiene un efecto considerable y que el ajuste fino depende de la cobertura del conjunto de datos utilizado, con un conjunto de datos ampliado derivado de registros de honeypot produciendo modelos locales más robustos según sus propias mediciones.
NetworkEndpointHoneypot
Paper2026
Material revisado: AbstractEste trabajo estudia cómo agentes de pruebas de penetración basados en modelos de lenguaje grande (LLM) pueden asignar su presupuesto de ejecución al enfrentarse a honeypots. Los autores formalizan el problema del atacante como un proceso de decisión presupuestado en el que el agente debe decidir si continuar la explotación o descartar un objetivo ante sospecha de honeypot, proponiendo una política guiada por un detector en un entorno de prueba controlado con hosts mixtos.
NetworkEndpointHoneypotAdversary engagement
Paper2026
Material revisado: AbstractLos autores presentan Mirage Mesh, un marco ligero de engaño cibernético para entornos Linux que despliega decepción en profundidad mediante cuatro capas: un señuelo SSH basado en Cowrie, una cuenta administrativa señuelo a nivel de sistema, una interfaz web de administración falsa en Flask y un archivo de credenciales honeytoken. El trabajo propone un esquema común DecoyAlertEvent para normalizar las observaciones de estas capas, procesarlas mediante una canalización con Wazuh y orquestación en Python, mapearlas a etapas del cyber kill-chain y técnicas de MITRE ATT&CK, y evaluarlas con una métrica de efectividad de decepción (DEM).
NetworkEndpointHoneypotHoneytoken
Paper2026
Material revisado: Texto completoAporte del editorPacheco y Staino presentan BUDA como propuesta para simular actividad de usuarios ficticios y reforzar la credibilidad de señuelos, alineada con MITRE Engage.
EndpointNetworkDecoyAdversary engagement
Paper2026
Material revisado: AbstractEste artículo presenta ShellGames, un simulador de shell SSH basado en modelos de lenguaje de gran tamaño (LLM) diseñado para sostener sesiones interactivas de engaño creíbles con adversarios. Según los autores, el sistema combina técnicas como razonamiento en cadena, gestión de memoria, ejecución especulativa de comandos, enrutamiento a entornos sandbox y detección de subversión para superar limitaciones comunes de los LLM. Los autores reportan mejoras en precisión, consistencia y seguimiento de estado frente a líneas base, y un estudio con usuarios que indica una realismo percibido comparable a un shell real.
NetworkEndpointHoneypotMoving target defense
Paper2025
Material revisado: AbstractEste trabajo presenta una metodología impulsada por aprendizaje automático que combina principios de engaño cibernético críptico y mimético para proteger circuitos integrados frente a ataques de ingeniería inversa, utilizando un autoencoder variacional (AIG-VAE) y nuevas variantes de puertas encubiertas. Los autores informan que los experimentos muestran efectividad en mantener la funcionalidad mientras se logran altas puntuaciones de camuflaje y similitud.
EndpointDecoy
Paper2025
Material revisado: AbstractLos autores presentan el Hybrid Cyber Deception System (HCDS), descrito como una herramienta proactiva desarrollada en Python que combina honeypots y honeytokens en modalidad adaptable para simular servicios realistas y redirigir a los atacantes en entornos instrumentados. El sistema integra un motor de correlación de alertas guiado por decepción, basado en Python, Pandas y Scikit-learn, junto con principios de Moving Target Defense para modular continuamente parámetros de red y distribución de señuelos, y fue probado en un entorno simulado con servidores Windows y Ubuntu para perfilar atacantes y detectar vectores de ataque complejos.
NetworkEndpointHoneypotHoneytoken
Paper2025
Material revisado: AbstractLos autores presentan LLMHoney, un honeypot SSH que utiliza modelos de lenguaje grandes (LLM) para generar respuestas de comandos dinámicas y realistas en tiempo real, combinando un sistema de archivos virtual basado en diccionario con LLMs para entradas novedosas. Según el resumen, evaluaron el sistema con 138 comandos Linux representativos y 13 variantes de LLM, reportando métricas de precisión, latencia y uso de memoria, además de discutir desafíos como alucinaciones ocasionales.
NetworkEndpointHoneypotDecoy
Paper2025
Material revisado: AbstractEste estudio propone SPADE, un marco que utiliza modelos de IA generativa junto con ingeniería de prompts estructurada para automatizar la creación de estrategias adaptativas de engaño cibernético frente a malware dinámico. Según los autores, el marco aborda desafíos de los modelos de lenguaje grandes como salidas generalizadas, ambigüedad y escalabilidad, y fue evaluado en escenarios de malware diversos usando métricas como Recall, Exact Match, BLEU y evaluaciones de expertos, identificando a ChatGPT-4o como el de mejor desempeño.
EndpointNetworkAdversary engagementDecoy
Paper2024
Material revisado: AbstractEste trabajo aborda la generación automática de contenido para honeyfiles, documentos señuelo diseñados para detectar intrusos. Los autores se centran en la generación de gráficos realistas dentro de estos documentos, combinando un Transformer multitarea para generar títulos y texto de gráficos con un autoencoder especializado para generar los datos tabulares subyacentes. También proponen un nuevo conjunto de datos y una métrica (Keyword Semantic Matching) para evaluar la consistencia semántica del contenido generado.
EndpointHoneypotDecoy
Paper2024
Material revisado: AbstractSegún los autores, este artículo revisa el uso de modelos de lenguaje grandes (LLMs) en la detección de malware, incluyendo su aplicación en honeypots de malware, identificación de amenazas basadas en texto, análisis de código y detección de tendencias. Los autores proponen un esquema de clasificación, métricas de rendimiento y un marco de mitigación de riesgos basado en LLMs, evaluando su desempeño frente a malware habilitado por estos modelos.
EndpointHoneypot
Paper2024
Material revisado: AbstractEl estudio propone un sistema de detección de malware que combina la optimización por enjambre de partículas (PSO) con un modelo fuzzyKNN, usando PSO para seleccionar un conjunto de características a partir de un conjunto de datos de malware y empleando un honeypot como entorno controlado para recopilar muestras y entrenar el modelo. Los autores comparan su método con técnicas de detección estándar e informan que el enfoque PSO-fuzzyKNN mejora la precisión de la detección de malware.
EndpointHoneypot
Paper2024
Material revisado: AbstractEste artículo propone un enfoque basado en aprendizaje por refuerzo (RL) para simular ataques de ransomware en un entorno que imita redes reales, con el fin de agilizar los ejercicios tradicionales de red teaming. Según los autores, los resultados experimentales en una red de ejemplo de 152 hosts muestran que el agente RL es capaz de descubrir y orquestar ataques hacia objetivos de alto valor mientras evade honeyfiles (archivos señuelo colocados para detectar accesos no autorizados).
NetworkEndpointDecoyAdversary engagement
Paper2024
Material revisado: AbstractEste trabajo en progreso estudia la implementación de estrategias de engaño en profundidad con tres capas lógicas iniciales: red, host y datos. Los autores combinan ideas de engaño militar, orquestación de red, engaño de software, engaño de archivos, honeypots falsos y defensas de objetivo móvil, construyendo un prototipo que será probado en entornos adversarios. Según los autores, el objetivo es mostrar que desplegar un amplio rango de técnicas de engaño puede proteger mejor los sistemas que usar técnicas aisladas, enfocándose en desalentar ataques en lugar de fomentar la interacción activa del atacante.
NetworkEndpointHoneypotDecoy
Paper2023
Material revisado: AbstractEl trabajo propone un sistema de apoyo a la decisión basado en una red de creencias bayesiana para orientar estrategias de engaño cibernético a partir de un modelo detallado de las creencias del atacante, ilustrado mediante un caso de estudio con datos de identificación pasiva de sistemas operativos. Los autores comparan la precisión de predicción del modelo con una red neuronal artificial secuencial y presentan un algoritmo de engaño para seleccionar un conjunto mínimo de características cuya modificación haría aparecer un sistema operativo distinto.
EndpointNetworkDecoy
Paper2023
Material revisado: AbstractEste trabajo explora el uso de agentes conversacionales tipo ChatGPT como interfaz dinámica de honeypot, imitando comandos de terminal de Linux, Mac y Windows y herramientas como TeamViewer, nmap y ping. Los autores presentan diez tareas de viabilidad diseñadas para que equipos defensivos simulen interfaces de honeypot con riesgos mínimos, buscando retrasar o entender las tácticas, técnicas y procedimientos de atacantes.
NetworkEndpointHoneypot
Paper2023
Material revisado: AbstractLos autores describen symbSODA, un sistema de decepción ciberactiva que analiza malware real mediante ejecución de rutas múltiples para extraer subgrafos maliciosos compuestos por WinAPIs y mapearlos a tácticas y técnicas del marco ATT&CK, con el fin de construir y ejecutar planes de decepción personalizados. El propósito declarado es permitir a los usuarios configurar planes de decepción sin conflictos y automatizar la orquestación de la decepción dentro de un entorno engañoso.
EndpointDecoyAdversary engagement
Paper2022
Material revisado: AbstractLos autores describen un sistema de monitoreo para honeypots basado en TaintDroid, orientado a dispositivos embebidos, en el que TaintDroid marca a los atacantes que penetran en el honeypot y luego se monitorean y registran sus comportamientos. El trabajo también informa sobre una prueba de factibilidad del sistema construido por los autores.
IoTEndpointHoneypot