Paper2026
Material revisado: AbstractEste trabajo presenta PHANTOM, un marco para generar honeytokens que incorporan conocimiento específico de la organización (dominios, convenciones de nomenclatura, idiomas tecnológicos y distribuciones de valores secretos) mediante un pipeline de generación multicomponente. Los autores proponen una métrica de 'Believability Score' de cuatro componentes y la usan para comparar PHANTOM frente a un enfoque basado en plantillas en varios tipos de tokens y contextos organizacionales.
NetworkApplicationHoneytoken
Paper2026
Material revisado: AbstractEl trabajo describe el diseño de un honeypot inalámbrico y portátil basado en Raspberry Pi para detectar y analizar ataques de fuerza bruta SSH. Mediante la simulación de un servicio SSH vulnerable con el honeypot Cowrie, el sistema registra intentos de inicio de sesión y comportamiento de atacantes en tiempo real para estudiar patrones de ataque y mejorar medidas de seguridad.
NetworkHoneypot
Paper2026
Material revisado: AbstractEsta tesis propone modelos de teoría de juegos y optimización para el endurecimiento de grafos de ataque en Active Directory. Según los autores, se introduce un modelo de colocación de honeypots/decoys basado en minimizar rutas cortas y nodos alcanzables por Domain Admin, además de estrategias que consideran la naturaleza dinámica del grafo y modelos de priorización adaptativa con retroalimentación del administrador. Los autores señalan que los problemas subyacentes son computacionalmente intratables.
IdentityNetworkHoneypotDecoy
Paper2026
Material revisado: AbstractEste trabajo propone Federated TGCN-A2C, una arquitectura que integra redes convolucionales de grafos temporales, gemelos digitales basados en LSTM y un agente de actor-crítico federado para decidir entre permitir, aislar o redirigir tráfico a honeypots en dispositivos IoT/IoMT. Los autores reportan evaluaciones en conjuntos de datos públicos de ciberseguridad y análisis de explicabilidad para respaldar la toma de decisiones del sistema.
IoTNetworkHoneypotAdversary engagement
Paper2026
Material revisado: AbstractLos autores describen la aplicación del aprendizaje por refuerzo para mejorar la generación de respuestas en honeypots y presentan Q-Cowrie, una adaptación del honeypot de interacción media Cowrie orientada a aumentar el engaño y permitir decisiones adaptativas durante la interacción con atacantes. Señalan que realizaron dos estudios experimentales, uno con Cowrie para capturar ataques y modelar el proceso de decisión de los atacantes mediante un proceso de decisión de Markov, y otro con Q-Cowrie para apoyar interacciones adaptativas.
NetworkHoneypotAdversary engagement
Paper2026
Material revisado: AbstractEl estudio propone QuantumGuard, un marco de ciberseguridad proactiva que combina redes trampa cognitivas, canales de inteligencia protegidos con criptografía post-cuántica y adaptación de engaño guiada por aprendizaje por refuerzo en entornos ciberfísicos habilitados para 6G. Los autores buscan integrar en una única arquitectura de control en lazo cerrado un orquestador de redes trampa cognitivas, un motor de políticas de engaño bajo observabilidad parcial, una red de atribución de técnicas MITRE ATT&CK basada en transformadores y un bus federado de inteligencia post-cuántico, y presentan una evaluación preliminar sobre conjuntos de datos de referencia y un banco de pruebas de 320 puntos finales.
NetworkIoTHoneypotDecoy
Paper2026
Material revisado: AbstractEl artículo describe un sistema híbrido de detección de intrusiones que combina un clasificador supervisado entrenado con el conjunto NSL-KDD y un honeypot Docker que se despliega automáticamente ante tráfico sospechoso. El tráfico se clasifica en cinco categorías y un ensemble de votación de tres clasificadores genera la detección.
NetworkHoneypot
Paper2026
Material revisado: Texto completoAporte del editorPacheco y Staino presentan BUDA como propuesta para simular actividad de usuarios ficticios y reforzar la credibilidad de señuelos, alineada con MITRE Engage.
EndpointNetworkDecoyAdversary engagement
Paper2026
Material revisado: Página públicaLos autores proponen SecuPi, un sistema compacto basado en Raspberry Pi que combina monitorización de tráfico en tiempo real, detección híbrida de intrusiones (firmas y aprendizaje automático) y respuesta automática a amenazas. Como mecanismos de engaño y defensa proactiva, plantean el uso de honeypots junto con actualizaciones automáticas de cortafuegos y defensa de objetivo móvil (MTD).
NetworkIoTHoneypotMoving target defense
Paper2026
Material revisado: AbstractLos autores proponen un sistema de defensa cibernética proactiva que combina engaño, simulación de entorno adversario y aprendizaje por refuerzo profundo, con vectores de ataque generados mediante GAN para emular amenazas de día cero y polimórficas. El objetivo es entrenar políticas de defensa adaptativas al contexto que detecten comportamientos maliciosos, reorienten vectores de detección y activen trampas de engaño, evaluado con tráfico bueno y adversario en una red sintética de red eléctrica inteligente.
NetworkOT/ICSDecoyAdversary engagement
Paper2026
Material revisado: AbstractEste artículo presenta ShellGames, un simulador de shell SSH basado en modelos de lenguaje de gran tamaño (LLM) diseñado para sostener sesiones interactivas de engaño creíbles con adversarios. Según los autores, el sistema combina técnicas como razonamiento en cadena, gestión de memoria, ejecución especulativa de comandos, enrutamiento a entornos sandbox y detección de subversión para superar limitaciones comunes de los LLM. Los autores reportan mejoras en precisión, consistencia y seguimiento de estado frente a líneas base, y un estudio con usuarios que indica una realismo percibido comparable a un shell real.
NetworkEndpointHoneypotMoving target defense
Paper2026
Material revisado: AbstractLos autores presentan HoneyMed, un framework de honeypot consciente de protocolos que simula servicios sanitarios y de IoT para recoger interacciones maliciosas, convertirlas en características tabulares para aprendizaje automático y clasificar tipos de ataque en tiempo real. El propósito declarado es ofrecer visibilidad de amenazas en entornos de prueba de seguridad de IoMT mediante señuelos, extracción de características y clasificadores ligeros, sin interactuar con activos médicos en producción.
IoTNetworkHoneypotDecoy
Paper2026
Material revisado: AbstractEste trabajo presenta un método para estimar un límite inferior del número de redes que generan tráfico falsificado en ataques DRDoS, utilizando una infraestructura global de honeypots de amplificación anycast. Los autores desarrollan dos estimadores basados en honeypots receptores y variaciones de TTL, analizando 287 días de ataques de amplificación. Según los autores, al menos el 21.0% de los ataques se originan en múltiples ubicaciones de red.
NetworkHoneypot
Paper2026
Material revisado: AbstractSegún los autores, este trabajo presenta SysEvolve, un sistema que integra tres componentes co-diseñados (SysField, SysSpear y SysArmor) para crear un bucle adversarial autodirigido entre agentes de ataque y defensa basados en LLM. Los autores describen la construcción de rangos cibernéticos multi-host realistas, generación de esquemas de ataque y defensa interpretable en tiempo real. También señalan que los endpoints señuelo desplegados en el rango afectan el comportamiento de los agentes LLM.
NetworkDecoyAdversary engagement
Paper2026
Material revisado: AbstractLos autores emplean un honeypot de voz interactivo con personas basadas en modelos de lenguaje sobre números reales de EE.UU. para medir la prevalencia de voces automatizadas y sintéticas en llamadas no deseadas. Combinan huellas de audio, un detector comercial de voz sintética y evaluadores humanos para caracterizar el tráfico de llamadas.
NetworkHoneypot
Paper2026
Material revisado: Metadatos editorialesRegistro bibliográfico sobre realismo y eficiencia de deception. El resumen y los resultados aún requieren lectura.
NetworkDecoy
Paper2026
Material revisado: AbstractLos autores presentan Trident, un marco de red teaming basado en LLM agénticos para evaluar la robustez de defensas de ciberseguridad basadas en aprendizaje por refuerzo profundo (DRL). El trabajo incluye un banco de pruebas dinámico, un conjunto de datos de interacciones rojo-azul y una arquitectura agéntica que genera estrategias de ataque y las traduce en políticas ejecutables contra defensores DRL. Según los autores, Trident reduce significativamente el desempeño defensivo y descubre comportamientos emergentes como la evitación de señuelos.
NetworkDecoyAdversary engagement
Paper2026
Material revisado: AbstractEl artículo presenta TrustFed-Honeypot, un marco híbrido federado con reentrenamiento para IDS basados en honeypots. Los clientes entrenan localmente y el servidor reentrena un modelo logístico global sobre muestras ponderadas por un modelo de confianza conductual multis señal, con el fin de remodelar la distribución de reentrenamiento.
NetworkHoneypot
Paper2026
Material revisado: AbstractEl estudio propone un sistema de detección no supervisado basado en modelos de la familia autoencoder que aprenden el comportamiento normal del tráfico y señalan anomalías mediante el error de reconstrucción (MSE), aplicado a metadatos de múltiples fuentes (Wireshark, registros de cortafuegos y honeypot T-Pot) recogidos durante quince días en una VLAN empresarial real. Los autores incorporan inteligencia de amenazas externa (AbuseIPDB, OTX) y un sistema de puntuación multidimensional (MDSS) para convertir las detecciones en puntuaciones de riesgo priorizadas, y validan las anomalías mediante dos canalizaciones MITRE ATT&CK.
NetworkIoTHoneypot
Paper2025
Material revisado: AbstractSegún el resumen, los autores presentan un modelo descriptivo que incorpora factores psicológicos y estratégicos (creencia, escepticismo, fidelidad del engaño, reconocimiento y experiencia) para explicar la decisión inicial de un atacante de comprometerse o retirarse frente a técnicas de ciberengaño. Los autores indican que han diseñado experimentos con actividades tipo Capture the Flag y observaciones biométricas para evaluar el modelo, pero aclaran explícitamente que estos experimentos aún no se han realizado y no se presentan resultados experimentales en el artículo.
NetworkDecoyAdversary engagement
Paper2025
Material revisado: AbstractLos autores proponen un modelo teórico de juegos de suma no nula para representar las interacciones estratégicas entre atacantes y defensores cibernéticos, incorporando funciones de pago que consideran probabilidades y costos de exploits, valores de nodos de red y costos de despliegue de honeypots. Mediante simulaciones, derivan equilibrios de Nash para informar decisiones estratégicas de defensa, encontrando que exploits de alta probabilidad y bajo costo como phishing requieren mecanismos de defensa priorizados.
NetworkHoneypot
Paper2025
Material revisado: AbstractEste artículo presenta un marco de defensa automatizado para entornos de nube que utiliza telemetría de honeypots de interacción media a alta para actualizar reglas de firewall en tiempo real. Según los autores, el sistema integra el honeypot Cowrie, herramientas nativas de Azure y clasificación alineada con MITRE ATT&CK dentro de un ciclo de retroalimentación cerrado. Los autores reportan un tiempo medio de bloqueo de 0.86 segundos y la clasificación de más de 12,000 intentos SSH en pruebas experimentales.
CloudNetworkHoneypotAdversary engagement
Paper2025
Material revisado: AbstractLos autores presentan un entorno simulado tipo Gym para el aprendizaje por refuerzo adversarial en seguridad de redes, en el que agentes atacantes y defensores entrenados con DQN compiten en un marco de recompensa de suma cero. El entorno modela ataques de fuerza bruta y defensas reactivas, incluyendo trampas tipo honeypot y limitación de tasa adaptativa, y los autores reportan que la observabilidad del defensor y la efectividad de las trampas crean barreras sustanciales frente a los ataques.
NetworkHoneypotAdversary engagement
Paper2025
Material revisado: AbstractEl trabajo describe un sistema de detección de intrusiones basado en aprendizaje automático, complementado con la integración del honeypot Cowrie para capturar datos de comportamiento de atacantes y así mejorar la detección de indicadores de compromiso y patrones de ataque. Los autores presentan una arquitectura multi-VM aislada, modelos supervisados y no supervisados (Random Forest, Logistic Regression, Isolation Forest), una API en Flask para clasificación en tiempo real y cuadros de mando en Kibana y Power BI, con el propósito de detectar tanto amenazas conocidas como desconocidas.
NetworkHoneypot