Ghidul CISA despre momeli cibernetice: detecție pentru organizațiile care nu au SOC

Majoritatea organizațiilor din România nu au un SOC propriu și nici bugetul pentru unul. Problema lor nu este lipsa alertelor, ci excesul: loguri pe care nu le citește nimeni, alerte antivirus care se dovedesc fals pozitive și o senzație generală că „ceva ar trebui să ne spună dacă suntem atacați”.

O momeală răstoarnă raportul semnal-zgomot. Un cont care nu aparține nimănui, un fișier care nu are niciun motiv operațional să fie deschis, o înregistrare DNS care nu duce nicăieri util — dacă cineva le atinge, nu există explicație benignă. Nu ai nevoie de corelare complexă ca să interpretezi evenimentul. Asta face abordarea deosebit de potrivită tocmai pentru organizațiile cu resurse mici, deși ghidul se adresează unui public mai larg.

Diferența față de un antivirus sau un firewall este că momeala nu încearcă să oprească atacul. Îți spune că se întâmplă, devreme, și îți arată ce caută atacatorul.

• Confirmat: ghidul a fost anunțat de CISA pe 16 septembrie 2026, se adresează apărătorilor cu niveluri diferite de maturitate și introduce tripwire-uri, breadcrumb-uri și honeytoken-uri ca instrumente de detecție.
• Confirmat: se sprijină pe MITRE Engage și MITRE ATT&CK și își propune pași practici, cu complexitate redusă, pentru planificarea, implementarea și rafinarea operațiunilor cu momeli.
• Confirmat: abordarea este prezentată ca fiind complementară modelelor Zero Trust, nu un înlocuitor al lor.
• Ce nu este: o obligație legală, în Statele Unite sau în Uniunea Europeană. Este un ghid al unei agenții americane, nu o normă transpusă în dreptul român, și nu certifică niciun produs.
• Ce rămâne în sarcina organizației: alegerea locurilor unde pui momelile, cine primește alerta și ce se întâmplă în minutul următor. Un ghid nu poate decide asta pentru tine.

• Un cont de utilizator care nu este folosit de nimeni, cu un nume plauzibil pentru mediul tău — genul de cont pe care un atacator l-ar încerca pentru că pare privilegiat. Nu îi dai drepturi reale. Singura regulă: orice încercare de autentificare pe el generează o alertă către o persoană anume, nu către o căsuță colectivă.
• Un fișier cu nume atrăgător, plasat într-un share de rețea real, cu auditul de acces activat. Nu conține date reale — acesta nu este un detaliu opțional, ci condiția care face exercițiul legal și sigur. Dacă cineva îl deschide, ai un semnal clar și o marcă temporală.
• Un honeytoken: o cheie de API sau un set de credențiale care arată autentic, dar nu deschide nimic, lăsat acolo unde un atacator ar căuta secrete — un repository intern, un fișier de configurare, o pagină de wiki. Orice utilizare a lui este, prin construcție, o dovadă de acces neautorizat.

• Momeala pe care nu o monitorizează nimeni. O capcană fără destinatar al alertei este doar un fișier în plus. Stabilește persoana și canalul înainte de a pune momeala, nu după.
• Momeala cu date reale. Tentația de a o face „mai credibilă” cu informații autentice transformă un instrument de detecție într-o expunere suplimentară. Credibilitatea vine din plasare și denumire, nu din conținut.
• Momeala pe care o calcă propriii angajați. Dacă un coleg deschide fișierul din curiozitate, ai o alertă falsă și o discuție neplăcută. Alege denumiri și locuri care nu apar în fluxul normal de lucru și informează, în avans, echipa de IT care administrează sistemul. Inducerea în eroare vizează atacatorul, nu colegii.

Pentru entitățile esențiale și importante, NIS2 cere măsuri de detecție, tratare a incidentelor și continuitate, plus capacitatea de a raporta un incident semnificativ în termenele stabilite. Un ghid CISA nu apare în legislația europeană și nu poate fi invocat ca dovadă de conformitate. Poate însă susține o parte concretă din acele măsuri: dacă termenul de avertizare timpurie este de 24 de ore de la momentul în care organizația ia cunoștință, atunci orice mecanism care scurtează drumul până la „am luat cunoștință” are valoare directă, nu teoretică.

Momelile sunt, din acest punct de vedere, una dintre puținele măsuri de detecție care costă aproape nimic și produc un semnal aproape lipsit de ambiguitate. Awarely Learning poate transforma exercițiul în ceva repetabil pentru echipele de IT și conducere — cine primește alerta, ce face în primele cincisprezece minute, cum se documentează. Decizia privind plasarea și răspunsul rămâne a organizației.