Sistema di Honeypot Distribuito per Threat Intelligence e Monitoraggio in Tempo Reale

La crescente complessità del panorama delle minacce informatiche rende sempre più difficile per le organizzazioni individuare tempestivamente attività malevole all'interno delle proprie infrastrutture. In questo contesto, gli honeypot si affermano come strumenti di difesa proattiva capaci di attrarre, monitorare e analizzare il traffico malevolo, fornendo intelligence di sicurezza ad alto valore. La presente tesi propone la progettazione e l'implementazione di HoneyTrap, una piattaforma di sicurezza informatica modulare, progettata per essere distribuita su hardware a basso costo o in ambienti virtualizzati e pensata per l'adozione in ambienti di produzione. L'architettura si articola in tre componenti principali: un sensore honeypot sviluppato in Python, che emula servizi di rete comuni (SSH, FTP, HTTP, SMB, RDP) e classifica in tempo reale gli eventi di attacco (scansioni, brute force, SQL injection, tentativi di autenticazione); un backend basato su FastAPI, che gestisce una coda persistente con priorità, lo storage su database SQLite, l'analisi statistica degli eventi e l'integrazione con sistemi di notifica e SIEM esterni; e un frontend in React e TypeScript, che offre una dashboard operativa per il monitoraggio in tempo reale, la configurazione delle regole di notifica e la gestione della retention dei log, con autenticazione basata su Microsoft Entra ID. Il lavoro affronta l'analisi dei requisiti funzionali e dei vincoli progettuali, la scelta delle tecnologie e l'ottimizzazione per l'esecuzione in contesti a risorse limitate. Vengono inoltre discussi i limiti dell'attuale implementazione e le possibili evoluzioni future, tra cui l'espansione del set di servizi emulati, l'integrazione di modelli di machine learning per il miglioramento della classificazione e la scalabilità multi-nodo.