Hay IPs escaneando tu infraestructura ahora mismo. La pregunta es si lo sabés.
Un atacante no entra por donde el firewall bloquea. Entra por lo que el firewall no sabe que existe, puertos olvidados, servicios expuestos, credenciales que prueba en silencio.
Heimdall despliega señuelos que parecen sistemas reales. Cualquier IP que los toque queda registrada, clasificada y analizada en tiempo real. No es detección reactiva, es inteligencia activa sobre quién te está mirando antes de que encuentre algo real.
falsos positivos, si toca el señuelo, es un atacante. Sin excepciones.
tipos de ataque clasificados: EXPLOIT · BRUTE · PORTSCAN · SCAN · BOT · RECON · HUMAN
monitoreo autónomo, los ataques no esperan al horario laboral
Engañar para detectar. Detectar para proteger.
Heimdall opera sobre un principio que los sistemas de detección tradicionales no pueden replicar: cualquier interacción con los señuelos es evidencia de actividad maliciosa. No hay que ajustar umbrales ni revisar falsos positivos.
Señuelos desplegados
Páginas de login HTTP/HTTPS con apariencia de sistemas reales, puertos TCP trampa y servicios que simulan infraestructura productiva. Nadie legítimo los toca porque no forman parte del flujo normal de operaciones.
Contacto = alerta inmediata
Cualquier IP que interactúe con un señuelo queda registrada en el acto, con timestamp, tipo de ataque, payload capturado y geolocalización. El evento aparece en el dashboard en menos de un segundo.
Clasificación automática
El motor de Heimdall determina el tipo de amenaza y la ubica en una de siete categorías: intento de explotación, fuerza bruta, escaneo de puertos, escaneo web, bot, reconocimiento y actividad humana. Cada evento queda etiquetado sin intervención humana, y a la IP se le calcula además un score por cómo se comporta a lo largo del tiempo.
Inteligencia accionable
Score de amenaza por IP, historial completo de actividad, datos geográficos y perfil de comportamiento. Sabés exactamente quién te está mirando, desde dónde y qué buscó en tu infraestructura.
Visibilidad que no tenías. Inteligencia que no esperabas.
Cada componente de Heimdall existe para que ninguna IP que te pruebe pase desapercibida, desde el primer paquete TCP hasta el intento de credenciales.
Señuelos HTTP/HTTPS
Portales de login con apariencia de sistemas reales, paneles de control, accesos VPN, intranets corporativas. Cualquier IP que intente autenticarse queda registrada con las credenciales que probó, el timestamp y el user-agent. El atacante cree que falló. Vos sabés exactamente qué intentó.
Puertos TCP trampa
Puertos que escuchan sin ejecutar servicios reales. Cualquier conexión TCP en esos puertos genera una alerta de PORTSCAN o RECON inmediata, señal de que alguien está mapeando activamente tu superficie de ataque. Configurable en cualquier rango de puertos sin riesgo de afectar servicios productivos.
Dashboard en tiempo real
Tabla de eventos actualizada en tiempo real con geolocalización por IP, mapa de calor de actividad y contador de IPs únicas en las últimas 24 horas. Los eventos llegan en menos de un segundo vía WebSocket, sin recargar, sin polling. Diseñado para monitoreo continuo en un centro de operaciones.
Perfil de IP y score de amenaza
Cada IP atacante tiene su propio expediente: score de amenaza calculado por tipo e intensidad de eventos, todos los eventos históricos ordenados cronológicamente, país y ciudad de origen. Un clic sobre cualquier IP en la tabla abre el panel completo. Nada se pierde, el historial es permanente.
Plantillas de señuelo configurables
El portal falso que ve el atacante es completamente personalizable desde el dashboard, logo, textos, apariencia del login, mensaje de error. Sin tocar código. Podés crear un señuelo que simule exactamente el sistema que querés proteger, o diseñar uno genérico que atraiga cualquier tipo de reconocimiento.
Dashboard protegido con 2FA
El propio dashboard de Heimdall usa autenticación JWT + TOTP de dos factores, control de acceso por roles, rate limiting por IP y bloqueo automático tras 5 intentos fallidos. Un sistema de seguridad que no es seguro en sí mismo no es un sistema de seguridad.
Trampas de protocolo interactivas
Más allá del puerto que solo escucha, Heimdall responde como un servicio real de FTP, SMTP o SSH y deja que el atacante intente. Registra los usuarios y contraseñas que prueba, los comandos que escribe y qué buscaba hacer, en un entorno totalmente aislado: el correo nunca se reenvía, el FTP nunca toca el disco y el intérprete de SSH no ejecuta nada. Se aprende el método del atacante sin darle nada.
Mapa mundial de ataques
Los eventos se ven cayendo sobre un mapa del mundo, en vivo y sin depender de un servicio externo. Es la pantalla que se deja proyectada y la que hace entender en diez segundos, a cualquiera que la mire, el volumen de lo que golpea la infraestructura todos los días.
Alertas por correo y feed de bloqueo
Cuando una IP cruza el umbral que se le configure, Heimdall avisa por correo con el detalle de lo que hizo. Y publica un feed con las direcciones a bloquear, en el formato que el firewall consume solo, así que la detección se convierte en bloqueo sin que nadie copie una lista a mano. Una lista de excepciones deja fuera el tráfico propio para que el registro no se ensucie.
Enriquecimiento de cada IP
De cada dirección que toca un señuelo se averigua a qué proveedor pertenece, si ya está reportada por abuso, si es un nodo de salida de Tor y si figura en listas de infraestructura maliciosa conocida. Al score del comportamiento observado se le suma lo que el mundo ya sabe de esa IP.
Esto es lo que ve tu equipo mientras los atacantes no saben que los estás mirando.
Veintiséis segundos de recorrido real, sobre nuestro propio honeypot expuesto a internet: el feed en vivo, el historial de eventos, el mapa mundial de origen de los ataques, el informe con verdicto automático, y el perfil de una IP con su score de conducta y su inteligencia de amenazas.
Hacé clic acá y solicitá una demostración en vivo con nuestro equipo de trabajo. Te recorremos el sistema completo, módulo por módulo, con tu escenario sobre la mesa y respondiendo todo lo que quieras preguntar.
Un señuelo no tiene usuarios legítimos. Nadie tiene motivo para entrar, así que cada evento registrado es, por definición, alguien que no debería estar ahí. Esa es la diferencia con un SIEM, donde el trabajo es separar el ruido de lo que importa.
Reconocimiento, escaneo, fuerza bruta, explotación, rastreador, investigación académica o persona real detrás del teclado. La distinción importa: un escáner de investigación y un intento de explotación no merecen la misma reacción, y confundirlos es lo que hace que se apaguen las alertas.
Reputación, ASN, si es un nodo de salida de Tor, si figura en listas de comando y control, y el historial de lo que intentó. El score de conducta sale de cómo se comportó contra el señuelo, no solo de lo que dicen las listas públicas.
El origen geográfico de cada intento, en vivo. Sirve para lo que un tablero de números no alcanza a explicar en una reunión de dirección, que es la dimensión y la persistencia de lo que golpea la puerta todos los días.
Eventos del período, IPs únicas, proporción de tráfico automático, intentos de explotación y las direcciones que requieren atención, con su verdicto. Es el material que sostiene una conversación con la dirección sin tener que traducir logs.
Las direcciones más agresivas se publican en un feed que un firewall, nginx o fail2ban consume directamente. El señuelo deja de ser una curiosidad y pasa a ser una fuente de bloqueo con datos propios, no de terceros.
Lo que no puede replicar un SIEM. Lo que no puede hacer un firewall.
Los sistemas de detección tradicionales buscan anomalías en tráfico legítimo, y por eso generan ruido.
Heimdall no tiene tráfico legítimo que analizar. Cualquier interacción con los señuelos es un atacante. No hay umbrales que calibrar, no hay reglas que actualizar, no hay falsos positivos que descartar.
Cada alerta es inteligencia real, específica de tu infraestructura.
ruido, solo eventos de actores maliciosos reales
propios de tu red, no feeds genéricos de terceros
reconocimiento, detectás al atacante antes de que encuentre algo real
El primer paso de cualquier ataque dirigido es el reconocimiento. Heimdall lo detecta ahí.
Los IDS y los SIEM detectan ataques que ya pasaron tus defensas. Heimdall detecta actores maliciosos cuando todavía están explorando, cuando todavía podés actuar.
Detección en fase de reconocimiento
Un atacante escanea antes de explotar. Heimdall lo captura en ese momento, antes de que encuentre una vulnerabilidad real en tu stack productivo.
Sin reglas que mantener
Los IDS requieren actualizaciones constantes de firmas. Heimdall trabaja con un axioma simple: cualquier contacto con el señuelo es actividad maliciosa. No hay excepciones.
Inteligencia de tu propio entorno
Los feeds de threat intel son genéricos. Las IPs capturadas por Heimdall probaron específicamente tu infraestructura, eso es información que ningún proveedor externo puede darte.
Ecosistema AllSafe integrado
Las IPs capturadas por Heimdall pueden investigarse directamente en Gjallarhorn con 20+ fuentes de threat intelligence. De señuelo a investigación completa en segundos, sin cambiar de herramienta.
Quiero que Heimdall monitoree mi red
Completá el formulario. Un especialista de AllSafe te contactará para evaluar tu arquitectura, diseñar el esquema de señuelos más efectivo para tu entorno y dejar el sistema operativo.
Sabías que existe Heimdall Community?
Versión gratuita y open source (AGPL-3.0) con el honeypot completo: cinco señuelos intercambiables, dashboard en tiempo real, clasificación automática de ataques y trampas TCP. Todo lo que necesitás para empezar a capturar inteligencia de amenazas reales.