Un honeypot è un bersaglio finto messo lì apposta: un servizio SSH fasullo, un database civetta, un file "password.xlsx" che nessuno dovrebbe aprire. Non ha traffico legittimo, quindi qualsiasi interazione è un segnale d'allarme quasi privo di falsi positivi – il contrario dei log normali, dove il segnale annega nel rumore.
Varianti utili anche in piccolo: gli honeytoken (credenziali finte sparse nei posti giusti: se qualcuno le usa, sai che è entrato e da dove), porte civetta che alimentano i ban automatici, e honeypot di ricerca per studiare gli attaccanti. Due cautele: l'honeypot va isolato (non deve diventare un trampolino verso i sistemi veri) e monitorato – un allarme che nessuno ascolta è arredamento.