Een organisatie plaatst op een interne bestandsserver „lok”-bestanden die niemand voor zijn werk gebruikt, en een lokaccount van een beheerder dat door geen enkel systeem wordt gebruikt, en bewaakt de toegang ertoe. Wat is het belangrijkste voordeel van deze maatregel?

Antwoord: C. Legitieme gebruikers hebben geen reden om ze aan te raken, dus elke toegang is een sterke aanwijzing voor een inbraak met weinig vals-positieven

Lokaas dat niet voor het werk wordt gebruikt (honeypots, honeytokens, decoys enzovoort genoemd), geeft legitieme gebruikers geen reden om het aan te raken, dus alleen al het feit dat het is benaderd, is een sterke aanwijzing voor iets abnormaals. Anders dan bij anomaliegebaseerde detectie hoeft niet te worden geoordeeld op basis van verschillen met de normale toestand, en het voordeel is dat er weinig vals-positieven zijn. Indringers verkennen de binnenkant op zoek naar beheerdersaccounts en belangrijk ogende bestanden, dus door daar lokaas tussen te mengen, kan laterale beweging in een vroeg stadium aan het licht komen. Lokaas voorkomt echter niet dat de echte middelen worden aangevallen, dus het is een aanvullende maatregel die met andere maatregelen wordt gecombineerd.