Cowrie

This page preserves the same technical scope as the Portuguese edition and follows a validate-before-change workflow. Test sensitive procedures in a lab and keep rollback evidence.

Cowrie nasceu da evolução/fork do ecossistema Kippo e hoje é a referência ativa para honeypot SSH/Telnet de média interação. Em 2026 a documentação estável é da linha 3.0.x; o fluxo recomendado para operadores é instalação via pip ou Docker.

Crie usuário dedicado sem privilégios, virtualenv próprio, instale o pacote, execute cowrie init, ajuste etc/cowrie.cfg e inicie com cowrie start. Cowrie recusa execução como root; isso é uma proteção importante.

Prefira redirecionamento controlado da porta 22 externa para a porta não privilegiada do Cowrie, mantendo SSH administrativo real em rede/porta separada. Teste o redirecionamento de fora e garanta que a administração não foi exposta.

Preserve cowrie.json, logs textuais, tty/session logs e downloads. Gere SHA-256 de binários, armazene amostras em área segregada e aplique retenção. Não abra nem execute conteúdo capturado no servidor do portal/NOC.

Teste conexão SSH de uma origem autorizada de laboratório, confirme criação de session id, eventos de login, comandos e encerramento. Valide também que o sensor não consegue iniciar conexões arbitrárias para a Internet.

JSON estruturado facilita ingestão em Elastic, Graylog, Splunk ou pipelines próprios. Use dashboards para tendência e investigação, não como única cópia da evidência.

• https://docs.cowrie.org/en/stable/
• https://docs.cowrie.org/en/latest/INSTALL.html