Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Kippo → Cowrie
Cowrie nasceu da evolução/fork do ecossistema Kippo e hoje é a referência ativa para honeypot SSH/Telnet de média interação. Em 2026 a documentação estável é da linha 3.0.x; o fluxo recomendado para operadores é instalação via pip ou Docker.
Instalação recomendada
Crie usuário dedicado sem privilégios, virtualenv próprio, instale o pacote, execute cowrie init, ajuste etc/cowrie.cfg e inicie com cowrie start. Cowrie recusa execução como root; isso é uma proteção importante.
Porta 22
Prefira redirecionamento controlado da porta 22 externa para a porta não privilegiada do Cowrie, mantendo SSH administrativo real em rede/porta separada. Teste o redirecionamento de fora e garanta que a administração não foi exposta.
Evidências
Preserve cowrie.json, logs textuais, tty/session logs e downloads. Gere SHA-256 de binários, armazene amostras em área segregada e aplique retenção. Não abra nem execute conteúdo capturado no servidor do portal/NOC.
Validação
Teste conexão SSH de uma origem autorizada de laboratório, confirme criação de session id, eventos de login, comandos e encerramento. Valide também que o sensor não consegue iniciar conexões arbitrárias para a Internet.
Integração
JSON estruturado facilita ingestão em Elastic, Graylog, Splunk ou pipelines próprios. Use dashboards para tendência e investigação, não como única cópia da evidência.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.