Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Fundamentos e finalidade
Um honeypot é um ativo deliberadamente instrumentado para receber interação não esperada e transformar essa interação em evidência. Ele complementa controles preventivos; não substitui firewall, IDS/IPS, EDR, autenticação forte ou gestão de vulnerabilidades.
Baixa, média e alta interação
Baixa interação emula serviços e reduz risco; média interação oferece comportamento mais rico sem entregar um sistema operacional real; alta interação expõe sistemas reais e exige contenção rigorosa. O nível deve ser escolhido pela pergunta de pesquisa e pelo risco aceitável.
Posicionamento e contenção
Use segmento dedicado, regras de egress deny-by-default, administração fora da Internet, sincronização NTP, coleta remota de logs e snapshots. Nunca permita que o sensor se torne pivô para atacar terceiros.
Brasil e CERT.br
O Projeto Honeypots Distribuídos do CERT.br usa sensores de baixa interação para aumentar detecção, correlação e análise de tendências no espaço Internet brasileiro. Esse contexto é especialmente relevante para ISPs e NOCs nacionais.
Métricas úteis
Sessões por origem/ASN, usuários e senhas tentados, comandos, URLs, hashes de arquivos, tempo de permanência, distribuição temporal e mudanças de TTP são métricas úteis. Geolocalização é contexto, não prova de autoria.
Integração SOC/SIEM
Normalize eventos, preserve timestamps e identificadores de sessão, enriqueça com ASN/reputação e correlacione com firewall/IDS. Arquivos capturados devem ser tratados como potencialmente maliciosos e nunca executados no host de análise comum.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.