Honeypot
Sistema-isca desenhado pra ser atacado — da teoria de detecção à implantação prática, com o contexto brasileiro do Projeto Honeypots Distribuídos do CERT.br.
Nesta página
1. Conceito e fundamentação teórica
Honeypot é um sistema, serviço ou dado deliberadamente exposto e vulnerável, sem função de produção real, cujo único propósito é ser sondado, atacado ou comprometido. A base teórica está na teoria de detecção de intrusão: sistemas de detecção baseados em assinatura ou anomalia sofrem com o problema de falsos positivos — tráfego legítimo que parece malicioso. Um honeypot inverte essa lógica: como não há motivo legítimo para acessá-lo, qualquer interação é, por definição, suspeita ou maliciosa, eliminando virtualmente os falsos positivos.
Essa característica faz do honeypot uma ferramenta de detecção de alta precisão e de coleta de inteligência sobre ameaças. Ele não substitui IDS/IPS, firewall ou monitoramento de logs, mas complementa essas camadas com um sinal de altíssima confiança — quando um honeypot dispara, é quase certo que há atividade maliciosa real.
2. Taxonomia — tipos e propósitos
A taxonomia clássica divide os honeypots por nível de interatividade e por propósito.
| Tipo | Como funciona | Risco / Esforço |
|---|---|---|
| Baixa interatividade | Emula serviços — captura conexão inicial, sem shell real | Risco mínimo, fácil de manter |
| Média interatividade | Shell falso, aceita comandos, captura malware baixado | Risco médio, coleta mais rica |
| Alta interatividade | Sistema real isolado, comprometido de verdade | Risco alto, captura ataque completo |
Quanto ao propósito:
- Honeypot de produção — instalado dentro da rede real, como sensor de alerta precoce.
- Honeypot de pesquisa — estuda técnicas de ataque, coleta malware, mapeia tendências.
- Honeynet — rede interligada de honeypots, simulando infraestrutura completa.
3. Histórico internacional e nacional
O conceito de honeypot é atribuído a Cliff Stoll (1986), que usou um sistema-isca para rastrear um invasor na rede do Lawrence Berkeley Lab, documentado no livro The Cuckoo's Egg. O termo "honeypot" popularizou-se nos anos 1990. Em 1999, foi fundado o The Honeynet Project, organização internacional de pesquisa que formalizou metodologias e ferramentas. No Brasil, o CERT.br iniciou o Projeto Honeynet.BR em 2002, tornando-se uma das redes de honeypot mais antigas e contínuas do mundo.
4. Brasil — CERT.br e Honeypots Distribuídos
O Brasil opera uma das redes de honeypot mais antigas e ativas do mundo, coordenada pelo CERT.br. Marcos históricos:
- 2002 — primeira honeynet do Projeto Honeynet.BR, montada por Cristine Hoepers e Klaus Steding-Jessen.
- 2002 — captura do código-fonte do worm Slapper.
- 2003 — criação do Consórcio Brasileiro de Honeypots, com honeypots de baixa interatividade (Honeyd).
- Atual — mais de 20 instituições participantes, estatísticas públicas diárias em
stats.cert.br/honeypots.
Por que isso importa para seu ISP: os dados do Projeto Honeypots Distribuídos alimentam notificações automáticas a redes brasileiras identificadas como origem de atividade maliciosa. Se seu ISP receber um alerta do CERT.br, é provável que a detecção venha direta ou indiretamente desse projeto.
5. Honeytokens — iscas em dados reais
Honeytokens são dados falsos inseridos em sistemas reais para detectar uso não autorizado. Exemplos:
- Credenciais falsas em bancos de dados de produção.
- Registros DNS fictícios que apontam para um honeypot.
- Arquivos "confidenciais" com marcas d'água que disparam alerta ao serem abertos.
- Endereços de e‑mail falsos que recebem mensagens de phishing.
Quando um honeytoken é acessado, há uma forte indicação de que a segurança foi violada — e o rastreamento pode revelar o vetor do ataque.
6. Posicionamento na rede
- Fora do firewall (DMZ) — mede varredura e ataque automatizado da internet.
- Dentro da rede interna — detecta movimento lateral pós-comprometimento.
- Na mesma sub-rede de um sistema crítico — isca direcionada a quem já está de olho naquele ativo.
7. Integração com SIEM e resposta
Honeypots geram logs que podem ser integrados a um SIEM (Splunk, ELK, Graylog, QRadar). A integração permite correlação de eventos: um alerta do honeypot pode ser combinado com logs de firewall para identificar a origem e bloquear o atacante automaticamente. A resposta deve ser imediata — qualquer interação com honeypot é incidente, não "talvez".
8. Métricas de eficácia
- Tempo médio de engajamento — quanto tempo o atacante permanece interagindo.
- Número de interações únicas por dia — indica volume de ataques.
- Taxa de captura de malware — quantidade de binários coletados.
- Precisão dos alertas — quase sempre 100%, pois qualquer interação é maliciosa.
9. Implementações — Cowrie e Dionaea
Duas implementações reais, cobrindo vetores de ataque complementares:
10. Considerações legais e éticas
- Honeypot de alta interatividade comprometido não pode virar plataforma de ataque a terceiros — egress filtering obrigatório.
- Malware capturado deve ser tratado como hostil, armazenado isoladamente e analisado em sandbox.
- Dados pessoais capturados (IP de origem, credenciais) têm as mesmas implicações da LGPD que qualquer outro dado coletado.
11. Limitações reais
Honeypot só detecta quem interage com ele — não oferece visibilidade sobre a rede inteira. Atacantes experientes podem reconhecer emulações e abandonar o alvo. E honeypot não previne ataques por si só — é ferramenta de detecção e inteligência, exigindo resposta humana ou automação integrada.
12. Glossário
13. Referências
- CERT.br — Projeto Honeypots Distribuídos (honeytarg.cert.br).
- The Honeynet Project — organização internacional de pesquisa em honeypots.
- Spitzner, L. — Honeypots: Tracking Hackers (2002).
- Páginas relacionadas: Cowrie, Dionaea.
Conteúdo técnico independente. Nenhum trecho é cópia literal de fonte de terceiro.