Implantação de Honeytokens e Canarytokens

Uso Autorizado Apenas: Os ativos de engano descritos aqui são controles defensivos implantados em seu próprio ambiente. A implantação de tokens, credenciais de isca ou honeypots em infraestrutura que você não possui ou administra, ou o uso deles para prender terceiros, pode violar leis de uso indevido de computadores e privacidade. Implante apenas em ativos que você possui ou que tem autorização explícita para instrumentar, e direcione todos os dados de alerta através de canais de monitoramento aprovados.

Visão Geral

Honeytokens (também conhecidos como canarytokens) são artefatos de isca — credenciais, arquivos, URLs, chaves de API, nomes de DNS, strings de conexão de banco de dados, documentos — que não têm uso operacional legítimo. Como nenhum usuário ou processo autorizado deveria tocá-los, qualquer interação é um sinal de alta fidelidade de uma intrusão, uso indevido interno ou reconhecimento. Ao contrário da detecção baseada em assinatura ou anomalia, os honeytokens geram quase zero falsos positivos: o alerta é o comprometimento.

O projeto de código aberto Canarytokens da Thinkst (https://canarytokens.org e o auto-hospedável thinkst/canarytokens-docker) gera dezenas de tipos de tokens que "ligam para casa" quando acionados: um URL HTTP/web-bug que dispara em GET, uma chave de API AWS que dispara quando usada contra AWS, um documento MS Word/PDF que dispara ao abrir, um token DNS que dispara na resolução, um token de API Slack, um kubeconfig do Kubernetes, um certificado de login Azure, um payload log4shell, e mais. Cada token está vinculado a um memo exclusivo (para que você saiba onde ele foi plantado) mais um canal de alerta (e-mail e/ou webhook).

Esta habilidade se mapeia para as técnicas Arquivo de Isca (D3-DF), Credencial de Usuário de Isca (D3-DUC) e Honeytoken do MITRE D3FEND. De uma perspectiva ATT&CK, uma credencial de mel acionada evidencia mais comumente as tentativas do adversário de abusar ou modificar material de autenticação (T1556 – Modificar Processo de Autenticação e atividades relacionadas de acesso a credenciais), dando ao SOC um tripwire inicial e inequívoco no fundo da cadeia de ataque — tipicamente após o acesso inicial, mas antes que o movimento lateral seja concluído.

Quando Usar

• Quando você precisa de detecção de intrusão de alta fidelidade em segmentos onde a telemetria tradicional é escassa (compartilhamentos de arquivos, cofres de senhas, repositórios de código, contas na nuvem).
• Ao validar que um invasor que atinge um host ou armazenamento de documentos "joia da coroa" é detectado, não apenas bloqueado no perímetro.
• Ao semear credenciais de isca na memória acessível pelo LSASS, lojas de navegador, .aws/credentials ou gerenciadores de senhas para capturar despejo e reutilização de credenciais.
• Ao instrumentar documentos, repositórios ou wikis para capturar roubo de dados e staging de ransomware.
• Ao construir uma camada de engano alinhada ao MITRE D3FEND como parte de um programa de defesa em profundidade ou zero-trust.

Pré-requisitos

• Docker Engine e Docker Compose v2 para auto-hospedagem (docker compose version).
• Um domínio registrado que você controla mais delegação de DNS para tokens baseados em DNS (registros NS apontando para seu host de switchboard).
• Um endereço IPv4 público alcançável em 80/443 (tokens HTTP) e 53/udp (tokens DNS).
• Um relay SMTP ou conta Mailgun, e/ou um URL de webhook genérico/Slack/Teams para entrega de alertas.
• Python 3.8+ para o script auxiliar:

  python3 -m pip install requests
  

• Para uso rápido sem hospedagem, um token sem conta do serviço público em https://canarytokens.org.

Objetivos

• Configurar uma instância Canarytokens auto-hospedada (ou usar o serviço público) com alertas funcionando.
• Gerar os principais tipos de token (HTTP, DNS, chave AWS, MS Word/PDF, Slack, kubeconfig) com memos descritivos.
• Plantar credenciais de isca e arquivos de isca em locais realistas e monitorados.
• Validar que cada token dispara e que os alertas chegam ao canal do SOC.
• Catalogar os tokens implantados e mapeá-los para MITRE D3FEND/ATT&CK para rastreamento de cobertura.

Mapeamento MITRE ATT&CK

Técnicas defensivas relacionadas do MITRE D3FEND (o contra-mapeamento ofensivo para este controle):

…