Implantação de Arquivos Canário de Ransomware

Quando Usar

• Implantação de detecção proativa de ransomware em servidores de arquivos, dispositivos NAS ou sistemas de endpoint
• Construção de um sistema de alerta precoce que detecta ransomware antes que ele criptografe dados críticos para os negócios
• Complemento de soluções EDR com monitoramento leve de arquivos canário em sistemas onde agentes não podem ser implantados
• Teste de procedimentos de resposta a incidentes de ransomware simulando gatilhos de arquivos canário
• Monitoramento de unidades compartilhadas, diretórios de usuário e volumes de backup para operações de arquivo não autorizadas

Não use como substituto para proteção de endpoint, estratégia de backup ou segmentação de rede. Arquivos canário são uma camada de detecção, não um mecanismo de prevenção.

Pré-requisitos

• Python 3.8+ com pip
• Biblioteca watchdog (pip install watchdog)
• Acesso de escrita aos diretórios onde os arquivos canário serão colocados
• Credenciais do servidor SMTP ou URL do webhook do Slack para alertas
• Acesso administrativo para colocar canários em diretórios do sistema

Fluxo de Trabalho

Etapa 1: Gerar Arquivos Canário

Crie arquivos de isca com nomes e conteúdo realistas que atraiam scanners de ransomware. Os arquivos devem ter nomes como Passwords.xlsx, Financial_Report_2026.docx, backup_credentials.csv e conter dados falsos, mas com aparência plausível. Coloque-os em diretórios que o ransomware normalmente visa primeiro: desktops de usuários, pastas Documentos, raízes de compartilhamento de rede e caminhos de backup.

Etapa 2: Implantar Monitor de Sistema de Arquivos

Use a biblioteca watchdog do Python com um FileSystemEventHandler personalizado que monitora os caminhos dos arquivos canário. O manipulador é acionado em eventos on_modified, on_deleted, on_moved e on_created para arquivos canário. Qualquer usuário ou processo legítimo nunca deve tocar nesses arquivos, portanto, qualquer interação é um indicador de alta confiança de ransomware ou acesso não autorizado.

Etapa 3: Configurar Pipeline de Alerta

Conecte o monitor do sistema de arquivos a vários canais de alerta: e-mail via SMTP, POST de webhook do Slack, encaminhamento de syslog para SIEM e arquivo de log local. Inclua o tipo de evento de gatilho, caminho do arquivo, carimbo de data/hora e informações do processo (quando disponíveis) nas cargas úteis de alerta.

Etapa 4: Validar e Testar

Simule o comportamento do ransomware modificando, renomeando e excluindo programaticamente arquivos canário para verificar se o pipeline de detecção é acionado corretamente. Meça o tempo até o alerta e valide a entrega do alerta em todos os canais configurados.

Conceitos-Chave

Ferramentas e Sistemas

• watchdog: Biblioteca Python de monitoramento de sistema de arquivos usando APIs de eventos nativas do sistema operacional
• smtplib: Biblioteca padrão Python para alertas por e-mail SMTP
• requests: Biblioteca HTTP para integração de webhook do Slack
• hashlib: Hashing SHA-256 para verificação de integridade de arquivos canário
• psutil: Coleta de informações de processo quando o acesso ao arquivo canário é detectado

Formato de Saída

RANSOMWARE CANARY ALERT
========================
Timestamp: 2026-03-11T14:23:07Z
Event: FILE_MODIFIED
Canary File: /srv/shares/finance/Passwords.xlsx
Directory: /srv/shares/finance
SHA-256 Before: a3f2...8b4c
SHA-256 After: 7e91...2d3f
Alert Channels: [email, slack, syslog]
Action: Investigate immediately - potential ransomware activity