Implementando Tokens Canário para Detecção de Intrusão em Rede

Quando Usar

• Ao implantar armadilhas baseadas em engano em infraestrutura de rede para detectar intrusões
• Ao construir sistemas de alerta antecipado que notificam sobre acesso não autorizado a recursos sensíveis
• Ao plantar credenciais falsas da AWS, beacons DNS ou tokens HTTP para capturar atacantes durante o movimento lateral
• Ao integrar alertas de tokens canário com fluxos de trabalho do SOC via Slack, Microsoft Teams ou webhooks de SIEM
• Ao complementar IDS/IPS tradicionais com tecnologia de engano de zero falsos positivos

Pré-requisitos

• Python 3.8+ com a biblioteca requests instalada
• Acesso à rede à API canarytokens.org (ou instância Canarytokens auto-hospedada)
• Ponto de extremidade de webhook para entrega de alertas (Slack, Teams, e-mail ou HTTP genérico)
• Para Thinkst Canary enterprise: domínio de console válido e token de autenticação de API
• Acesso administrativo aos sistemas de destino onde os tokens serão plantados
• Autorização apropriada para todas as atividades de implantação

Conceitos Principais

O Que São Tokens Canário?

Tokens canário são armadilhas digitais -- recursos que nunca devem ser acessados durante operações normais. Quando um atacante interage com um token canário, ele imediatamente dispara um alerta com falsos positivos próximos de zero. Diferente da detecção baseada em assinaturas, tokens canário detectam atacantes por seu comportamento (acessando recursos de isca) em vez de corresponder a padrões conhecidos.

Tipos de Token para Detecção de Intrusão em Rede

Arquitetura do Fluxo de Alerta

[Attacker Action] --> [Token Triggered] --> [Canarytokens Server]
                                                    |
                                            [Webhook POST]
                                                    |
                          +-------------------------+-------------------------+
                          |                         |                         |
                    [Slack Alert]           [Email Alert]             [SIEM Ingestion]
                          |                         |                         |
                    [SOC Analyst]           [On-Call Page]           [Correlation Rule]

Instruções

Etapa 1: Gerar Tokens Canário DNS

Tokens DNS são os mais versáteis -- eles disparam em qualquer resolução DNS, mesmo de redes isoladas (air-gapped) com apenas saída DNS. O token é um FQDN que, quando resolvido, alerta o proprietário do token.

import requests

# Create DNS canary token via Canarytokens.org
response = requests.post("https://canarytokens.org/generate", data={
    "type": "dns",
    "email": "soc@company.com",
    "memo": "Production database server - /etc/app/db.conf",
    "webhook_url": "https://hooks.slack.com/services/T.../B.../xxx"
}, timeout=15)

token_data = response.json()
dns_hostname = token_data["hostname"]
# Example: abc123def456.canarytokens.com

Plante tokens DNS em locais que os atacantes inspecionam comumente:

• Entradas /etc/hosts apontando para o FQDN canário
• Arquivos de configuração de aplicativos (database_host, backup_server)
• Arquivos de configuração SSH (~/.ssh/config) com nomes de host canário
• Arquivos de zona DNS internos como registros A de isca
• Variáveis de ambiente do pipeline CI/CD

Etapa 2: Implantar Tokens Canário HTTP

Tokens HTTP geram uma URL única que dispara em qualquer solicitação HTTP. Eles revelam o IP de origem, User-Agent e outros cabeçalhos HTTP do solicitante.

# Criar token HTTP
response = requests.post("https://canarytokens.org/generate", data={
    "type": "http",
    "email": "soc@company.com",
    "memo": "Wiki interno - página de senhas de administrador de TI",
    "webhook_url": "https://hooks.slack.com/services/T.../B.../xxx"
}, timeout=15)

http_url = response.json()["url"]

…