Implementando Honeytokens para Detecção de Violações

Quando Usar

• Ao implantar ou configurar a implementação de honeytokens para capacidades de detecção de violações em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou aprimorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Implante honeytokens em sistemas críticos para detectar acesso não autorizado. Cada tipo de token alerta via webhook quando acionado por um atacante.

import requests

# Create a DNS canary token via Canarytokens
resp = requests.post("https://canarytokens.org/generate", data={
    "type": "dns",
    "email": "soc@company.com",
    "memo": "Production DB server honeytoken",
})
token = resp.json()
print(f"DNS token: {token['hostname']}")

Tipos de tokens para implantar:

1. Arquivos de credenciais da AWS (~/.aws/credentials) com chaves canário
2. Tokens DNS incorporados em arquivos de configuração
3. Beacons de documentos (Word/PDF) em compartilhamentos de arquivos sensíveis
4. Registros de honeytoken de banco de dados em tabelas de usuários
5. Web bugs em páginas internas de wiki/documentação

Exemplos

# Generate a fake AWS credentials file with canary token
aws_creds = f"[default]\naws_access_key_id = {canary_key_id}\naws_secret_access_key = {canary_secret}\n"
with open("/opt/backup/.aws/credentials", "w") as f:
    f.write(aws_creds)