Implementando Tecnologia de Engano

Quando Usar

Use esta habilidade quando:

• Equipes de SOC precisam de detecção de alta fidelidade de movimento lateral pós-comprometimento com quase zero falsos positivos.
• Ferramentas de detecção existentes não detectam atacantes avançados que evitam disparar alertas baseados em limiares.
• A organização deseja detectar o abuso de credenciais, plantando credenciais falsas como "honeytokens".
• Lacunas de segmentação de rede precisam de controles de detecção compensatórios.

Não use como substituto para controles de segurança fundamentais (aplicação de patches, EDR, segmentação de rede) — o engano é uma camada de detecção, não um mecanismo de prevenção.

Pré-requisitos

• Segmentos de rede identificados para implantação de honeypots/decoy (VLANs de servidores, DMZ, redes OT).
• Plataforma de engano (Thinkst Canary, Attivo/SentinelOne Hologram ou alternativas de código aberto).
• Integração SIEM para alertas de engano (qualquer interação com ativos de engano é suspeita).
• Acesso ao Active Directory para criação de contas e credenciais de "honeytoken".
• Coordenação da equipe de rede para alocação de IP e roteamento de tráfego.

Fluxo de Trabalho

Passo 1: Mapear a Superfície de Ataque para Posicionamento do Engano

Identifique segmentos de rede de alto valor onde os atacantes transitariam:

DECEPTION DEPLOYMENT MAP
━━━━━━━━━━━━━━━━━━━━━━━━
Segment              Decoy Type          Rationale
Server VLAN          Fake file server    Attackers enumerate SMB shares during recon
Database VLAN        Fake DB server      SQL scanning detected in past incidents
AD/DC Segment        Honeytoken account  Credential theft detection
Executive Subnet     Fake workstation    Targeted attacks pivot through exec systems
DMZ                  Honeypot web app    External attacker detection
OT Network           Fake PLC/HMI        Industrial threat detection
Cloud (AWS VPC)      Canary EC2 + S3     Cloud lateral movement detection

Passo 2: Implantar Dispositivos Thinkst Canary

Configure dispositivos Canary imitando a infraestrutura real:

Canary de Servidor de Arquivos Windows:

{
  "device_name": "FILESERVER-BK04",
  "personality": "windows-server-2019",
  "services": {
    "smb": {
      "enabled": true,
      "shares": ["Finance_Backup", "HR_Archive", "IT_Docs"],
      "files": [
        {"name": "Q4_Revenue_2024.xlsx", "alert_on": "read"},
        {"name": "employee_ssn_export.csv", "alert_on": "read"},
        {"name": "admin_passwords.kdbx", "alert_on": "read"}
      ]
    },
    "rdp": {"enabled": true},
    "http": {"enabled": false}
  },
  "network": {
    "ip": "10.0.5.200",
    "hostname": "FILESERVER-BK04",
    "domain": "company.local"
  },
  "alert_webhook": "https://soar.company.com/api/webhook/canary"
}

Canary de Servidor de Banco de Dados:

{
  "device_name": "DB-ARCHIVE-02",
  "personality": "linux-mysql",
  "services": {
    "mysql": {
      "enabled": true,
      "port": 3306,
      "databases": ["customer_pii", "payment_archive"],
      "alert_on_login_attempt": true
    },
    "ssh": {
      "enabled": true,
      "port": 22,
      "alert_on_login_attempt": true
    }
  },
  "network": {
    "ip": "10.0.10.50",
    "hostname": "db-archive-02"
  }
}

Passo 3: Implantar Honeytokens no Active Directory

Crie contas privilegiadas falsas que nunca devem ser usadas:

# Create honeytoken service account
New-ADUser -Name "svc_sql_backup" `
    -SamAccountName "svc_sql_backup" `
    -UserPrincipalName "svc_sql_backup@company.local" `
    -Description "SQL Backup Service Account - DO NOT DELETE" `
    -AccountPassword (ConvertTo-SecureString "FakeP@ssw0rd2024!" -AsPlainText -Force) `
    -Enabled $true `
    -PasswordNeverExpires $true `
    -CannotChangePassword $true

# Add to a group that looks attractive (but monitor for any use)
Add-ADGroupMember -Identity "Domain Admins" -Members "svc_sql_backup"

# Place cached credentials on decoy workstation
# (Mimikatz/credential dumping will find these)
cmdkey /add:fileserver-bk04.company.local /user:company\svc_sql_backup /pass:FakeP@ssw0rd2024!

Monitore o uso de honeytokens no Splunk:

index=wineventlog sourcetype="WinEventLog:Security"
(EventCode=4624 OR EventCode=4625 OR EventCode=4648 OR EventCode=4768 OR EventCode=4769)
TargetUserName="svc_sql_backup"
| eval alert_severity = "CRITICAL"
| eval alert_message = "HONEYTOKEN ACCOUNT USED — Likely credential theft detected"
| table _time, EventCode, src_ip, ComputerName, TargetUserName, Logon_Type, alert_message

Passo 4: Implantar Arquivos e Documentos Canary

Plante documentos rastreados que enviam um sinal quando abertos:

…