Honeypots e deception: detectando intrusos com armadilhas

A maioria das defesas de segurança tenta responder a uma pergunta: como impedir o atacante de entrar? A deception (decepção, ou engano defensivo) parte de uma pergunta diferente e mais humilde: e quando ele já entrou, como eu descubro rápido? A resposta é elegante. Você espalha pelo ambiente armadilhas que nenhum usuário legítimo teria motivo para tocar, de modo que qualquer interação com elas é, por definição, suspeita. Em vez de procurar a agulha no palheiro, você coloca agulhas falsas que gritam quando alguém as pega.

Essa ideia resolve um dos problemas mais difíceis da defesa: o excesso de alarmes falsos. Ferramentas tradicionais geram milhares de alertas por dia, a maioria ruído, e a equipe se afoga. Um honeypot ou um canary token faz o oposto: ele quase nunca dispara, mas quando dispara, é quase certeza de que há um intruso. Este guia explica as formas de deception, por que o falso-positivo é tão baixo, onde posicionar cada armadilha e como transformar tudo isso em uma camada real de detecção.

O que é deception e por que ela funciona

Deception é uma estratégia defensiva baseada em plantar recursos falsos, atraentes e monitorados dentro do ambiente, para atrair, detectar e estudar atacantes. O princípio que a torna poderosa é simples: um recurso que não tem uso legítimo só é tocado por quem não deveria estar ali.

Pense em um servidor de banco de dados falso, sem nenhuma função real, que ninguém na empresa precisa acessar. Se uma conexão aparece nele, não há explicação inocente. Não é um colega que clicou no lugar errado nem um job automatizado, porque ninguém tem razão para chegar ali. É reconhecimento de um atacante mapeando a rede. Esse é o segredo do baixíssimo falso-positivo: a armadilha é invisível para a operação normal e visível apenas para quem está explorando o ambiente.

Deception também inverte a economia do ataque. Normalmente, o defensor precisa acertar sempre e o atacante precisa acertar uma vez. Com armadilhas espalhadas, o atacante passa a precisar acertar sempre também: um único passo em falso, uma credencial falsa usada, um arquivo isca aberto, e ele se revela.

Honeypots: os sistemas-isca

Um honeypot é um sistema inteiro projetado para parecer um alvo legítimo e atraente, mas que existe apenas para ser atacado e observado. Como nenhum tráfego legítimo deveria alcançá-lo, toda atividade nele é registrada e tratada como suspeita. Os honeypots variam em profundidade:

• Baixa interação: emulam apenas serviços superficiais (uma porta aberta, um banner de login). São simples, seguros e ótimos para detectar varreduras e tentativas automatizadas. Enganam o atacante por pouco tempo, mas já disparam o alerta.
• Alta interação: são sistemas reais ou quase reais, com os quais o atacante pode interagir a fundo. Revelam muito mais sobre táticas e ferramentas, ao custo de exigir isolamento rigoroso, porque um honeypot de alta interação comprometido não pode virar trampolim para o resto da rede.

Existe ainda o conceito de honeynet: uma rede inteira de honeypots que simula um ambiente corporativo plausível, aumentando o realismo e o tempo que o atacante gasta ali, tempo esse em que o defensor observa e reage.

Honeytokens e canary tokens: as iscas leves

Nem toda armadilha precisa ser um sistema. Os honeytokens são dados falsos plantados como isca: uma linha de credenciais fictícias em um banco, um registro de "cliente VIP" que não existe, uma chave de API que não dá acesso a nada real. Se esses dados aparecem sendo usados em algum lugar, você sabe duas coisas de imediato: houve acesso indevido à fonte onde eles estavam, e o atacante já está tentando usá-los.

Os canary tokens são a versão mais prática e acessível dessa ideia. São gatilhos embutidos em artefatos comuns que avisam quando são acessados:

• Um documento (uma planilha de "senhas" ou um PDF de "salários") que dispara um alerta silencioso quando aberto.
• Uma URL ou um endpoint que ninguém deveria visitar e que notifica no primeiro acesso.
• Uma credencial de nuvem falsa que alerta no exato momento em que alguém tenta usá-la.

A beleza dos canary tokens é o custo quase zero e o valor altíssimo. Um único documento isca em um compartilhamento de rede pode ser o primeiro e mais confiável sinal de que um atacante está vasculhando seus arquivos.

Comparando as formas de deception

Tipo	O que é	Esforço	Melhor para detectar
Honeypot de baixa interação	Serviço falso e simples	Baixo	Varreduras e ataques automatizados
Honeypot de alta interação	Sistema realista isolado	Alto	Táticas e ferramentas do atacante
Honeynet	Rede inteira de iscas	Alto	Movimentação lateral e reconhecimento
Honeytoken	Dado falso plantado	Baixo	Uso de dados roubados, acesso indevido
Canary token	Gatilho em arquivo ou credencial	Muito baixo	Acesso a arquivos e recursos sensíveis

Onde posicionar as armadilhas

A eficácia da deception depende de onde as iscas ficam. O objetivo é colocá-las nos caminhos que um atacante percorreria, mas fora do fluxo dos usuários legítimos. Alguns posicionamentos de alto valor:

• Próximo aos ativos críticos: um honeypot ou um token perto da "joia da coroa" detecta quem está chegando perto do que mais importa.
• Nos caminhos de movimentação lateral: credenciais falsas na memória de máquinas e compartilhamentos de rede pegam o atacante justamente na fase em que ele tenta se espalhar.
• Em serviços internos silenciosos: um serviço-isca em um segmento interno detecta reconhecimento que passaria despercebido.
• Em repositórios de dados: honeytokens misturados a dados reais avisam quando alguém exfiltra a base.
• Na nuvem: chaves de acesso falsas que disparam alerta no primeiro uso são um dos canaries mais eficazes contra vazamento de credenciais.

A regra é pensar como o atacante: por onde ele passaria depois de entrar? É ali que a armadilha rende mais.

Deception como camada de detecção, não de prevenção

É importante situar a deception no lugar certo da estratégia. Ela não previne a invasão; ela detecta o intruso com alta confiança, geralmente cedo. Por isso, deception é uma camada complementar, que brilha justamente onde outras falham: na descoberta de um atacante que já passou pelo perímetro e se move em silêncio. Ela reduz o tempo de permanência (dwell time), o período em que o invasor opera sem ser notado, que costuma ser medido em semanas.

Para render de verdade, a deception precisa estar conectada ao processo de resposta. Um alerta de canary token que ninguém vê é inútil. Ele deve alimentar a detecção central e acionar o fluxo de investigação e resposta a incidentes, para que o sinal de altíssima qualidade que a armadilha produz vire ação rápida. As trilhas de auditoria ajudam a reconstruir o que o atacante fez a partir do momento em que a isca o revelou.

Uma armadilha bem colocada vale mais que mil alertas

A deception muda a assimetria da defesa. Em vez de tentar analisar todo o tráfego em busca de sinais sutis de ataque, você cria pontos onde qualquer toque é, por si só, a prova de que algo está errado. É detecção de altíssima confiança e baixíssimo custo, que pega justamente o adversário mais perigoso: aquele que já está dentro e se move com cuidado para não ser visto. Um honeypot esquecido em um canto da rede ou um documento isca em um compartilhamento podem ser o alerta mais valioso que a sua defesa vai receber.

Na ConstructorTI, ajudamos organizações a montar uma camada de deception eficaz: desenho e posicionamento de honeypots e honeynets, distribuição de honeytokens e canary tokens nos pontos certos, e integração dos alertas com a detecção e o processo de resposta a incidentes. Se você quer descobrir um intruso em horas, e não em semanas, converse com o nosso time de CyberSecurity e transforme o seu ambiente em um campo minado para quem não deveria estar nele.