How to use this guide
This page preserves the same technical scope as the Portuguese edition and follows a validate-before-change workflow. Test sensitive procedures in a lab and keep rollback evidence.
Fundamentos e finalidade
Um honeypot é um ativo deliberadamente instrumentado para receber interação não esperada e transformar essa interação em evidência. Ele complementa controles preventivos; não substitui firewall, IDS/IPS, EDR, autenticação forte ou gestão de vulnerabilidades.
Baixa, média e alta interação
Baixa interação emula serviços e reduz risco; média interação oferece comportamento mais rico sem entregar um sistema operacional real; alta interação expõe sistemas reais e exige contenção rigorosa. O nível deve ser escolhido pela pergunta de pesquisa e pelo risco aceitável.
Posicionamento e contenção
Use segmento dedicado, regras de egress deny-by-default, administração fora da Internet, sincronização NTP, coleta remota de logs e snapshots. Nunca permita que o sensor se torne pivô para atacar terceiros.
Brasil e CERT.br
O Projeto Honeypots Distribuídos do CERT.br usa sensores de baixa interação para aumentar detecção, correlação e análise de tendências no espaço Internet brasileiro. Esse contexto é especialmente relevante para ISPs e NOCs nacionais.
Métricas úteis
Sessões por origem/ASN, usuários e senhas tentados, comandos, URLs, hashes de arquivos, tempo de permanência, distribuição temporal e mudanças de TTP são métricas úteis. Geolocalização é contexto, não prova de autoria.
Integração SOC/SIEM
Normalize eventos, preserve timestamps e identificadores de sessão, enriqueça com ASN/reputação e correlacione com firewall/IDS. Arquivos capturados devem ser tratados como potencialmente maliciosos e nunca executados no host de análise comum.
Primary technical sources
Final deep PT/EN equivalence review remains scheduled for the Systems close-out audit.