Kippo → Cowrie

O trabalho “Estudo e implementação de um Honeypot Freeware em um ambiente de produção” implantou Kippo em CentOS 6.5 dentro de uma VM XenServer com IP público. O ambiente real possuía dois links dedicados (120 e 100 Mbit/s), servidores e equipamentos com endereços públicos. A metodologia foi: pesquisa, escolha do honeypot, preparação da VM, instalação, observação, geração de estatísticas e análise.

As imagens abaixo foram extraídas do próprio trabalho de 2016 e são mantidas como material histórico.

MetodologiaPesquisa → implantação → observação → gráficos → análise.

CenárioTopologia original do ambiente onde o sensor foi implantado.

KippoConfiguração histórica do honeypot SSH.

O Kippo-Graph mostrou predominância do usuário root, senhas triviais e combinações previsíveis. O estudo também registrou comandos executados, transferências/downloads, reprodução de sessões e geolocalização aproximada das origens. Esses dados demonstram por que serviços SSH públicos recebem varredura e brute force automatizados rapidamente.

Usuáriosroot foi o principal nome tentado.

SenhasCredenciais simples aparecem entre as primeiras tentativas.

Sucesso controlado229 autenticações foram aceitas pelo honeypot para permitir observação.

• CentOS 6.5, Python 2.5+, PyCrypto e o endereço code.google.com do Kippo são legado.
• Kippo não deve ser apresentado como implementação atual; use Cowrie.
• Kippo-Graph/LAMP/phpMyAdmin não devem ser expostos publicamente como no desenho histórico.
• Credencial fraca é deliberada apenas dentro do sensor isolado; nunca é recomendação para um servidor real.
• Geolocalização de IP não identifica o atacante e pode refletir VPN, proxy, botnet ou infraestrutura comprometida.

Internet
   │
[Firewall/NAT]
   │  TCP/22 externo → TCP/2222 sensor
   ▼
[VM/Container dedicado: Cowrie]
   │  egress deny-by-default
   ├── cowrie.json / tty / downloads
   │
   └──► [coletor de logs/SIEM em rede de gerência]

Administração real SSH ──► rede/porta separada ──► host

1. Crie VM/host dedicado e segmento próprio.
2. Bloqueie egress por padrão; libere somente destinos estritamente necessários para operação.
3. Instale Cowrie com usuário não-root e virtualenv/pip ou container oficial.
4. Mantenha SSH administrativo real fora da porta pública do honeypot.
5. Redirecione TCP/22 externo para a porta do Cowrie somente após validar acesso administrativo alternativo.
6. Envie logs para coletor remoto e configure retenção.
7. Trate downloads como malware potencial; gere hash e armazene em quarentena.
8. Teste uma sessão controlada e confirme eventos de conexão, autenticação, comandos e encerramento.

sudo adduser --disabled-password cowrie
sudo su - cowrie
mkdir ~/my-honeypot && cd ~/my-honeypot
python3 -m venv cowrie-env
source cowrie-env/bin/activate
pip install cowrie
cowrie init
$EDITOR etc/cowrie.cfg
cowrie start

O fluxo pip é recomendado para operadores na documentação atual do Cowrie 3.x. Antes de expor a porta 22, valide localmente na porta do sensor e configure coleta de logs.

1. Conectar de IP de laboratório e confirmar banner/serviço do honeypot.
2. Executar autenticação de teste e verificar evento correspondente no JSON.
3. Executar comandos inofensivos e verificar reprodução/session log.
4. Tentar download de arquivo controlado e confirmar quarentena/hash.
5. Confirmar que o sensor não alcança destinos externos arbitrários.
6. Confirmar que administração real não está acessível pela mesma exposição.
7. Reiniciar/restaurar o sensor e verificar persistência dos dados que devem sobreviver.

O CERT.br mantém em 2026 o Projeto Honeypots Distribuídos para detecção de incidentes, correlação e tendências de ataques no espaço Internet brasileiro. O projeto utiliza sensores de baixa interação distribuídos e publica estatísticas de tráfego malicioso. Isso valida o uso de honeypots como fonte de consciência situacional, desde que implantados com contenção e finalidade definida.

• Trabalho original de 2016 fornecido para o portal: “Estudo e implementação de um Honeypot Freeware em um ambiente de produção”.
• Cowrie 3.x — documentação estável
• Cowrie — instalação atual
• CERT.br — Projeto Honeypots Distribuídos
• CERT.br — estatísticas e metodologia