O que é um honeypot? Como reforçar sua segurança de TI

Na área de cibersegurança, o termo honeypot vem da contraespionagem e descreve um espião atraído para uma armadilha por um parceiro sedutor. Em segurança de TI, um honeypot é um sistema isca que as equipes podem usar para atrair invasores e coletar inteligência sobre ameaças.

Os honeypots já conquistaram seu lugar na caixa de ferramentas do analista de cibersegurança, mas raramente aparecem no noticiário. Isso mudou em 2021, quando milhões de endereços IP inativos do Pentágono voltaram a ser usados de uma hora para outra. As políticas do Border Gateway Protocol (BGP) revelaram que esses endereços agora eram gerenciados por uma organização completamente desconhecida, a Global Resource Systems. Fundada em setembro daquele ano, ela não tinha histórico de contratos federais nem site público. Hoje, a enigmática Global Resource Systems detém quase 6% de todos os endereços IPv4 e mantém o controle sobre a maior parte dos antigos endereços militares.
O temor de falhas de segurança e de agentes mal-intencionados internos só diminuiu quando o Defense Digital Service (DDS) se apresentou e assumiu a responsabilidade. O DDS trabalha para garantir a segurança do Departamento de Defesa (DoD) enquanto conduz projetos experimentais. Os líderes de segurança de redes logo leram nas entrelinhas: o DoD tinha acabado de criar o maior honeypot do mundo.

Como funciona um honeypot

Os ciberataques automatizados movimentam um mercado clandestino de milhões de dólares. Bots maliciosos varrem a internet pública sem parar, e redes vulneráveis podem ser descobertas e sondadas com ferramentas gratuitas como o Wireshark. No caso das aplicações, um relatório recente apontou que um em cada cinco ataques é do tipo fuzzing, que depende de automação para detectar e explorar vulnerabilidades conhecidas. Parte desse sucesso vem do fato de que muitas redes corporativas são, na prática, abertas. Depois que um usuário não autorizado entra, ele consegue se mover para qualquer parte da rede.
O honeypot segmenta a rede e deixa um dispositivo ou trecho dela exposto de propósito, criando uma placa de Petri de ataques reais. Para tornar o honeypot atraente, as fragilidades de segurança são incluídas de forma intencional. Um honeypot pode, por exemplo, ter portas feitas para chamar atenção durante a varredura de portas do invasor — ou exibir telas de login aparentemente indefesas. As informações do mundo real que os honeypots ajudam a reunir fazem deles ótimas ferramentas de treinamento para a equipe de segurança. Como o honeypot fica isolado dos dados organizacionais de alto risco, os analistas têm liberdade para se concentrar 100% na ameaça em questão.

Tipos de honeypot e suas aplicações

O potencial de inteligência dos honeypots é quase ilimitado. Graças a essa flexibilidade, existem muitos tipos diferentes. A inteligência de ataques de uma organização pode ser construída com um dos formatos a seguir ou com uma combinação deles:

Armadilhas de e-mail

A empresa insere um endereço de e-mail sem uso em um ativo público, oculto para visitantes humanos. Esse endereço fica exposto para que os coletores automatizados de e-mail, que vasculham a web, o capturem. Como a caixa de entrada é reservada só para esse honeypot, os analistas enxergam por completo o spam usado contra os funcionários. Cada e-mail que chega a essa caixa acrescenta um dado a uma campanha proativa de proteção contra phishing.

Honeypot de spider

Os rastreadores web — também chamados de web spiders — são programas automatizados que indexam e baixam conteúdo da internet. Partindo de um conjunto de páginas conhecidas, eles seguem um hiperlink para outra página, escolhem outra URL nessa página e assim por diante. Alguns rastreadores são úteis, como os do próprio Google, que ajudam a categorizar e indexar resultados relevantes para os usuários. Mas agentes maliciosos também podem caçar informações relevantes sobre a sua organização. As armadilhas de spider usam links e páginas falsas, acessíveis apenas aos próprios rastreadores. Ao acompanhar esse comportamento, você obtém uma visão mais profunda dos padrões de navegação automatizada. Isso ajuda a definir sua estratégia contra bots maliciosos.

Honeypot de malware

Entre as formas mais elaboradas de honeypot, o honeypot de malware imita uma aplicação e suas APIs. O invasor ganha a chance de explorar vulnerabilidades, o que ajuda a revelar caminhos de ataque mais longos que poderiam ser usados para obter acesso. Essa análise pode então alimentar o software antimalware ou fechar vulnerabilidades de API.

Banco de dados isca

O último componente da sua infraestrutura de honeypot é um banco de dados isca, que estimula o possível invasor a se esforçar. É fundamental não armazenar dados reais e sensíveis nesse banco de dados, já que a ideia é testar ao limite arquiteturas inseguras que possam levar a injeção de SQL e abuso de privilégios.

Honeypots de baixa e de alta interação

Os honeypots têm diferentes níveis de interatividade. Um honeypot de baixa interação oferece o mínimo de acesso ao sistema — apenas o suficiente para registrar a requisição inicial de um ataque.

Já o honeypot de alta interação entrega um leque bem maior de recursos. Em vez de uma fachada, o invasor encontra uma plataforma interativa para realizar atividades pós-exploração. Isso dá a pesquisadores de segurança e analistas de malware um lugar na primeira fila para ver aonde o invasor quer chegar, que ferramentas usa para escalar privilégios e quais exploits aplica contra o honeypot. Em compensação, esse formato exige muito mais recursos e conhecimento técnico.

Riscos do uso de um honeypot

Os honeypots ajudam muito a monitorar o cenário de ameaças, mas é essencial reconhecer seus limites. Eles só detectam atividades direcionadas ao próprio honeypot, ou seja, podem não revelar o quadro completo das ameaças existentes.
Bem configurado, um honeypot eficaz consegue convencer o invasor de que ele realmente invadiu o sistema de verdade. Ele reproduz avisos de login, campos de dados, aparência e logotipos idênticos aos dos seus sistemas reais. Se o invasor identificar o honeypot, porém, ele pode redirecionar os esforços para os seus outros sistemas e deixar a isca intocada. Além disso, depois que um honeypot é “fingerprinted”, o invasor pode virar o jogo e alimentá-lo com informações falsas.
Mais preocupante ainda: um invasor experiente pode usar o honeypot como porta de entrada para os seus sistemas. Por isso, honeypots nunca devem substituir controles de segurança essenciais. Um “honeywall” oferece uma proteção básica ao honeypot e evita que os ataques ricocheteiem para o ambiente de produção.

Como configurar um honeypot para detectar invasões na rede

Colocar um honeypot no ar para detectar anomalias é rápido. Mantê-lo, porém, costuma ser bem mais trabalhoso. Pensando nisso, os passos a seguir cobrem a configuração e o que vem depois.

1. Escolha a plataforma

O ambiente local é uma opção viável, mas a nuvem é o lugar mais seguro para hospedar um novo honeypot, já que muitos provedores oferecem algum tipo de máquina virtual gratuita. As VMs estão entre as configurações mais seguras: se a exploração der certo, basta reiniciar e restaurar.

2. Monte a arquitetura

Em uma plataforma como a AWS, você escolhe as imagens de máquina que definem o software da máquina virtual. É aí que um sistema operacional específico e as aplicações são provisionados. Ao mesmo tempo, o tipo de instância escolhido determina a quantidade de núcleos de CPU e de RAM da máquina virtual.
Igualmente importante é definir quais eventos o programa do honeypot vai monitorar. Entre os focos mais comuns estão tentativas de login e alterações em arquivos. Por isso, configure um método alternativo de registro, já que agentes maliciosos podem alterar os logs do honeypot. Armazená-los fora do honeypot evita muita dor de cabeça.

3. Defina as configurações de rede

Posicionar o honeypot fora de um firewall interno oferece o melhor equilíbrio entre segurança e desempenho. Outra alteração possível é configurar o firewall externo para manter abertas apenas as portas necessárias. Essa abordagem ajuda a direcionar o tráfego malicioso para o honeypot e para longe da rede interna. Fechar todas as demais portas aumenta a segurança e dá mais realismo ao software isca.
Além de medidas adequadas de segurança de rede, garanta uma boa higiene de segurança atribuindo uma etiqueta de nome à instância, o que facilita a identificação. E, na configuração inicial, permita acesso de entrada exclusivamente a partir do seu roteador ou VPN. Assim, dá para testar o serviço do honeypot sem expô-lo a ataques antes da hora. Scanners de portas como o Nmap ajudam nessa etapa.

4. Faça as verificações finais

Por fim, execute alguma atividade dentro do honeypot e confira os logs do servidor. Se faltar algo nos logs, verifique se o sistema de detecção de intrusão da sua organização não está sinalizando uma varredura de portas, o que pode levar o invasor a procurar outro alvo. Com tudo pronto, o novo honeypot pode entrar em produção. Monitore-o de perto e ajuste a configuração.

Se você prefere aprender no formato visual, nosso vídeo-guia “O que é um honeypot?” traz um passo a passo completo

Honeypots não substituem a proteção

Os honeypots oferecem uma visão incomparável dos mecanismos de ataques em tempo real. A descoberta do botnet Chalubo pelo SophosLabs, por exemplo, só aconteceu graças a um servidor honeypot que fingia ser vulnerável a ataques distribuídos de negação de serviço (DDoS). Assim, a equipe descobriu que um dos principais componentes do Chalubo era um downloader otimizado especificamente para hardware com processadores Intel x86.
É nesse ponto, porém, que os limites do honeypot aparecem. Ele oferece pouquíssima proteção real aos endpoints visados: aqueles processadores Intel continuam precisando de defesa.
A proteção de endpoints do NinjaOne dá a equipes de TI e MSPs controle total sobre as aplicações e configurações do ambiente de TI. Descubra como a integração em um clique do NinjaOne amplia a granularidade do seu antivírus e fortalece sua equipe de suporte técnico hoje mesmo.