honeypot-foundry

Sobre o Projeto

Honeypot Foundry é um toolkit abrangente e pronto para produção, projetado para a implantação e gerenciamento do ciclo de vida de honeypots em ambientes corporativos e empresariais. Um honeypot, em cibersegurança, é um sistema ou serviço deliberadamente exposto que imita infraestrutura real para atrair atacantes. Quando um atacante interage com um honeypot, cada ação é registrada e analisada, fornecendo inteligência valiosa sobre ameaças sem colocar em risco os sistemas de produção reais. Este toolkit permite que equipes de segurança implantem múltiplos tipos de honeypots — desde sensores de baixa interação que emulam serviços básicos (SSH, HTTP, FTP, SMB) até armadilhas de alta interação que simulam sistemas operacionais inteiros. Cada instância é totalmente configurável através de arquivos YAML, permitindo personalizar quais serviços são expostos, qual nível de interação é permitido e como os alertas são gerados. A plataforma integra-se nativamente com Elasticsearch para agregação e análise de logs, permitindo que analistas correlacionem atividade do honeypot com outros eventos de segurança no SIEM. Dashboards em tempo real fornecem visibilidade sobre padrões de ataque, geolocalização de IPs de origem, técnicas de ataque (mapeadas ao framework MITRE ATT&CK) e tendências temporais.

Por Que Isso Importa

Honeypots representam uma das estratégias mais poderosas e subutilizadas em cibersegurança defensiva. Diferente dos controles de segurança tradicionais que são reativos (firewalls, antivírus), honeypots são mecanismos de detecção proativos — qualquer interação com eles é inerentemente suspeita, pois nenhum usuário ou sistema legítimo deveria acessá-los. Isso reduz dramaticamente falsos positivos, um desafio persistente em operações de segurança. No cenário de ameaças moderno, onde atacantes rotineiramente contornam defesas de perímetro, honeypots servem como sistema de alerta precoce profundo dentro da rede. Eles detectam movimentação lateral de insiders e ameaças persistentes avançadas (APTs) que já violaram as defesas iniciais.

Guia Passo a Passo

1. Clone o repositório e instale todas as dependências usando o script de setup fornecido. O toolkit requer Docker e Python 3.8+ como pré-requisitos. Execute 'pip install -r requirements.txt' para instalar as dependências Python.
2. Configure sua implantação editando o arquivo honeypot.config.yaml. Defina quais serviços simular (SSH, HTTP, FTP, SMB, MySQL, etc.), configure interfaces de rede e portas, ajuste a verbosidade de logging e especifique destinos de alertas (email, Slack, webhook).
3. Implante seus honeypots usando o comando 'foundry deploy --profile production'. Isso iniciará containers Docker para cada serviço configurado, configurará coleta de logs e inicializará o dashboard de monitoramento. Use '--profile staging' para testes antes da implantação em produção.
4. Monitore os alertas através do dashboard Kibana integrado, que fornece visualização em tempo real da atividade de ataque, mapas de calor geográficos das origens dos atacantes e correlação automatizada com indicadores de inteligência de ameaças conhecidos.

Tecnologias Utilizadas