Visão geral
O XLabs Honeypot é um produto de deception technology da XLabs Security. Ele coloca sensores-isca dentro da sua rede — servidores falsos que imitam aplicações reais (WordPress, painéis administrativos, APIs, arquivos sensíveis) — e registra cada tentativa de acesso, exploração ou varredura que um atacante faz contra eles.
Nenhum tráfego legítimo chega a um honeypot. Qualquer requisição é, por definição, atividade maliciosa ou não autorizada. Isso dá ao Honeypot uma taxa de falso-positivo próxima de zero e transforma cada evento em inteligência acionável.
Como funciona
- Sensor na sua rede — um executável leve (Windows, Linux, macOS ou Android) que serve iscas em portas HTTP/HTTPS. Não precisa de VM dedicada.
-
Iscas realistas — páginas de login WordPress, painéis PaperCut, GitLab, SharePoint, AD FS, TeamCity, endpoints de CVEs conhecidos, arquivos
.env,.git/,backup.sql. O atacante acredita que encontrou um alvo real. - Captura completa — headers HTTP, corpo da requisição, IP, GeoIP, User-Agent, JA3 fingerprint. Tudo é enviado ao painel central em tempo real.
- Painel do cliente — em honeypot.xlabs.com.br/portal você vê logs, filtra por categoria/severidade, arma canary tokens, mede o tempo queimado do atacante e integra com seu SIEM.
O que o sensor detecta
-
Varredura de arquivos sensíveis —
.env,.git/HEAD,backup.sql,phpinfo.php - SQL Injection — payloads clássicos contra formulários de busca e login
- XSS — tentativas de injeção refletida e armazenada
- Auth bypass — credenciais concatenadas em SQL
- CVEs conhecidos — Log4Shell, Spring4Shell, PHP-CGI, PaperCut, GitLab LFI/RCE, SharePoint, AD FS, TeamCity, WordPress REST e dezenas de outros
-
WordPress brute-force — tentativas de login com senha fraca no
wp-login.phpfalso - Canary tokens — disparo de arquivos-isca plantados em paths específicos (severidade crítica)
Nenhuma isca executa payload real. O sensor captura e reporta — nunca processa o ataque.
Planos
| Recurso | Free | Pro | Enterprise |
|---|---|---|---|
| Sensores | 1 | Múltiplos | Ilimitados |
| Retenção de logs | — | 90 dias | 365 dias |
| Chaves de API | — | 3 | 10 |
| Integrações SIEM | — | Splunk, Elastic, Webhook | Todos (+ Sentinel, QRadar) |
| Canary tokens | — | Sim | Sim |
| Time-sink | Básico | Completo | Completo |
| Alertas (Slack/Telegram/e-mail) | — | Sim | Sim |
Plataformas do sensor
| SO | Arquitetura | Formato |
|---|---|---|
| Windows | amd64 | Serviço + bandeja + GUI IDE |
| Linux | amd64, arm64 | Binário + systemd unit |
| macOS | amd64, arm64 | Binário + launchd + barra de menus |
| Android | arm64 | APK (Kotlin + Go via gomobile) |
Próximos passos
- Primeiro acesso: login, 2FA e convite de usuários
- Mapa da plataforma: portal cliente vs sensor
- Instalando o sensor Windows
Telas do portal
O portal em operação
Overview com 161 ataques capturados em 24h, 26 críticos, sensores online e gráfico de requests em tempo real.