Arquitetura geral
O XLabs Honeypot tem dois componentes principais:
1. Sensor (agente)
O sensor é um executável leve que roda na rede do cliente. Ele:
- Serve as iscas (páginas falsas de WordPress, painéis administrativos, endpoints de CVEs, arquivos sensíveis).
- Captura cada requisição HTTP que chega: headers, corpo, IP, GeoIP, User-Agent, JA3 fingerprint.
- Envia a telemetria ao C2 (painel central) via HTTPS.
- Disponibiliza uma GUI local (bandeja no Windows, barra de menus no macOS) para o operador acompanhar hits em tempo real.
O sensor nunca executa payloads de ataque — ele apenas observa e reporta.
2. Painel central (C2)
O painel central fica em honeypot.xlabs.com.br e oferece:
-
Portal do cliente (
/portal/) — logs, filtros, canary tokens, time-sink, gerenciamento de sensores, usuários e empresas. -
API de consulta (
/api/v1/org/) — acesso programático para planos Pro e Enterprise. - Integrações SIEM — o C2 entrega eventos em segundo plano para Splunk, Elastic, Sentinel, QRadar ou webhook genérico.
- Alertas — notificações por Slack, Telegram e e-mail para eventos críticos, bateria baixa e sensor offline.
Fluxo de dados
Atacante → Sensor (isca) → C2 (painel) → Portal / API / SIEM / Alertas
Os segredos de integração (tokens Splunk, webhook, Slack) ficam apenas no C2, nunca no sensor.