Canary tokens: armando uma armadilha de arquivo

O que é um canary token

Um canary token é um arquivo-isca servido pelo sensor num path específico. Diferente das iscas padrão (que qualquer scanner encontra), um canary token não tem tráfego legítimo nenhum.

Quem pediu /config/secrets.json no seu sensor já estava dentro da rede e procurando segredos. Por isso cada disparo é tratado como severidade crítica.

Criando um canary token

1. No portal, vá em Canary Tokens (/portal/canary-tokens/).
2. Clique em Novo token.
3. Preencha:
   • Path — o caminho que o sensor vai servir (ex.: /config/secrets.json, /backup/db.sql).
   • Tipo — formato do conteúdo (JSON, SQL, texto, env, etc.).
   • Corpo — conteúdo fictício que será entregue ao atacante.
   • Sensor — opcionalmente vincule a um sensor específico ou deixe para todos.
4. Salve. O C2 empurra o token para o sensor na próxima sincronização (~20s).

Quando dispara

Qualquer requisição para o path do token gera um evento com:

• Categoria: canary
• Severidade: critical
• Alertas: webhook, Slack, Telegram e e-mail são disparados imediatamente.

O contador de hits do token é incrementado. Você acompanha na lista de tokens.

Gerenciamento

• Ativar/desativar um token sem apagá-lo.
• Editar path, corpo ou tipo.
• Excluir — remove o token do sensor na próxima sincronização.

Telas do portal

Canary token disparado

Canary token TRIPPED: 1 armado, 2 hits em 24h, timeline mostrando o momento exato do disparo. Nenhum tráfego legítimo chega a um canary — cada ponto rosa é confirmação de intrusão.