O que é o time-sink
O honeypot mede uma coisa difícil de quantificar: quanto tempo o atacante desperdiçou com as iscas. Cada segundo gasto numa isca é um segundo que não foi gasto no ativo real.
Acesse a tela em Time-sink (/portal/time-sink/).
As três camadas
1. Observado (medido)
Tempo de relógio em que o atacante esteve engajado:
- Permanência — soma dos intervalos entre requisições da mesma sessão. Gaps maiores que 5 minutos são cortados (o atacante foi embora).
- Tarpit — atraso artificial que o sensor impôs nas respostas. Progressão exponencial por IP.
2. Análise (modelado)
Tempo estimado que o atacante gastou fora da isca com o que levou dela: ler o .env falso, triar o dump SQL, adaptar o próximo payload.
Cobrado por artefato distinto tocado na sessão. Exemplos:
| Categoria | Tempo estimado | Motivo |
|---|---|---|
| RCE / Webshell | 5 min | Enumerar host, tentar persistir |
| Arquivo exposto (.env, backup.sql) | 4 min | Ler e extrair segredos fictícios |
| CVE | 3 min | Confirmar versão, adaptar PoC |
| SQL Injection | 2,5 min | Dump e triagem do banco fictício |
| Brute-force | 45 s | Ajustar wordlist |
| Recon / Scanner | 10 s | Automatizado |
3. Envenenamento (modelado)
Tempo que o atacante vai gastar depois ao tentar usar credenciais falsas, tokens inválidos ou segredos plantados nas iscas — e perceber que nada funciona.
Leitura da tela
A tela separa claramente o que é medido (relógio) do que é modelado (estimativa). Os rótulos nunca misturam os dois num único KPI.
Telas do portal
Time-sink com atividade real
Time-sink com 4h 35min queimados do atacante (medido + modelado), 2 sessões, 161 requests, 16 credenciais fictícias colhidas e 1 canary token aberto.