Integração SIEM (Splunk, Elastic, Sentinel, QRadar, Webhook)

Arquitetura

O sensor envia telemetria ao C2. O C2 persiste o evento e entrega uma cópia a cada integração configurada, em segundo plano. Tokens e segredos ficam apenas no C2.

Splunk HEC

1. No Splunk, crie um token HTTP Event Collector em Settings → Data Inputs → HTTP Event Collector.
2. No portal do sensor, informe a origem HEC (https://host:8088) e o token.
3. Opcionalmente preencha o índice Splunk.
4. Pesquise por sourcetype="xlabs:honeypot:json".

Microsoft Sentinel

1. Crie a tabela customizada (ex.: XLabsHoneypot_CL) no Log Analytics.
2. Crie uma DCR kind: Direct com o stream e colunas: TimeGenerated, Sensor, EventId, Category, Severity, SourceIP, HttpMethod, UrlPath, EventData.
3. Registre um app no Microsoft Entra com o papel Monitoring Metrics Publisher.
4. No portal do sensor, informe o endpoint, immutableId da DCR, stream e credenciais client credentials.

IBM QRadar

1. Crie um Log Source do tipo Universal LEEF.
2. Configure Syslog TLS (porta 6514 recomendada), TCP ou UDP.
3. No portal do sensor, informe DNS/IP, porta e transporte.

O C2 gera LEEF 2.0 UTF-8.

Elastic Security

O conector cria o template honeypot-alerts-1.1, pipeline honeypot-geoip e índices diários. Documentos usam campos ECS.

1. No portal do sensor, informe a URL do Elasticsearch e as credenciais.
2. Eventos chegam ao índice honeypot-alerts-1.1-YYYY-MM-DD.

Webhook genérico

Para SOAR, gateways ou SIEMs não nativos:

1. No portal do sensor, informe a URL HTTPS do webhook.
2. O C2 envia um POST com o contrato JSON canônico xlabs.honeypot.event/1.1 a cada evento.

Boas práticas

• Use HTTPS/TLS e contas dedicadas com menor privilégio.
• Rotacione segredos periodicamente no painel.
• Monitore AlertDispatch.status e logs de falha de integração.

Telas do portal

Configurando Webhook

Config do destino Webhook: URL HTTPS, autenticação (Bearer / Custom header / Basic / HMAC) e preview do payload JSON v1.1 que é enviado.