Canais de alerta
Slack, Telegram e e-mail são canais de notificação, não SIEMs. Eles recebem:
- Eventos de ataque — especialmente canary tokens e eventos de severidade alta/crítica.
- Alertas de saúde — bateria baixa e sensor offline.
Configurando Slack
- Crie um Incoming Webhook no Slack (app ou workspace settings).
- No portal do sensor, informe a URL do webhook.
- Salve. O C2 começa a enviar notificações no canal configurado.
Configurando Telegram
- Crie um bot no Telegram via
@BotFathere copie o token. - Obtenha o chat_id do canal ou grupo destino.
- No portal do sensor, informe token do bot e chat_id.
Configurando e-mail
O C2 envia e-mails via SMTP configurado no backend. No portal do sensor, informe o(s) endereço(s) de e-mail que devem receber alertas.
O que dispara alertas
| Tipo | Gatilho | Canais |
|---|---|---|
| Canary token | Disparo do token (severidade crítica) | Webhook, Slack, Telegram, e-mail |
| Evento de ataque | Severidade alta ou crítica | Webhook, Slack, Telegram, e-mail |
| Sensor offline | Sem heartbeat por mais de N minutos | Webhook, Slack, Telegram, e-mail |
| Bateria baixa | Nível abaixo do limiar (Android) | Webhook, Slack, Telegram, e-mail |
Boas práticas
- Configure pelo menos dois canais (ex.: Slack + e-mail) para redundância.
- Use canary tokens como gatilho principal — um único disparo já indica comprometimento real.
- Rotacione tokens de bot e webhooks periodicamente.
Telas do portal
Alertas Slack / Telegram / e-mail
Gatilhos de alerta e preview de mensagem Slack (Block Kit) na aba Notifications.
Formato do payload canonical
Payload JSON canonical xlabs.honeypot.event/1.1 que vai no POST do webhook (schema, event, alert triggers, sensor).