--- id: CP-235 slug: honeypot-honeytoken-canarytokens-engodos lang: pt title: "Honeypots e honeytokens: armadilhas para detetar o intruso" description: "Servidor falso, documento falso, chave de acesso falsa: o que são os engodos de segurança e o que o colaborador deve fazer se se cruzar com um." canonical_url: https://startbrain.io/cyberpedia/pt/articles/honeypot-honeytoken-canarytokens-engodos/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/honeypot-honeytoken-canarytokens-engodos.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Honeypots e honeytokens: armadilhas para detetar o intruso», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/honeypot-honeytoken-canarytokens-engodos/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-078 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/honeypot-honeytoken-canarytokens-engodos/ fr: https://startbrain.io/cyberpedia/fr/articles/honeypot-honeytoken-canarytokens/ en: https://startbrain.io/cyberpedia/en/articles/honeypot-honeytoken-canarytokens-traps/ de: https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/ es: https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/ it: https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/ nl: https://startbrain.io/cyberpedia/nl/articles/honeypot-honeytoken-canarytokens-lokvogels/ sources: - "n": 1 title: honeypot - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/honeypot accessed: "2026-11-03" - "n": 2 title: Building a Security Operations Centre (SOC) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/building-a-security-operations-centre published: "2022-05-23" accessed: "2026-11-03" - "n": 3 title: "Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1552/001/ accessed: "2026-11-03" - "n": 4 title: File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1083/ accessed: "2026-11-03" - "n": 5 title: Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 6 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 7 title: CHAPITRE II - Principes publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 accessed: "2026-11-03" - "n": 8 title: Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1042/ accessed: "2026-11-03" --- # Honeypots e honeytokens: armadilhas para detetar o intruso Um honeypot é um engodo. O glossário do NIST define-o como um sistema (por exemplo, um servidor web) ou um recurso de um sistema (por exemplo, um ficheiro num servidor) concebido para ser atrativo para piratas informáticos e intrusos, «like honey is attractive to bears» [1]. Nesta ficha, «honeytoken» designa a mesma ideia a uma escala menor: um dado sem utilização real, como um identificador falso ou uma chave de acesso falsa, colocado onde um intruso o vai encontrar. As fontes citadas aqui não definem este termo. Para um colaborador, estas armadilhas ficam quase sempre invisíveis. Servem a segurança da empresa, que as instala e vigia. Esta ficha explica o princípio, o que se espera de cada pessoa se um engodo surgir no seu caminho e as falhas que tornam estes dispositivos inúteis ou perigosos. ## Em 30 segundos - Onde acontece: em sistemas, ficheiros ou contas que a equipa de segurança colocou de propósito, sem que os colaboradores tenham de se ocupar deles. - O que quer o atacante: encontrar palavras-passe, chaves ou tokens de acesso. O engodo oferece-lhe exatamente isso, mas não leva a lado nenhum. - O reflexo: não tocar num engodo, nunca instalar um por iniciativa própria e comunicar à segurança qualquer mensagem de alerta ou ficheiro suspeito. - Se já aconteceu: avisar a segurança sem demora, indicando o que foi aberto e a que hora. ## Perguntas diretas ### Para que serve um engodo? Serve para detetar uma intrusão. O NCSC britânico lembra que o primeiro objetivo da cibersegurança é impedir os ataques [2]. Nem sempre é possível [2]. O papel de um centro de operações de segurança (SOC) é limitar os danos, detetando e tratando os ataques que contornam os controlos preventivos [2]. Um engodo é um meio de deteção entre outros: junta-se às proteções que bloqueiam, não as substitui. ### Porque é que um intruso cai na armadilha? Porque procura precisamente aquilo que o engodo imita. A MITRE descreve adversários que vasculham os sistemas de ficheiros locais e as partilhas de rede à procura de ficheiros com credenciais mal protegidas [3]. Podem ser ficheiros criados por utilizadores para anotar as suas palavras-passe, ficheiros de configuração com palavras-passe ou código-fonte com palavras-passe incorporadas [3]. Esses mesmos adversários podem enumerar ficheiros e pastas para decidir o que fazer a seguir [4]. Um falso ficheiro de palavras-passe, guardado no sítio certo, parece uma descoberta. ### Um colaborador pode ativar um engodo por engano? É possível, e a ficha não consegue dizer com que frequência: as fontes do dossiê não o documentam. A regra é, por isso, simples. Um ficheiro, uma conta ou uma partilha que nada tenha a ver com o seu trabalho não se abre por curiosidade. Se o abriu, diga-o à segurança em vez de o calar. ### Um colaborador deve instalar um engodo em casa ou no seu posto de trabalho? Não. Um engodo mal colocado pode criar um problema em vez de resolver um. A escolha do local, do isolamento e da vigilância cabe à equipa de segurança. ## Como funciona Existem três grandes famílias de engodos, que a ficha distingue a partir dos exemplos do glossário do NIST [1] e das fichas da MITRE [3][5]. - O servidor ou sistema falso: é o honeypot no sentido do NIST, um sistema atrativo para o intruso [1]. - O documento falso ou ficheiro falso: um recurso colocado num servidor, que o NIST inclui igualmente na definição de honeypot [1]. - O token falso ou a chave de acesso falsa: um token de aplicação serve para fazer pedidos autorizados em nome de um utilizador ou de um serviço, e é comum em aplicações na nuvem e em contentores [5]. Um adversário que roube esses tokens pode aceder a dados e agir com os direitos das contas em causa [5]. Um token falso, segundo o raciocínio da ficha, atrairia a mesma cobiça. O princípio do alerta assenta na utilização: o engodo não tem qualquer função no trabalho quotidiano, pelo que qualquer contacto com ele merece ser analisado. As fontes do dossiê não detalham o funcionamento técnico das ferramentas comerciais, e esta ficha não o descreve. O mesmo raciocínio vale para as contas. A MITRE refere que as contas na nuvem, criadas por uma organização para os seus utilizadores, serviços ou administração, são alvos [6]. Um adversário pode visá-las por força bruta ou por phishing [6]. Uma conta falsa poderia servir de isco nesse terreno, segundo o raciocínio da ficha. ## O que faz - Não toca no que não lhe diz respeito. Um ficheiro chamado «palavras_passe» numa pasta partilhada que nunca utiliza não é uma boa oportunidade. - Não copia, não testa nem partilha qualquer identificador, chave ou token encontrado por acaso. - Comunica à segurança qualquer mensagem de alerta inesperada, qualquer ficheiro ou conta suspeita, com o nome, a localização e a hora. - Não instala um engodo por sua conta, nem num posto de trabalho, nem num espaço na nuvem. - Não guarda as suas próprias palavras-passe num ficheiro: a MITRE cita precisamente esses ficheiros entre os que os adversários procuram [3]. ## As armadilhas ### O engodo demasiado fácil de reconhecer Um documento falso grosseiro, com um nome demasiado óbvio, não engana ninguém. As fontes do dossiê não dizem como conseguir um engodo credível: o ponto é apenas assinalado aqui, sem instruções técnicas. ### O alerta ignorado Detetar não serve de nada se ninguém reagir. O NCSC descreve o SOC como um conjunto que deteta e responde [2]. O seu guia trata tanto da deteção como da resposta a incidentes [2]. ### O engodo mal isolado As fontes do dossiê não tratam do isolamento de um engodo em relação ao resto da rede. A MITRE recomenda, em contrapartida, de forma geral, reduzir a superfície de ataque eliminando software, funcionalidades e serviços desnecessários [8], o que vale também para um engodo esquecido. ### Os dados pessoais recolhidos sem enquadramento Se um engodo registar o que uma pessoa faz, as regras sobre dados pessoais podem aplicar-se. O RGPD, no seu artigo 5.º, exige que sejam tratados de forma lícita, leal e transparente [7]. Devem ser recolhidos para finalidades determinadas, explícitas e legítimas [7]. Devem também limitar-se ao que é necessário [7]. Exige ainda uma segurança adequada do tratamento [7]. Um dispositivo de vigilância sem finalidade clara nem informação das pessoas afasta-se destes princípios. ### A conta na nuvem visada Uma conta na nuvem sincronizada com os sistemas internos pode abrir caminho até à própria empresa: a MITRE precisa que contas federadas ou sincronizadas podem permitir agir simultaneamente nos sistemas internos e na nuvem [6]. A ficha deduz daqui que uma conta falsa deste tipo deveria ser isolada como uma conta sensível. ## Fontes 1. NIST, «honeypot - Glossary | CSRC». https://csrc.nist.gov/glossary/term/honeypot (consultado em 3 de novembro de 2026) 2. NCSC (Royaume-Uni), «Building a Security Operations Centre (SOC)», 23 de maio de 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1552/001/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1083/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1528/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado em 3 de novembro de 2026) 7. CNIL, «CHAPITRE II - Principes». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (consultado em 3 de novembro de 2026) 8. MITRE ATT&CK, «Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1042/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/honeypot-honeytoken-canarytokens-engodos/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.