Há IPs varrendo sua infraestrutura agora mesmo. A pergunta é se você sabe disso.
Um atacante não entra por onde o firewall bloqueia. Entra pelo que o firewall não sabe que existe, portas esquecidas, serviços expostos, credenciais que ele testa em silêncio.
O Heimdall implanta iscas que parecem sistemas reais. Qualquer IP que encoste nelas fica registrado, classificado e analisado em tempo real. Não é detecção reativa, é inteligência ativa sobre quem está olhando para você antes que encontre algo real.
falsos positivos, se encostou na isca, é um atacante. Sem exceções.
tipos de ataque classificados: EXPLOIT · BRUTE · PORTSCAN · SCAN · BOT · RECON · HUMAN
monitoramento autônomo, os ataques não esperam o horário comercial
Enganar para detectar. Detectar para proteger.
O Heimdall opera sobre um princípio que os sistemas de detecção tradicionais não conseguem replicar: qualquer interação com as iscas é evidência de atividade maliciosa. Não há limiares para ajustar nem falsos positivos para revisar.
Iscas implantadas
Páginas de login HTTP/HTTPS com aparência de sistemas reais, portas TCP armadilha e serviços que simulam infraestrutura produtiva. Ninguém legítimo encosta nelas, porque não fazem parte do fluxo normal de operações.
Contato = alerta imediato
Qualquer IP que interaja com uma isca fica registrado na hora, com timestamp, tipo de ataque, payload capturado e geolocalização. O evento aparece no dashboard em menos de um segundo.
Classificação automática
O motor do Heimdall determina o tipo de ameaça e o coloca em uma de sete categorias: tentativa de exploração, força bruta, varredura de portas, varredura web, bot, reconhecimento e atividade humana. Cada evento é etiquetado sem intervenção humana, e o IP ainda recebe um score pelo comportamento que apresenta ao longo do tempo.
Inteligência acionável
Score de ameaça por IP, histórico completo de atividade, dados geográficos e perfil de comportamento. Você sabe exatamente quem está olhando para você, de onde e o que procurou na sua infraestrutura.
Visibilidade que você não tinha. Inteligência que você não esperava.
Cada componente do Heimdall existe para que nenhum IP que teste você passe despercebido, do primeiro pacote TCP até a tentativa de credenciais.
Iscas HTTP/HTTPS
Portais de login com aparência de sistemas reais, painéis de controle, acessos VPN, intranets corporativas. Qualquer IP que tente se autenticar fica registrado com as credenciais que testou, o timestamp e o user-agent. O atacante acha que falhou. Você sabe exatamente o que ele tentou.
Portas TCP armadilha
Portas que escutam sem executar serviços reais. Qualquer conexão TCP nessas portas gera um alerta imediato de PORTSCAN ou RECON, sinal de que alguém está mapeando ativamente a sua superfície de ataque. Configurável em qualquer faixa de portas, sem risco de afetar serviços produtivos.
Dashboard em tempo real
Tabela de eventos atualizada em tempo real com geolocalização por IP, mapa de calor de atividade e contador de IPs únicos nas últimas 24 horas. Os eventos chegam em menos de um segundo via WebSocket, sem recarregar, sem polling. Projetado para monitoramento contínuo em um centro de operações.
Perfil de IP e score de ameaça
Cada IP atacante tem o seu próprio dossiê: score de ameaça calculado por tipo e intensidade dos eventos, todos os eventos históricos em ordem cronológica, país e cidade de origem. Um clique sobre qualquer IP na tabela abre o painel completo. Nada se perde, o histórico é permanente.
Modelos de isca configuráveis
O portal falso que o atacante vê é totalmente personalizável a partir do dashboard, logo, textos, aparência do login, mensagem de erro. Sem tocar em código. Você pode criar uma isca que simule exatamente o sistema que quer proteger, ou desenhar uma genérica que atraia qualquer tipo de reconhecimento.
Dashboard protegido com 2FA
O próprio dashboard do Heimdall usa autenticação JWT + TOTP de dois fatores, controle de acesso por papéis, rate limiting por IP e bloqueio automático após 5 tentativas falhas. Um sistema de segurança que não é seguro em si mesmo não é um sistema de segurança.
Armadilhas de protocolo interativas
Além da porta que apenas escuta, o Heimdall responde como um serviço real de FTP, SMTP ou SSH e deixa o atacante tentar. Registra os usuários e as senhas que ele testa, os comandos que digita e o que pretendia fazer, em um ambiente totalmente isolado: o e-mail nunca é reenviado, o FTP nunca toca o disco e o interpretador de SSH não executa nada. Você aprende o método do atacante sem entregar nada a ele.
Mapa mundial de ataques
Os eventos aparecem caindo sobre um mapa-múndi, ao vivo e sem depender de um serviço externo. É a tela que fica projetada e a que faz qualquer pessoa entender, em dez segundos, o volume do que bate na infraestrutura todos os dias.
Alertas por e-mail e feed de bloqueio
Quando um IP cruza o limiar configurado, o Heimdall avisa por e-mail com o detalhe do que ele fez. E publica um feed com os endereços a bloquear, no formato que o firewall consome sozinho, então a detecção vira bloqueio sem que ninguém copie uma lista à mão. Uma lista de exceções deixa o tráfego próprio de fora para que o registro não fique sujo.
Enriquecimento de cada IP
De cada endereço que encosta em uma isca se descobre a que provedor pertence, se já foi denunciado por abuso, se é um nó de saída do Tor e se aparece em listas de infraestrutura maliciosa conhecida. Ao score do comportamento observado se soma o que o mundo já sabe daquele IP.
Isto é o que a sua equipe vê enquanto os atacantes não sabem que estão sendo observados.
Vinte e seis segundos de percurso real, sobre o nosso próprio honeypot exposto à internet: o feed ao vivo, o histórico de eventos, o mapa mundial de origem dos ataques, o relatório com veredito automático e o perfil de um IP com o seu score de conduta e a sua threat intelligence.
Clique aqui e solicite uma demonstração ao vivo com a nossa equipe. Percorremos o sistema completo com você, módulo por módulo, com o seu cenário sobre a mesa e respondendo tudo o que quiser perguntar.
Uma isca não tem usuários legítimos. Ninguém tem motivo para entrar, então cada evento registrado é, por definição, alguém que não deveria estar ali. Essa é a diferença em relação a um SIEM, onde o trabalho é separar o ruído do que importa.
Reconhecimento, varredura, força bruta, exploração, rastreador, pesquisa acadêmica ou pessoa real atrás do teclado. A distinção importa: um scanner de pesquisa e uma tentativa de exploração não merecem a mesma reação, e confundir os dois é o que faz alguém desligar os alertas.
Reputação, ASN, se é um nó de saída do Tor, se aparece em listas de comando e controle, e o histórico do que tentou. O score de conduta sai de como ele se comportou contra a isca, não apenas do que dizem as listas públicas.
A origem geográfica de cada tentativa, ao vivo. Serve para o que um painel de números não consegue explicar em uma reunião de diretoria, que é a dimensão e a persistência do que bate na porta todos os dias.
Eventos do período, IPs únicos, proporção de tráfego automatizado, tentativas de exploração e os endereços que exigem atenção, com o seu veredito. É o material que sustenta uma conversa com a diretoria sem ter que traduzir logs.
Os endereços mais agressivos são publicados em um feed que um firewall, o nginx ou o fail2ban consome diretamente. A isca deixa de ser uma curiosidade e passa a ser uma fonte de bloqueio com dados próprios, não de terceiros.
O que um SIEM não consegue replicar. O que um firewall não consegue fazer.
Os sistemas de detecção tradicionais procuram anomalias em tráfego legítimo, e por isso geram ruído.
O Heimdall não tem tráfego legítimo para analisar. Qualquer interação com as iscas é um atacante. Não há limiares para calibrar, não há regras para atualizar, não há falsos positivos para descartar.
Cada alerta é inteligência real, específica da sua infraestrutura.
de ruído, apenas eventos de atores maliciosos reais
próprios da sua rede, não feeds genéricos de terceiros
de reconhecimento, você detecta o atacante antes que ele encontre algo real
O primeiro passo de qualquer ataque dirigido é o reconhecimento. O Heimdall detecta ali.
Os IDS e os SIEM detectam ataques que já passaram pelas suas defesas. O Heimdall detecta atores maliciosos enquanto ainda estão explorando, enquanto você ainda pode agir.
Detecção na fase de reconhecimento
Um atacante varre antes de explorar. O Heimdall o captura nesse momento, antes que encontre uma vulnerabilidade real no seu stack produtivo.
Sem regras para manter
Os IDS exigem atualizações constantes de assinaturas. O Heimdall trabalha com um axioma simples: qualquer contato com a isca é atividade maliciosa. Sem exceções.
Inteligência do seu próprio ambiente
Os feeds de threat intel são genéricos. Os IPs capturados pelo Heimdall testaram especificamente a sua infraestrutura, e essa é uma informação que nenhum fornecedor externo pode te dar.
Ecossistema AllSafe integrado
Os IPs capturados pelo Heimdall podem ser investigados diretamente no Gjallarhorn com mais de 20 fontes de threat intelligence. De isca a investigação completa em segundos, sem trocar de ferramenta.
Quero que o Heimdall monitore a minha rede
Preencha o formulário. Um especialista da AllSafe vai entrar em contato para avaliar a sua arquitetura, desenhar o esquema de iscas mais eficaz para o seu ambiente e deixar o sistema operando.
Você sabia que existe o Heimdall Community?
Versão gratuita e open source (AGPL-3.0) com o honeypot completo: cinco iscas intercambiáveis, dashboard em tempo real, classificação automática de ataques e armadilhas TCP. Tudo o que você precisa para começar a capturar inteligência de ameaças reais.