Logs de TTY e os dados que eles capturam
Um analista do SANS ISC publicou um script que extrai e normaliza os logs de sessão TTY capturados pelos honeypots DShield, registrando os comandos digitados por atacantes e bots após o login nos sensores. Os dados processados são enviados diariamente a um SIEM central, onde são correlacionados via consultas ES|QL para identificar padrões de ataque recorrentes. Em um exemplo citado, um único hash de sequência de comandos (variantes de edição de crontab) foi associado a mais de 3.130 endereços IP distintos em 90 dias, evidenciando reutilização massiva de scripts de automação maliciosa.
O artigo descreve um experimento de Guy Bruneau no SANS Internet Storm Center: um script que percorre os logs de sessão TTY gerados pelos honeypots DShield sempre que um ator ou bot consegue autenticar-se e executar comandos no sensor. Ao final de cada dia, esse script converte os registros brutos de terminal em eventos estruturados e os envia para o SIEM do projeto DShield, onde passam a conviver com as demais telemetrias coletadas pela rede de sensores.
Tecnicamente, o interesse do caso está na natureza do artefato analisado: logs de TTY são, em essência, uma gravação da sessão de pseudo-terminal, equivalente a um histórico de shell com timestamp por comando. O script parseia esse fluxo, extrai os comandos individuais e os encaminha para ingestão no Elastic Stack, onde o analista usa ES|QL (a linguagem de consulta estilo SQL do Elastic) para agrupar e correlacionar comandos idênticos ou hashes de sequências de comando entre diferentes endereços IP e ASNs, permitindo enxergar campanhas automatizadas que reaproveitam o mesmo script de pós-exploração em milhares de tentativas.
Na prática, essa é uma aplicação direta de um problema central da resposta a incidentes: transformar artefatos de sessão (histórico de shell, auditd, logs de autenticação) em indicadores pivotáveis que permitam reconstruir timelines de atividade maliciosa e agrupar infraestrutura de ataque por padrão comportamental, e não apenas por IP isolado. A técnica de "hash da sequência de comandos" para fingerprint de campanhas é diretamente transportável para investigações reais, onde histórico de bash, logs do auditd ou árvores de processo de EDR desempenham papel equivalente ao TTY do honeypot.
O artigo tem o mérito de mostrar a correlação em escala (milhares de IPs com a mesma assinatura de comandos em 90 dias), mas vale notar que o ambiente é um honeypot controlado, não uma rede de produção comprometida, e o post não detalha profundamente a lógica interna do script (disponível em repositório externo). Ainda assim, a metodologia de ingestão, normalização e correlação de artefatos de log é um padrão replicável por equipes de forense e caça a ameaças que lidam com grandes volumes de telemetria de intrusão.