Logs de TTY e os dados que eles capturam
Um analista do SANS ISC publicou um script que extrai e normaliza os logs de sessão TTY capturados pelos honeypots DShield, registrando os comandos digitados por atacantes e bots após o login nos sensores. Os dados processados são enviados diariamente a um SIEM central, onde são correlacionados via consultas ES|QL para identificar padrões de ataque recorrentes. Em um exemplo citado, um único hash de sequência de comandos (variantes de edição de crontab) foi associado a mais de 3.130 endereços IP distintos em 90 dias, evidenciando reutilização massiva de scripts de automação maliciosa.
Fonte ↗