Resumo

  • A LACNIC publicou em 7 de outubro o guia de Guillermo Pereyra sobre canary tokens. O texto usa o incidente de 2025 da Grafana Labs para explicar como uma credencial-isca pode gerar um alerta quando é testada.
  • A transcrição de uma apresentação da Grafana separa um evento de ataque às 04:30, o acionamento de um canário durante uma validação do TruffleHog às 06:15, a resposta às 08:00 e a análise de registros às 11:00. Ela não informa o fuso horário nem diz que o primeiro horário marca o acesso inicial.

O acionamento não marca o começo da invasão

Um segredo pode ser roubado antes de alguém tocar a isca. Essa diferença aparece no caso escolhido pela LACNIC para ilustrar seu novo guia. Em 7 de outubro, o Blog da LACNIC publicou a explicação de Guillermo Pereyra sobre canary tokens: arquivos, credenciais, URLs ou domínios-isca que enviam um alerta quando recebem uma interação específica. A página informa que as opiniões dos autores não necessariamente refletem as da LACNIC. É um texto educativo, não prova de que a LACNIC tenha implantado tokens ou sofrido um incidente relacionado.

O guia apresenta o caso da Grafana como um alerta rápido: depois de obter segredos em repositórios do GitHub, um invasor tentou validar uma chave da AWS que era um canário. A LACNIC diz que o alerta chegou imediatamente e que a invasão foi contida em minutos. Os registros publicados pela própria Grafana mostram etapas que esse resumo aproxima.

No comunicado de segurança de 2025, a Grafana Labs disse que um workflow mal configurado do GitHub Actions expôs um número limitado de tokens. O acesso não autorizado ficou restrito a sistemas de automação, sem atingir ambientes de produção ou artefatos de lançamento. A empresa invalidou os tokens expostos, rotacionou credenciais, auditou workflows e examinou registros de acesso. Quando publicou o comunicado, a investigação ainda estava em andamento; a Grafana afirmou ter alta confiança de que a invasão ficou limitada a cinco repositórios afetados.

Uma transcrição posterior da GrafanaCON especifica a função do canário. Os palestrantes explicam que o TruffleHog, ferramenta de busca de segredos, pode validar credenciais em serviços ativos. Eles situam um evento de ataque às 04:30, o acionamento do canário durante uma verificação do TruffleHog às 06:15, uma resposta às 08:00 e uma investigação dos registros no Loki às 11:00. A transcrição não informa o fuso horário. São marcas da apresentação, não uma cronologia normalizada do incidente: o primeiro horário não prova quando ocorreu o acesso inicial, e o token registra o teste posterior de um segredo roubado.

Na cronologia da apresentação, passam-se 1 hora e 45 minutos entre o acionamento às 06:15 e a marca da resposta às 08:00. A transcrição não esclarece se 08:00 foi a primeira ação operacional ou uma escalada formal, nem quando a contenção foi concluída. Essa sequência não refuta a afirmação do guia de que a invasão foi contida em minutos, mas também não a comprova sozinha. Ela mostra por que alerta, resposta e contenção precisam de registros de horário separados.

Assim, “imediato” ganha um sentido mais preciso. O token pode alertar assim que aquela isca específica é acionada. Por si só, ele não informa quando um workflow foi comprometido, quem obteve a credencial, até onde o acesso chegou ou se a ameaça foi contida. Segundo a apresentação, o alerta revelou a tentativa de validação; registros e outras medidas de resposta foram necessários para mapear o incidente.

As medidas posteriores descritas pelos palestrantes não se limitaram a espalhar mais iscas. Eles migraram segredos para um cofre, tornaram obrigatórias as verificações do Zizmor e do TruffleHog, ampliaram a cobertura de canários, reduziram permissões amplas de aplicações do GitHub e reforçaram a capacitação dos usuários. Essas ações tratam os caminhos de exposição, o alcance das credenciais e a repetição da falha. O canário acrescenta um sinal ao conjunto de controles, mas não os substitui.

O guia da LACNIC também observa que algumas ferramentas podem reconhecer serviços públicos de tokens e que o alerta só tem valor se chegar a um canal acompanhado por alguém. Os palestrantes da Grafana deram um exemplo específico: o TruffleHog reconhece e ignora os tokens gratuitos da Thinkst que conhece. Isso não vale para todas as ferramentas nem todos os tokens, mas significa que a ausência de acionamento não prova que ninguém procurou o segredo. A LACNIC também afirma que falsos positivos são raros, sem divulgar uma taxa medida ou seu denominador.

O sinal operacional ainda depende do tipo de token, do caminho de distribuição e dos programas que podem interagir com ele.

A lição duradoura não é que um canário detecta uma invasão desde o primeiro passo. Uma credencial-isca bem posicionada pode revelar rapidamente uma interação posterior — se o alerta chegar à equipe, os registros forem úteis e houver autoridade para invalidar a credencial e reduzir suas permissões.

Fontes