Canarytokens

por Thinkst Applied Research

Visão geral

Os Canarytokens ajudam a rastrear atividades e ações na sua rede.

Se você tiver algum problema, consulte nosso FAQ aqui, ou crie uma issue e tentaremos responder o mais rápido possível.

Índice

• Código de Conduta
• Descontinuações
• Instalação
• Configuração
• Infraestrutura do AWS ID
• Configuração do SMTP de saída
• Limitação de alertas
• Limitação de falhas de webhook
• FAQ
• Contribuindo

Código de Conduta

Este projeto e todos os que participam dele são regidos pelo Código de Conduta. Ao participar, espera-se que você siga este código. Por favor, reporte comportamentos inaceitáveis para [email protected].

Descontinuações

• O Token da API do Slack está descontinuado e não é mais possível criar novos. Tokens antigos ainda funcionarão.

Instalação

Recomendamos o processo de instalação da imagem Docker.

Configuração

O servidor Canarytokens pode usar muitas configurações diferentes. Você pode encontrá-las em settings.py. Existem dois arquivos principais de configuração: frontend.env e switchboard.env.

O frontend.env contém as configurações do processo frontend, tais como:

• CANARY_DOMAINS=mytesttokensdomain.com
• CANARY_NXDOMAINS=pdf.demo.canarytokens.net
• CANARY_AWSID_URL=
• CANARY_AWSID_AUTH=
• CANARY_AWSID_GUID=
• CANARY_AWSID_CONTROL_ACCOUNT_ID=
• CANARY_WEB_IMAGE_UPLOAD_PATH=/uploads
• CANARY_GOOGLE_API_KEY=
• LOG_FILE=frontend.log

O switchboard.env contém as configurações do processo switchboard, tais como:

Variable Name	Value
CANARY_MAILGUN_DOMAIN_NAME
CANARY_MAILGUN_API_KEY
CANARY_MANDRILL_API_KEY
CANARY_SENDGRID_API_KEY
CANARY_PUBLIC_IP
CANARY_PUBLIC_DOMAIN
CANARY_ALERT_EMAIL_FROM_ADDRESS	[email protected]
CANARY_ALERT_EMAIL_FROM_DISPLAY	"Canarytoken Mailer"
CANARY_ALERT_EMAIL_SUBJECT	"Alert"
CANARY_MAX_ALERTS_PER_MINUTE	1000
CANARY_SMTP_USERNAME
CANARY_SMTP_PASSWORD
CANARY_SMTP_SERVER	smtp.gmail.com
CANARY_IPINFO_API_KEY	<ipinfo.io api key>
CANARY_SMTP_PORT	587
CANARY_WEB_IMAGE_UPLOAD_PATH	/uploads
LOG_FILE	switchboard.log
ERROR_LOG_WEBHOOK
CANARY_FORCE_HTTPS	force https protocol scheme for Canarytokens
CANARY_LAMBDA_AWS_CRED_REPORT_AUTH

Observe que, ao escolher qual provedor de e-mail você deseja usar, você DEVE fornecer apenas informações relacionadas a esse provedor. Por exemplo, se você tem CANARY_MAILGUN_API_KEY, então você deve remover as outras, como CANARY_SENDGRID_API_KEY e CANARY_MANDRILL_API_KEY.

Se você estiver usando a infraestrutura europeia do Mailgun para o seu Servidor Canarytokens, você precisará adicionar CANARY_MAILGUN_BASE_URL=https://api.eu.mailgun.net ao seu switchboard.env. Se você não especificar isso, usaremos a URL regular 'https://api.mailgun.net' como padrão.

Infraestrutura do AWS ID

Os Canarytokens de chave de API da AWS usam infraestrutura do lado da AWS para alocar usuários IAM e executar verificações de segurança. Essa infraestrutura foi movida para um repositório privado.

Este repositório ainda é responsável pelos pontos de integração voltados ao Canarytokens:

• CANARY_AWSID_URL em frontend.env é a URL do API Gateway/Lambda para o endpoint LinkAWSIDTokenUserToCanaryConsole gerenciado a partir do repositório privado.
• CANARY_AWSID_AUTH em frontend.env deve corresponder ao token de autenticação no segredo do AWS ID. O frontend envia domain, token, auth e guid ao criar um token de chave da AWS.
• CANARY_AWSID_GUID identifica a instância do Canarytokens ao alocar e excluir tokens de chave da AWS.
• CANARY_AWSID_CONTROL_ACCOUNT_ID é o ID da conta da AWS que possui a fila de exclusão do AWS ID.
• Se CANARY_AWSID_URL ou CANARY_AWSID_AUTH não estiver definido, a criação de tokens de chave da AWS fica desabilitada para esta instância do Canarytokens.
• CANARY_LAMBDA_AWS_CRED_REPORT_AUTH em switchboard.env habilita o callback /a/cr usado pelo verificador de relatório de credenciais do AWS ID.

Configuração do SMTP de saída

Ao configurar o SMTP de saída, considere o seguinte:

Restrições:

• nenhum outro provedor como Mailgun ou Sendgrid deve estar configurado para que isso funcione
• Para o AWS SES, CANARY_ALERT_EMAIL_FROM_DISPLAY deve estar no formato: CANARY_ALERT_EMAIL_FROM_DISPLAY=CanaryAlert <[email protected]>

Nota: os e-mails de alerta SMTP enviam um cabeçalho From compatível com RFC. Se CANARY_ALERT_EMAIL_FROM_DISPLAY estiver configurado como um nome de exibição, o cabeçalho resultante é renderizado como Display Name <CANARY_ALERT_EMAIL_FROM_ADDRESS>, correspondendo ao comportamento existente do Mailgun. Isso pode alterar ligeiramente como o remetente aparece nos clientes de e-mail para implantações com SMTP, mas o corpo do e-mail de alerta permanece inalterado.

As seguintes configurações devem ser definidas em switchboard.env para que o SMTP funcione:

• CANARY_SMTP_SERVER: o servidor SMTP
• CANARY_SMTP_PORT: o número da porta do servidor SMTP (deve ser uma porta com StartTLS habilitado!)
• CANARY_SMTP_USERNAME: Nome de usuário para o servidor SMTP (SMTP anônimo não é suportado no momento)
• CANARY_SMTP_PASSWORD: a senha correspondente ao nome de usuário

Um exemplo completo de configuração em switchboard.env fica assim:

CANARY_SMTP_SERVER=smtp.yourserver.com
CANARY_SMTP_PORT=587
CANARY_SMTP_USERNAME=<your smtp username>
CANARY_SMTP_PASSWORD=<your smtp password>
[email protected]
CANARY_ALERT_EMAIL_SUBJECT="Canary Alert via SMTP"

Limitação de alertas

Por padrão, a menos que esteja em modo DEBUG, não é permitido mais de 1 alerta por IP de origem único por minuto. A atividade ainda será registrada no banco de dados e visível no console de gerenciamento de tokens, mas os alertas não serão gerados (e-mail e/ou webhook).

Isso é ajustável com a variável de ambiente do switchboard CANARY_MAX_ALERTS_PER_MINUTE.