搜索

[11357] 2017-05-17_T-Pot多蜜罐平台：让蜜罐实现更简单

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-05-17_T-Pot多蜜罐平台：让蜜罐实现更简单 T - P o t 多 蜜 罐 平 台 ： 让 蜜 罐 实 现 更 简 单 失 路 之 人   F r e e B u f   2 0 1 7 - 0 5 - 1 7 这 两 年 蜜 罐 技 术 被 关 注 的 越 来 越 多 ， 也 渐 形 成 低 交 互 、 中 交 互 、 高 交 互 等 交 互 程 度 的 各 类 蜜 罐 ， 从 w e b 业 务 蜜 罐 、 s s h 应 用 蜜 罐 、 网 络 协 议 栈 蜜 罐 到 系 统 主 机 型 蜜 罐 的 各 功 能 型 蜜 罐 。 小 到 一 个 w o r d 文 档 的 蜜 标 ， 到 一 个 系 统 级 的 服 务 蜜 罐 ， 再 到 多 功 能 蜜 罐 组 成 的 蜜 网 ， 大 到 包 含 流 控 制 重 定 向 分 布 式 蜜 网 组 成 的 蜜 场 。 随 着 虚 拟 化 技 术 的 发 展 ， 各 种 虚 拟 蜜 罐 也 得 到 发 展 ， 可 以 通 过 虚 拟 机 来 实 现 高 交 互 蜜 罐 ， 以 及 通 过 d o c k e r 实 现 的 业 务 型 蜜 罐 ， 不 再 像 是 以 前 需 要 昂 贵 硬 件 设 备 的 部 署 支 撑 ， 这 也 大 大 减 少 了 蜜 罐 的 部 署 成 本 ， 一 台 主 机 就 可 以 实 现 整 个 集 数 据 控 制 ， 数 据 捕 获 和 数 据 分 析 于 一 体 多 功 能 多 蜜 罐 高 交 互 蜜 网 的 体 系 架 构 。 也 已 经 产 生 了 一 些 不 错 的 开 源 蜜 罐 产 品 或 项 目 ， 比 如 M H N ( 现 代 蜜 网 ) 、 H o n e y p o t P r o j e c t 。   M H N 现 代 蜜 网 简 化 了 蜜 罐 的 部 署 ， 集 成 了 多 种 蜜 罐 的 安 装 脚 本 ， 可 以 快 速 部 署 、 使 用 ， 也 能 够 快 速 的 从 节 点 收 集 数 据 。 国 外 也 有 很 多 公 司 做 基 于 蜜 罐 的 欺 骗 技 术 产 品 创 新 。 蜜 罐 高 保 真 高 质 量 的 数 据 集 把 安 全 人 员 从 以 前 海 量 日 志 分 析 的 繁 琐 过 程 中 解 脱 出 来 ， 对 于 蜜 罐 的 连 接 访 问 都 是 攻 击 信 息 ， 并 且 不 再 像 以 前 的 特 征 分 析 具 有 一 定 的 滞 后 性 ， 可 以 用 于 捕 获 新 型 的 攻 击 和 方 法 。 前 段 时 间 作 者 就 通 过 高 交 互 蜜 罐 捕 获 了 s s h 自 动 化 爆 破 工 具 ， 能 够 针 对 整 个 互 联 网 进 行 爆 破 尝 试 ， 并 能 够 自 动 识 别 某 些 低 交 互 蜜 罐 。 现 在 各 功 能 蜜 罐 这 么 多 ， 虽 然 M H N 简 化 了 各 蜜 罐 的 部 署 过 程 ， 但 还 是 需 要 手 动 安 装 多 个 系 统 s e n s o r 来 实 现 多 个 不 同 蜜 罐 。 在 蜜 罐 的 研 究 过 程 中 ， 有 没 有 一 个 提 供 能 更 简 单 方 便 的 平 台 实 现 我 们 对 蜜 罐 的 研 究 与 使 用 。 这 里 将 介 绍 一 个 开 源 多 蜜 罐 平 台 T - P o t 1 6 . 1 0 ， 安 装 一 次 系 统 ， 轻 松 使 用 里 面 多 种 蜜 罐 ，   并 且 提 供 良 好 的 可 视 化 。 官 方 英 文 介 绍 ： h t t p s : / / d t a g - d e v - s e c . g i t h u b . i o / m e d i a t o r / f e a t u r e / 2 0 1 6 / 1 0 / 3 1 / t - p o t - 1 6 . 1 0 . h t m l T - P o t 1 6 . 1 0 开 源 多 蜜 罐 平 台   T - P o t 1 6 . 1 0 多 蜜 罐 平 台 直 接 提 供 一 个 系 统 i s o ， 里 面 使 用 d o c k e r 技 术 实 现 多 个 蜜 罐 ， 更 加 方 便 的 蜜 罐 研 究 与 数 据 捕 获 。 下 面 是 刚 把 它 部 署 到 互 联 网 6 个 小 时 的 情 况 ， 先 来 看 看 它 长 什 么 ， 有 没 有 使 用 的 欲 望 。

是 不 是 看 到 都 想 感 受 一 下 ？ 别 激 动 还 是 先 介 绍 一 下 它 。 T - P o t 1 6 . 1 0   使 用 U b u n t u s e r v e r   1 6 . 0 4   L T S   系 统 ， 基 于 d o c k e r   技 术 提 供 了 下 面 一 些 蜜 罐 容 器 ： C o n p o t :   低 交 互 工 控 蜜 罐 ， 提 供 一 系 列 通 用 工 业 控 制 协 议 ,   能 够 模 拟 复 杂 的 工 控 基 础 设 施 。 C o w r i e :   基 于 k i p p o 更 改 的 中 交 互 s s h 蜜 罐 ,   可 以 对 暴 力 攻 击 账 号 密 码 等 记 录 ， 并 提 供 伪 造 的 文 件 系 统 环 境 记 录 黑 客 操 作 行 为 ,   并 保 存 通 过 w g e t / c u r l 下 载 的 文 件 以 及 通 过 S F T P 、 S C P 上 传 的 文 件 。 D i o n a e a :   D i o n a e a 是 运 行 于 L i n u x 上 的 一 个 应 用 程 序 ， 将 程 序 运 行 于 网 络 环 境 下 ， 它 开 放 I n t e r n e t 常 见 服 务 的 默 认 端 口 ， 当 有 外 来 连 接 时 ， 模 拟 正 常 服 务 给 予 反 馈 ， 同 时 记 录 下 出 入 网 络 数 据 流 。 网 络 数 据 流 经 由 检 测 模 块 检 测 后 按 类 别 进 行 处 理 ， 如 果 有   s h e l l c o d e   则 进 行 仿 真 执 行 ； 程 序 会 自 动 下 载   s h e l l c o d e   中 指 定 或 后 续 攻 击 命 令 指 定 下 载 的 恶 意 文 件 。 E l a s t i c p o t :   模 拟 e l a s t c i s e a r c h   R C E 漏 洞 的 蜜 罐 ， 通 过 伪 造 函 数 在 / , / _ s e a r c h ,   / _ n o d e s 的 请 求 上 回 应 脆 弱 E S 实 例 的 J S O N 格 式 消 息 。 E m o b i l i t y :   在 T - P o t 中 使 用 的 高 交 互 蜜 罐 容 器 ，   旨 在 收 集 针 对 下 一 代 交 通 基 础 设 施 的 攻 击 动 机 和 方 法 。 E m o b i l i t y 蜜 网 包 含 一 个 中 央 收 费 系 统 ， 几 个 收 费 点 ， 模 拟 用 户 的 事 务 。 一 旦 攻 击 者 访 问 中 控 系 统 w e b 界 面 ， 监 控 并 处 理 运 行 收 费 交 易 ， 并 与 收 费 点 交 互 。 除 此 之 外 ， 在 随 机 时 间 ， 黑 客 可 能 与 正 在 收 取 车 辆 费 用 的 用 户 进 行 交 互 。 G l a s t o p f :   低 交 互 型 W e b 应 用 蜜 罐 ,   G l a s t o p f 蜜 罐 它 能 够 模 拟 成 千 上 万 的 w e b 漏 洞 ， 针 对 攻 击 的 不 同 攻 击 手 段 来 回 应 攻 击 者 ， 然 后 从 对 目 标 W e b 应 用 程 序 的 攻 击 过 程 中 收 集 数 据 。 它 的 目 标 是 针 对 自 动 化 漏 洞 扫 描 / 利 用 工 具 ， 通 过 对 漏 洞 利 用 方 式 进 行 归 类 ， 针 对 某 一 类 的 利 用 方 式 返 回 对 应 的 合 理 结 果 ， 以 此 实 现 低 交 互 。 H o n e y t r a p :   观 察 针 对 T C P 或 U D P 服 务 的 攻 击 ， 作 为 一 个 守 护 程 序 模 拟 一 些 知 名 的 服 务 ， 并 能 够 分 析 攻 击 字 符 串 ， 执 行 相 应 的 下 载 文 件 指 令 。 C o n p o t :   低 交 互 工 控 蜜 罐 ， 提 供 一 系 列 通 用 工 业 控 制 协 议 ,   能 够 模 拟 复 杂 的 工 控 基 础 设 施 。 C o w r i e :   基 于 k i p p o 更 改 的 中 交 互 s s h 蜜 罐 ,   可 以 对 暴 力 攻 击 账 号 密 码 等 记 录 ， 并 提 供 伪 造 的 文 件 系 统 环 境 记 录 黑 客 操 作 行 为 ,   并 保 存 通 过 w g e t / c u r l 下 载 的 文 件 以 及 通 过 S F T P 、 S C P 上 传 的 文 件 。 D i o n a e a :   D i o n a e a 是 运 行 于 L i n u x 上 的 一 个 应 用 程 序 ， 将 程 序 运 行 于 网 络 环 境 下 ， 它 开 放 I n t e r n e t 常 见 服 务 的 默 认 端 口 ， 当 有 外 来 连 接 时 ， 模 拟 正 常 服 务 给 予 反 馈 ， 同 时 记 录 下 出 入 网 络 数 据 流 。 网 络 数 据 流 经 由 检 测 模 块 检 测 后 按 类 别 进 行 处 理 ， 如 果 有   s h e l l c o d e   则 进 行 仿 真 执 行 ； 程 序 会 自 动 下 载   s h e l l c o d e   中 指 定 或 后 续 攻 击 命 令 指 定 下 载 的 恶 意 文 件 。
E l a s t i c p o t :   模 拟 e l a s t c i s e a r c h   R C E 漏 洞 的 蜜 罐 ， 通 过 伪 造 函 数 在 / , / _ s e a r c h ,   / _ n o d e s 的 请 求 上 回 应 脆 弱 E S 实 例 的 J S O N 格 式 消 息 。 E m o b i l i t y :   在 T - P o t 中 使 用 的 高 交 互 蜜 罐 容 器 ，   旨 在 收 集 针 对 下 一 代 交 通 基 础 设 施 的 攻 击 动 机 和 方 法 。 E m o b i l i t y 蜜 网 包 含 一 个 中 央 收 费 系 统 ， 几 个 收 费 点 ， 模 拟 用 户 的 事 务 。 一 旦 攻 击 者 访 问 中 控 系 统 w e b 界 面 ， 监 控 并 处 理 运 行 收 费 交 易 ， 并 与 收 费 点 交 互 。 除 此 之 外 ， 在 随 机 时 间 ， 黑 客 可 能 与 正 在 收 取 车 辆 费 用 的 用 户 进 行 交 互 。 G l a s t o p f :   低 交 互 型 W e b 应 用 蜜 罐 ,   G l a s t o p f 蜜 罐 它 能 够 模 拟 成 千 上 万 的 w e b 漏 洞 ， 针 对 攻 击 的 不 同 攻 击 手 段 来 回 应 攻 击 者 ， 然 后 从 对 目 标 W e b 应 用 程 序 的 攻 击 过 程 中 收 集 数 据 。 它 的 目 标 是 针 对 自 动 化 漏 洞 扫 描 / 利 用 工 具 ， 通 过 对 漏 洞 利 用 方 式 进 行 归 类 ， 针 对 某 一 类 的 利 用 方 式 返 回 对 应 的 合 理 结 果 ， 以 此 实 现 低 交 互 。 H o n e y t r a p :   观 察 针 对 T C P 或 U D P 服 务 的 攻 击 ， 作 为 一 个 守 护 程 序 模 拟 一 些 知 名 的 服 务 ， 并 能 够 分 析 攻 击 字 符 串 ， 执 行 相 应 的 下 载 文 件 指 令 。 在 这 个 平 台 上 ， 使 用 了 下 面 的 这 些 工 具 ： E L K :   优 雅 地 可 视 化 T - P o t 捕 获 到 的 攻 击 事 件 E l a s t i c s e a r c h - h e a d :   一 个 w e b 前 端 来 浏 览 和 操 作 E l a s t i c S e a r c h 集 群     N e t d a t a :   实 时 性 能 监 控 P o r t a i n e r :   d o c k e r 的 w e b 操 作 界 面 S u r i c a t e :   开 源 的 网 络 安 全 威 胁 检 测 引 擎 。 W e t t y :   w e b 界 面 的 s s h 客 户 端 T - P o t   是 基 于 U b u n t u   s e r v e r   1 6 . 0 4 T L S   的 网 络 安 装 ， 因 此 安 装 过 程 中 一 定 需 要 保 证 联 网 。 这 些 蜜 罐 守 护 程 序 或 者 其 他 组 件 都 通 过 d o c k e r 虚 拟 化 技 术 提 供 。 这 样 可 以 使 我 们 在 一 个 网 卡 上 运 行 多 个 蜜 罐 系 统 ， 并 且 整 个 系 统 更 好 维 护 。 这 些 蜜 罐 程 序 封 装 在 d o c k e r 容 器 中 提 供 了 良 好 的 隔 离 环 境 并 且 更 容 易 更 新 。   这 些 事 件 可 以 通 过 数 据 分 析 工 具 e w s p o s t e r 进 行 关 联 ， 也 支 持 蜜 网 项 目 h p f e e d s 数 据 分 享 。 T - P o t 蜜 罐 平 台 结 构 图 ： 蜜 罐 平 台 结 构 图 ：
在 d o c k e r 中 的 所 有 数 据 是 隔 离 里 ， 一 旦 d o c k e r 容 器 崩 溃 ， d o c k e r 容 器 环 境 产 生 的 所 有 数 据 都 会 消 失 并 重 启 一 个 新 的 d o c k e r 实 例 。 因 此 ， 对 于 有 些 数 据 需 要 永 久 保 存 ， 例 如 配 置 文 件 ， 在 主 机 上 有 个 永 久 存 储 目 录 / d a t a / ，   在 系 统 或 者 容 器 重 启 后 都 能 持 续 有 效 。 重 要 的 日 志 数 据 也 通 过 d o c k e r   指 定 v u l u m e 选 项 存 储 在 容 器 外 的 主 机 文 件 系 统 / d a t a / < c o n t a i n e r - n a m e > 中 ，   容 器 里 的 应 用 程 序 能 够 将 日 志 记 录 到 该 目 录 下 。 该 平 台 需 要 满 足 硬 件 要 求 ：   T - P o t   安 装 需 要 至 少 4 G   内 存 ，   6 4 G   磁 盘 空 间 ，   并 且 联 网 。   该 系 统 安 装 步 骤 ： 该 系 统 安 装 步 骤 ： 1 .     下 载 下 载   t o p . i s o   或 者 自 己 创 建 操 作 系 统 环 境 。 或 者 自 己 创 建 操 作 系 统 环 境 。 2 .     安 装 到 联 网 的 安 装 到 联 网 的 V M 或 者 物 理 机 上 。 安 装 过 程 跟 普 通 安 装 或 者 物 理 机 上 。 安 装 过 程 跟 普 通 安 装 U b u n t u   过 程 一 样 ， 过 程 一 样 ，   其 中 需 要 为 其 中 需 要 为 t s e c 用 户 设 置 密 码 。 用 户 设 置 密 码 。 3 .   正 常 安 装 系 统 后 ， 第 一 次 启 动 系 统 时 将 选 择 安 装 类 型 ， 此 时 将 根 据 选 择 下 载 安 装 相 应 容 器 服 务 正 常 安 装 系 统 后 ， 第 一 次 启 动 系 统 时 将 选 择 安 装 类 型 ， 此 时 将 根 据 选 择 下 载 安 装 相 应 容 器 服 务 。   有 4 种 安 装 类 型 ， 不 同 安 装 类 型 需 要 的 满 足 要 求 不 一 样 ，   我 们 这 里 选 典 型 T - P o t 安 装 。 1 ） T - P o t   I n s t a l l a t i o n   ( C o w r i e ,   D i o n a e a ,   E l a s t i c P o t ,   G l a s t o p f ,   H o n e y t r a p ,   E L K ,   S u r i c a t a + P 0 f   &   T o o l s ) 2 ） S e n s o r   I n s t a l l a t i o n   ( C o w r i e ,   D i o n a e a ,   E l a s t i c P o t ,   G l a s t o p f ,   H o n e y t r a p ) 3 ） I n d u s t r i a l   I n s t a l l a t i o n   ( C o n P o t ,   e M o b i l i t y ,   E L K ,   S u r i c a t a + P 0 f   &   T o o l s ) 4 ） E v e r y t h i n g   I n s t a l l a t i o n   ( E v e r y t h i n g ,   a l l   o f   t h e   a b o v e ) 后 面 设 置 w e b   账 号 密 码 ， 再 填 写 一 些 相 关 信 息 ， 自 动 完 成 d o c k e r 镜 像 安 装 下 载 ， 安 装 成 功 后 重 新 启 动 系 统 进 入 如 下 页 面 ：
其 中 红 色 的 为 公 网 i p 地 址 。 可 能 在 安 装 过 程 中 由 于 源 的 原 因 或 者 网 络 不 稳 定 造 成 安 装 失 败 ， 这 时 后 面 可 以 登 录 到 系 统 ， 用 户 名 为 t s e c ,   密 码 为 安 装 系 统 时 设 置 的 密 码 ，   进 行 s u d o   s u   操 作 提 升 权 限 ， 手 动 执 行 / r o o t / i n s t a l l . s h 的 安 装 脚 本 ，   脚 本 检 测 出 不 是 第 一 次 安 装 将 自 动 终 止 ， 这 是 需 要 清 除 一 下 文 件 / r o o t / i n s t a l l . e r r ,   / r o o t / i n s t a l l . l o g 以 及 后 面 的 错 误 提 醒 ， 也 可 以 根 据 实 际 情 况 注 释 掉 脚 本 已 经 完 成 的 工 作 ，   只 继 续 进 行 中 断 未 完 成 的 命 令 。   4 .     开 始 愉 快 的 使 用 吧 。 开 始 愉 快 的 使 用 吧 。 通 过 浏 览 器 访 问 h t t p s : / / i p : 6 4 2 9 7 访 问 T - P o t 控 制 面 板 。 通 过 安 装 时 创 建 的 w e b   账 户 密 码 验 证 登 录 。 前 面 我 们 已 经 将 各 攻 击 事 件 通 过 K i b a n a 面 板 展 示 出 来 了 ，   我 们 也 可 以 根 据 自 己 的 需 要 设 计 这 些 面 板 可 视 化 展 示 。 这 里 为 了 捕 获 到 攻 击 ， 需 要 将 T - P o t 平 台 放 置 在 互 联 网 上 ， 否 则 捕 获 不 到 任 何 攻 击 。 我 这 里 通 过 在 路 由 器 上 设 置 D M Z 将 T - P o t 放 到 互 联 网 上 。 如 果 你 是 路 由 器 做 一 个 N A T 转 换 来 实 现 的 话 ， 这 里 需 要 把 这 些 端 口 做 N A T 转 换 。 T - P o t 平 台 不 仅 提 供 了 蜜 罐 数 据 捕 获 ， 还 有 强 大 的 E L K 进 行 数 据 处 理 分 析 ，   还 能 够 处 理 E l k 集 群 ， 把 T - P o t 中 集 成 的 多 蜜 罐 可 以 分 布 式 部 署 在 多 个 系 统 上 进 行 数 据 捕 获 并 统 一 提 供 可 视 化 分 析 展 示 。
还 提 供 d o c k e r 的 w e b 控 制 界 面 ， 直 接 可 以 通 过 w e b 界 面 来 管 理 控 制 我 们 的 各 个 蜜 罐 容 器 。 也 能 够 根 据 需 要 设 计 自 己 的 容 器 蜜 罐 或 容 器 服 务 。 还 提 供 了 W e b   s s h   客 户 端 ， 通 过 w e b 控 制 台 直 接 就 登 录 了 系 统 进 行 操 作 了 ， 系 统 实 际 的 2 2 端 口   s s h 服 务 其 实 是 一 个 c o w r i e 蜜 罐 。   这 样 我 们 通 过 控 制 台 就 能 方 便 的 登 录 到 实 际 系 统 ，   设 计 方 便 。 还 有 强 大 的 系 统 性 能 监 控 平 台 ， 实 时 监 控 主 机 系 统 和 各 容 器 资 源 使 用 情 况 。
你 也 可 以 使 用 I S O   C r e a t o r   来 创 建 你 自 己 的 I S O 安 装 镜 像 。 创 建 镜 像 要 求 ： 创 建 镜 像 要 求 ： U b u n t u   1 6 . 0 4   L T S   或 者 更 新 的 系 统 作 为 主 机 系 统 ， 其 他 系 统 没 有 测 试 ， 至 少 4 G 内 存 ， 3 2 G 磁 盘 空 间 。 创 建 创 建 I S O 镜 像 ： 镜 像 ： 1 .           克 隆 仓 库 并 进 入 目 录 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c / t p o t c e . g i t c d   t p o t c e 2 .           调 用 脚 本 来 建 立 I S O 镜 像 ，   这 个 脚 本 将 下 载 安 装 一 些 必 须 的 依 赖 包 。 它 将 下 载 T - P o t 基 于 的 u b u n t u 网 络 安 装 镜 像 （ 大 约 5 0 M ） . s u d o . / m a k e i s o . s h 成 功 后 你 将 在 目 录 下 发 现 t p o t . i s o 和 t p o t . s h a 2 5 6 两 个 文 件 。 现 在 可 以 方 便 的 玩 蜜 罐 了 。 前 段 时 间 自 己 也 封 装 了 一 些 d o c k e r 高 交 互 蜜 罐 容 器 ， 现 在 可 以 方 便 地 集 成 到 T - P o t 平 台 上 了 ，   让 蜜 罐 部 署 更 简 单 ，   功 能 更 丰 富 。 * 本 文 作 者 ： 失 路 之 人 ， 转 载 请 注 明 来 自 F r e e B u f . c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理