Построение распределённого honeypot‑кластера в Termux с использованием Cowrie, Dionaea и Elastic Stack

Honeypot – это система, предназначенная для имитации реальных целей, чтобы привлечь злоумышленников и собрать информацию об их методах и инструментах. В этой статье мы рассмотрим, как создать распределённый honeypot-кластер в Termux, используя популярные honeypot-фреймворки Cowrie и Dionaea, а также систему централизованного сбора и анализа логов – Elastic Stack (Elasticsearch, Logstash, Kibana). Данная конфигурация позволяет эффективно отслеживать и анализировать попытки несанкционированного доступа к вашей инфраструктуре или сети.

Необходимые инструменты и подготовка

Для реализации данного проекта вам потребуется:

Смартфон или виртуальная машина с установленной Termux.
Доступ к сети Интернет.
Несколько экземпляров Termux (для создания распределенного кластера).
Базовые знания Linux и командной строки.

Установите Termux на необходимое количество устройств. Обновите пакеты:

pkg update && pkg upgrade -y

Установите необходимые пакеты:

pkg install python git wget curl vim -y

Установка и настройка Cowrie

Cowrie – это honeypot, имитирующий SSH и Telnet сервисы. Он предназначен для сбора информации о попытках взлома этих служб.

git clone https://github.com/cowrie/cowrie.git

cd cowrie

./install.sh

После установки отредактируйте файл cowrie.cfg, чтобы настроить параметры honeypot, включая порты, пользователей и другие параметры. Важно изменить настройки по умолчанию, чтобы не пересекаться с другими honeypot-ами в сети.

vim cowrie.cfg

Запустите Cowrie:

./start.sh

Установка и настройка Dionaea

Dionaea – это honeypot, имитирующий различные сетевые сервисы, такие как SMB, HTTP, FTP и другие. Он предназначен для сбора информации об эксплойтах и вредоносном ПО.

git clone https://github.com/Dionaea/Dionaea.git

cd Dionaea

./configure && make && make install

Настройте Dionaea, отредактировав файл dionaea.conf. Определите сервисы, которые будут эмулироваться, и параметры их поведения.

vim dionaea.conf

Запустите Dionaea:

./dionaea -d

Централизованный сбор логов с помощью Elastic Stack

Для централизованного сбора и анализа логов Cowrie и Dionaea мы будем использовать Elastic Stack. Установим Logstash, Elasticsearch и Kibana на одном из экземпляров Termux (или на выделенном сервере).

Установка и настройка Elasticsearch

Внимание! Elasticsearch требует значительных ресурсов. Termux может быть недостаточно производительным для обработки большого объема логов. Рекомендуется использовать выделенный сервер.

wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-7.17.10-linux-arm64.tar.gz

tar -xvf elasticsearch-7.17.10-linux-arm64.tar.gz

Настройте config/elasticsearch.yml. Укажите сетевые параметры, размер памяти и другие параметры.

Запустите Elasticsearch:

./bin/elasticsearch

Установка и настройка Logstash

Logstash будет собирать логи с honeypot-ов и отправлять их в Elasticsearch.

wget https://artifacts.elastic.co/downloads/logstash/logstash-7.17.10-linux-arm64.tar.gz

tar -xvf logstash-7.17.10-linux-arm64.tar.gz

Создайте файл конфигурации Logstash (например, cowrie.conf):

input {
  file {
    path => "/path/to/cowrie/log/cowrie.json"
    start_position => "beginning"
  }
}
filter {
  json {
    source => "message"
  }
}
output {
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "cowrie-%{+YYYY.MM.dd}"
  }
}

Запустите Logstash:

./bin/logstash -f cowrie.conf

Аналогично настройте Logstash для сбора логов Dionaea.

Установка и настройка Kibana

Kibana предоставляет веб-интерфейс для анализа логов, хранящихся в Elasticsearch.

wget https://artifacts.elastic.co/downloads/kibana/kibana-7.17.10-linux-arm64.tar.gz

tar -xvf kibana-7.17.10-linux-arm64.tar.gz

Настройте config/kibana.yml. Укажите адрес Elasticsearch.

Запустите Kibana:

./bin/kibana

Откройте Kibana в браузере по адресу http://localhost:5601 и настройте панели мониторинга для анализа логов Cowrie и Dionaea.

Распределение Honeypot-ов

На каждом экземпляре Termux установите и настройте Cowrie и/или Dionaea. Настройте отправку логов на центральный сервер с Elastic Stack.

Заключение

В этой статье мы рассмотрели, как построить распределённый honeypot-кластер в Termux с использованием Cowrie, Dionaea и Elastic Stack. Эта конфигурация позволяет эффективно собирать и анализировать информацию об атаках, что может быть полезно для повышения безопасности вашей инфраструктуры.

РыбинскЛАБ предоставляет услуги по аудиту информационной безопасности, пентесту и внедрению систем обнаружения вторжений. Мы поможем вам защитить ваш бизнес от киберугроз. Свяжитесь с нами для получения консультации: https://rybinsklab.ru