Развёртывание и управление honeypot‑сетями на базе Termux

Honeypot‑сети позволяют имитировать уязвимые сервисы и собрать ценные данные о злоумышленниках. Благодаря мобильному Linux‑окружению Termux такие сети можно развернуть даже на Android‑устройствах, что открывает новые возможности для полевых исследований и обучения.

1. Подготовка среды Termux

Перед началом работы необходимо обновить репозитории и установить базовые инструменты.

pkg update && pkg upgrade -y
pkg install git python curl wget unzip -y
pkg install termux-services tmux -y

Для постоянного доступа к терминалу рекомендуется включить termux-wake-lock и termux-setup-storage:

termux-wake-lock
termux-setup-storage

2. Выбор платформы honeypot

Среди популярных open‑source решений, работающих в среде Python, наиболее удобными для Termux являются:

Cowrie – SSH/Telnet‑honeypot.
Dionaea – ловит эксплойты, работающие через протоколы SMB, FTP, HTTP и др.
Honeyd – виртуализирует целый набор хостов и сервисов.

В примере будем разворачивать Cowrie, так как он не требует привилегий root и легко настраивается.

3. Установка Cowrie

Клонируем репозиторий и создаём виртуальное окружение:

git clone https://github.com/cowrie/cowrie.git ~/cowrie
cd ~/cowrie
python -m venv venv
source venv/bin/activate
pip install --upgrade pip
pip install -r requirements.txt

После установки генерируем ключи SSH, необходимые для эмуляции сервера:

./bin/cowrie-keygen

4. Базовая конфигурация

Конфигурационный файл находится по пути cowrie.cfg. Внесём минимальные изменения:

# /data/data/com.termux/files/home/cowrie/etc/cowrie.cfg
[honeypot]
listen_port = 2222      ; порт, на котором будет слушать Cowrie
ssh_version_string = SSH-2.0-OpenSSH_7.4

Для доступа из внешней сети потребуется проброс порта. Самый простой способ – использовать ngrok (или cloudflared).

5. Проброс порта с помощью ngrok

Установим ngrok и создадим туннель:

wget https://bin.equinox.io/c/4VmDzA7iaHb/ngrok-stable-linux-arm.zip -O ngrok.zip
unzip ngrok.zip -d $HOME/.local/bin
chmod +x $HOME/.local/bin/ngrok
ngrok authtoken YOUR_NGROK_AUTH_TOKEN
ngrok tcp 2222 &

После запуска в консоли появится публичный адрес tcp://0.tcp.ngrok.io:XXXXX, который можно использовать в качестве точки входа для атак.

6. Управление процессом

Для надёжного запуска Cowrie в фоне удобно использовать tmux или termux-services. Пример с tmux:

tmux new -s cowrie "source ~/cowrie/venv/bin/activate && ~/cowrie/bin/cowrie start"

Для автоматического запуска при старте Termux добавим скрипт в ~/.termux/boot (требуется termux-boot плагин):

# ~/.termux/boot/start_cowrie.sh
#!/data/data/com.termux/files/usr/bin/sh
source $HOME/cowrie/venv/bin/activate
$HOME/cowrie/bin/cowrie start

Не забудьте сделать файл исполняемым:

chmod +x ~/.termux/boot/start_cowrie.sh

7. Сбор и визуализация логов

Cowrie сохраняет события в JSON‑формате в директорию log/. Для их анализа удобно подключить лёгкий стэк ELK (Elasticsearch + Logstash + Kibana) в облаке или воспользоваться готовыми сервисами, например Honeycomb. Пример отправки логов через curl:

while true; do
  for f in $HOME/cowrie/log/*.json; do
    curl -XPOST -H "Content-Type: application/json" -d @"$f" https://your-elk-instance/api/logs;
    rm "$f"
  done
  sleep 60
done &

Для локального просмотра можно установить goaccess и выводить статистику в терминале:

pkg install goaccess -y
goaccess -f $HOME/cowrie/log/cowrie.log --log-format=COMBINED

8. Обновление и безопасность

Регулярно обновляйте репозиторий и зависимости:

cd ~/cowrie
git pull
source venv/bin/activate
pip install -r requirements.txt --upgrade

Не храните токены и пароли в открытом виде. Для ngrok используйте переменные окружения:

export NGROK_AUTHTOKEN=YOUR_NGROK_AUTH_TOKEN
ngrok tcp 2222 &

9. Масштабирование сети honeypot

Для создания полноценной сети можно развернуть несколько экземпляров Cowrie (или комбинировать с Dionaea) на разных устройствах и объединить их через VPN (например, wireguard в Termux):

pkg install wireguard-tools -y
wg genkey | tee privatekey | wg pubkey > publickey
# Далее настройте конфигурацию wg0.conf и запустите wg-quick up wg0

Все honeypot‑устройства будут доступны внутри виртуального подсети, а собранные данные можно централизовать на сервере аналитики.

10. Заключение

Termux предоставляет полноценную Linux‑среду на мобильных устройствах, позволяя быстро развернуть и управлять honeypot‑сетями без необходимости в отдельном сервере. С помощью описанных инструментов (Cowrie, ngrok, tmux, wireguard) вы получаете гибкую и мобильную платформу для исследований киберугроз.

Если вам необходима профессиональная настройка, аудит безопасности или интеграция собранных данных в корпоративные SIEM‑системы, команда RybinskLab готова предложить услуги по:

развёртыванию и кастомизации honeypot‑сетей под ваши задачи;
интеграции с облачными аналитическими платформами (ELK, Splunk, Grafana);
постоянному мониторингу и реагированию на инциденты.

Свяжитесь с нами, чтобы получить консультацию и построить надёжную систему раннего обнаружения угроз уже сегодня.