Реализация мобильного honeypot'а в Termux: развёртывание Cowrie и сбор данных о атаках в облачном хранище

В современном мире кибербезопасности понимание методов и инструментов, используемых злоумышленниками, играет ключевую роль в защите информационных систем. Honeypot – это система, намеренно уязвимая для атак, предназначенная для сбора информации о злоумышленниках, их тактиках и инструментах. В данной статье мы рассмотрим развертывание honeypot'а на мобильном устройстве с использованием Termux и Cowrie, а также настройку сбора данных в облачное хранилище. Целью является получение практического опыта анализа атак и повышения общего уровня безопасности.

Что такое Termux и Cowrie?

Termux – это эмулятор терминала и среды Linux для Android, позволяющий установить и использовать различные инструменты командной строки без root-доступа. Это делает его отличной платформой для экспериментов с безопасностью.

Cowrie – это honeypot среднего уровня взаимодействия, имитирующий SSH и Telnet сервисы. Он разработан для регистрации и анализа атак, направленных на эти протоколы, предоставляя ценную информацию о методах злоумышленников.

Необходимые инструменты и подготовка

Установленный Termux на Android-устройстве.
Доступ к облачному хранилищу (например, Google Drive, Dropbox, Yandex Disk).
Базовые знания командной строки Linux.

Перед началом работы убедитесь, что у вас установлена последняя версия Termux и настроено подключение к сети. Для более безопасной и изолированной среды рекомендуется использовать VPN для создания локальной сети, не предназначенной для обхода каких-либо блокировок, а исключительно для организации защищенного канала связи.

Установка и настройка Cowrie в Termux

Первым шагом является установка необходимых пакетов:

pkg update && pkg upgrade

pkg install git python3 python3-pip python3-virtualenv libssl-dev make gcc

Далее клонируем репозиторий Cowrie:

git clone https://github.com/cowrie/cowrie.git

Переходим в директорию Cowrie:

cd cowrie

Создаем виртуальное окружение:

virtualenv --python=python3 venv

Активируем виртуальное окружение:

source venv/bin/activate

Устанавливаем зависимости:

pip3 install --upgrade pip && pip3 install -r requirements.txt

Копируем файлы конфигурации:

cp cowrie.cfg.dist cowrie.cfg

Редактируем cowrie.cfg, настраивая параметры honeypot'а, такие как порты для прослушивания, логирование и т.д. Важно внимательно изучить конфигурационный файл и настроить его в соответствии с вашими потребностями.

Настройка сбора данных в облачное хранилище

Для автоматической отправки логов Cowrie в облачное хранилище можно использовать скрипты или инструменты синхронизации. В качестве примера, рассмотрим использование rclone для синхронизации логов с Google Drive:

pkg install rclone

rclone config

Следуйте инструкциям rclone для настройки доступа к вашему Google Drive. После настройки создайте скрипт, который будет периодически копировать логи Cowrie в Google Drive:

#!/bin/bash
# Скрипт для синхронизации логов Cowrie с Google Drive

LOG_DIR="/data/data/com.termux/files/home/cowrie/log"
DRIVE_REMOTE="gdrive:cowrie_logs" # Замените на ваш remote rclone

rclone sync "$LOG_DIR" "$DRIVE_REMOTE"

Сделайте скрипт исполняемым:

chmod +x sync_logs.sh

Добавьте скрипт в cron для автоматического запуска:

termux-wake-lock # Чтобы скрипт работал в фоне
crontab -e

Добавьте строку, например, для запуска скрипта каждые 5 минут:

/5    * /data/data/com.termux/files/home/sync_logs.sh

Запуск Cowrie и анализ атак

Запустите Cowrie:

./start.sh

Cowrie начнет прослушивать настроенные порты и записывать все входящие соединения и действия в логи. После того, как атака будет зафиксирована, вы сможете проанализировать логи для получения информации о злоумышленнике, его IP-адресе, используемых командах и т.д.

Логи будут также автоматически синхронизироваться с вашим облачным хранилищем, обеспечивая их сохранность и доступность для анализа.

Заключение

В данной статье мы рассмотрели процесс развертывания мобильного honeypot'а на базе Termux и Cowrie. Этот подход позволяет получить ценную информацию об актуальных угрозах и методах атак, а также повысить общий уровень безопасности вашей сети. Важно помнить о соблюдении законодательства РФ при проведении подобных экспериментов и использовать полученные знания только в целях защиты информации.

Если вам требуется профессиональная помощь в области кибербезопасности, включая аудит безопасности, тестирование на проникновение и разработку стратегий защиты, обращайтесь в РыбинскЛАБ. Наши эксперты помогут вам обеспечить надежную защиту ваших информационных систем.