HoneyWire

📋 جدول المحتويات

• نظرة عامة
• العرض التوضيحي
• معيار الحدث الشامل
• الميزات
• البنية المعمارية
• دليل البدء السريع
• ملاحظات الأمان
• التقنيات
• التحكم في الإصدارات ومرجع API

نظرة عامة

HoneyWire هو أداة خفيفة لبناء أنظمة إنذار أمني مبكر عالي الإشارة وموزعة، مصممة للشبكات الداخلية. تستفيد من بنيتها وتجربة المستخدم لتجعل من السهل جداً بناء خادم Cyber Canary جديد أو نشر HoneyWires على الخوادم الموجودة. باستخدام تقنية الخداع، تستبدل نهج "العدسة المكبرة" في أنظمة SIEM التقليدية التي غالباً ما تُغرق المحللين بالإنذارات الكاذبة، بمراقبة حركة المرور المشروعة عبر نموذج High-Fidelity Tripwire.

ضع المستشعر بالضبط حيث تريده. إذا انطلق، فلديك متسلل.

• Production Tripwires: أطلق الإنذار عندما يتم استهداف الخدمات النشطة بطرق غير مسموح بها. بوضع مستشعر على ملف حساس لا يجب قراءته أبداً أو منفذ خدمة لا يجب الوصول إليه أبداً، يمكنك تحديد المتسللين من خلال انحرافهم عن "المسار المصرح به".
• الخداع الاصطناعي: انشر أفخاخاً مثل ICMP Canary أو Network Scan Detector لتكون بمثابة أفخاخ خادعة. وبما أن هذه المستشعرات لا تقدم أي قيمة تجارية مشروعة، فإن 100% من حركة المرور الخاصة بها هي استخبارات قابلة للتنفيذ.

قم بإعداد عدة مستشعرات وستبدأ في الحصول على فكرة واضحة عن الحركة الجانبية للمتسلل. لا ضبط مطلوب، لا ضوضاء، فقط أدلة جنائية فورية. إذا كان لديك ماسحات أمنية آلية مشروعة تُطلق HoneyWires، فما عليك سوى إضافتها إلى القائمة البيضاء من إعدادات Hub.

العرض التوضيحي

🔌 معيار الحدث الشامل (أحضر مستشعرك الخاص)

مستشعرات المجتمع

ملاحظة: إذا قمت ببناء مستشعرك باستخدام SDKs الرسمية لـ HoneyWire، فإن تنسيق JSON وتسليمه سيتم التعامل معه تلقائياً.

القوة الحقيقية لـ HoneyWire هي أن Hub و Wizard مستقلان تماماً عن نوع المستشعر. لست مقيداً بالمستشعرات الرسمية المضمنة.

من خلال الالتزام بـ HoneyWire Event Standard V2.0، يمكنك كتابة سكربت بأي لغة (Bash, Go, Rust, Python) لمراقبة أي شيء، وستقوم واجهة Sentinel بتحليل بياناتك الجنائية وعرضها مع إبراز الصيغة البرمجية ديناميكياً.

سواء كان محرك Deep Packet Inspection (DPI)، أو DNS sinkhole، أو Canary Token مضمّناً في ملف PDF، أو Email Honeypot، أو TCP Port Tripwire بسيطاً، فقط أرسل حمولة JSON الخاصة بـ Universal Event Standard إلى Hub.

عرض عقد بيانات الأحداث الكامل هنا

الميزات

• واجهة Sentinel Hub: لوحة تحكم متجاوبة بالكامل مبنية بـ Vue 3، تتيح فحص حمولات الأدلة الجنائية الديناميكية، ونشر وإدارة Nodes و Sensors، بما في ذلك تحديثات المستشعرات، مباشرة من الواجهة.
  • إشعارات الدفع الشاملة: تكامل أصلي بدون تبعيات لتوجيه التنبيهات الحرجة إلى Discord, Slack, Ntfy, Gotify.
  • تكامل SIEM للمؤسسات: إعادة توجيه Syslog أصلية وفق RFC5424 (عبر TCP/UDP) لإرسال القياسات الهيكلية بسلاسة إلى Splunk, Elastic, Wazuh, أو Vector.
• Setup Wizard: أداة لأتمتة النشر والاختبار، طُوّرت خصيصاً بحيث لا تكون وكيلاً يعمل على مدار الساعة. إنها أداة CLI بنمط TUI تُبسّط مهام المشغل مثل تطبيق ومزامنة الحالة المطلوبة للـ Hub لعقدة معينة، وتتعامل تلقائياً مع الإعداد والنشر والتراجع عند فشل عمليات النشر.
• مجموعة HoneyWires الرسمية: تتضمن TCP Tarpit الأصلي، وWeb Router Decoy، وFile Canary (FIM)، وICMP Canary، وNetwork Scan Detector.

البنية المعمارية

تنقسم HoneyWire إلى أربع خدمات مصغّرة مستقلة:

1. /Hub: العقل المركزي. ملف ثنائي بلغة Go نقي يشغّل قاعدة بيانات SQLite مدمجة ولوحة تحكم Vue.js. يعمل كمستخدم غير جذر داخل حاوية Distroless، مع تثبيت البيانات بأمان على وحدة تخزين مخصصة.
2. /Sensors: العقد الخادعة. ملفات ثنائية بلغة Go مرتبطة ارتباطاً ثابتاً تستمع على المنافذ الضعيفة، وتصطاد المهاجمين، وترسل بيانات الاختراق بأمان إلى Hub.
3. /SDKs: مكتبات رسمية (مثل sdk-go) تتعامل مع الاتصال الآمن بـ Hub ليتمكن مطورو المجتمع من بناء مستشعرات جديدة بسهولة.
4. /wizard: أداة سطر الأوامر الخاصة بـ Setup wizard لأتمتة مهام المشغل مثل اكتشاف HoneyWires ونشرها واختبارها.

اطّلع على وثائق البنية المعمارية الكاملة اقرأ دليل عمليات المستخدم

🚀 دليل البدء السريع

يستغرق نشر HoneyWire Hub أقل من 60 ثانية باستخدام صور حاويات GitHub الجاهزة.

1. نشر Hub

أنشئ دليلاً جديداً على خادمك، وأنشئ ملف docker-compose.yml، والصق ما يلي:

services:
  # 1. THE PERMISSION FIXER: Runs once to ensure the Hub can write to the data volume
  permission-fixer:
    image: alpine:latest
    container_name: honeywire-permission-fixer
    command: sh -c "chown -R 65532:65532 /data"
    volumes:
      - ./honeywire_data:/data

  # 2. THE HUB: The central Go-based dashboard and API
  hub:
    image: ghcr.io/andreicscs/honeywire-hub:latest
    container_name: honeywire-hub
    restart: unless-stopped
    ports:
      - "8080:8080"
    volumes:
      - ./honeywire_data:/data
    depends_on:
      permission-fixer:
        condition: service_completed_successfully
        
    # Strict Security Sandbox
    user: "65532:65532"
    read_only: true
    cap_drop: ["ALL"]
    security_opt: ["no-new-privileges:true"]
    
    environment:
      - HW_ENV=development # Required if not using HTTPS, or the cookie will have the secure flag set, in production it is highly recommended to remove this and run this behind a reverse proxy using https
      - HW_PORT=8080
      - HW_DB_PATH=/data/honeywire.db
      # Optional: Hardcode the dashboard password (disables the UI password reset feature)
      # - HW_DASHBOARD_PASSWORD=admin

شغّل Hub:

docker compose up -d

2. تهيئة النظام

انتقل إلى http://<your-server-ip>:HW_PORT في متصفحك. ستظهر لك شاشة Initialize Sentinel.

1. أنشئ كلمة المرور الرئيسية.
2. تحقق من عنوان Hub Endpoint (IP/URL الذي ستصل من خلاله المستشعرات إلى Hub).
3. انقر على "Initialize Hub".

3. نشر المستشعرات

1. أنشئ Node جديدة والصق الأمر المقدم لتثبيت Setup Wizard وربطه بالـ hub.
2. ثبّت المستشعرات مباشرة من Hub ثم شغّل honeywire apply على العقدة لمزامنة الحالة المطلوبة، أو شغّل honeywire discover للسماح لـ Setup wizard بفحص البيئة تلقائياً واقتراح HoneyWires.

4. اختبار HoneyWires

بمجرد تشغيل الحاويات، يجب أن يظهر مستشعر Tarpit بحالة ONLINE خلال 30 ثانية. شغّل honeywire firedrill لجعل HoneyWires ترسل حدثاً تجريبياً إلى الـ hub لاختبار الاتصال.

ملاحظة: للتعمق أكثر في إدارة العقد وتحديث المستشعرات ومعالجة التراجع، راجع دليل عمليات المستخدم.

ملاحظات الأمان

• نموذج التهديد: للتعمق في حدود الثقة ومخاطر البنية وقواعد العزل، راجع THREATMODEL.md.
• مفاتيح العقد: تأكد من أن مستشعراتك تستخدم Node Key الفريد الخاص بها للتواصل مع Hub. سيرفض Hub أي حمولات بمفاتيح غير متطابقة أو غير صالحة.
• تفعيل النظام: يمكنك تبديل زر "System Armed" في واجهة Hub لتعطيل الإشعارات الفورية مؤقتاً أثناء صيانة الشبكة الداخلية أو فحص الثغرات.
• تقوية الحاوية: يستخدم HoneyWire gcr.io/distroless/static-debian12:nonroot. نتبع مبدأ الامتياز الأقل لضمان احتواء أي اختراق للحاوية.
• النشر الموزع: يُوصى بشدة بتشغيل Hub ومستشعراته على أجهزة مادية أو افتراضية منفصلة. إذا اخترق مهاجم عقدة مستشعر، فلا ينبغي أن يكون لديه وصول محلي فوري إلى Hub المركزي.
• ⚠️ التشفير (HTTPS): قدّم دائماً واجهة ويب Hub و API عبر HTTPS باستخدام وكيل عكسي (مثل Nginx أو Caddy أو Traefik) في بيئة الإنتاج. عدم القيام بذلك يعرّض كلمة مرور لوحة التحكم ومفاتيح العقد لالتقاط حركة المرور.

التقنيات

• الواجهة الخلفية: Go 1.25, net/http (المكتبة القياسية), SQLite (ModernC Pure Go Driver)
• الواجهة الأمامية: Vue 3 (Composition API), TailwindCSS, Chart.js
• البنية التحتية: Docker, Docker Compose v5.0.0+

التحكم في الإصدارات ومرجع API

• تتم إدارة إصدارات HoneyWire عبر Git Tags.
• نقطة نهاية Hub:
  • GET /api/v2/version → ترجع { "version": "v2.x.x" }
• ملف وثائق API: API.md مع مرجع كامل لمسارات الواجهة الخلفية وحمولات نموذجية.