HoneyWire

📋 جدول المحتويات

• نظرة عامة
• عرض توضيحي
• معيار الأحداث العالمي
• الميزات
• البنية المعمارية
• دليل البدء السريع
• ملاحظات أمنية
• المكدس التقني
• خارطة الطريق والتطوير
• إدارة الإصدارات ومرجع API

نظرة عامة

HoneyWire هو نظام خفيف الوزن وموزّع لبناء أنظمة الإنذار الأمني المبكر عالية الإشارة، مصمم للشبكات الداخلية. يستفيد من بنيته المعمارية وتجربة المستخدم ليجعل بناء خادم Cyber Canary جديد أو نشر HoneyWires على خوادم قائمة أمرًا سهلاً للغاية. باستخدام تقنية الخداع، يستبدل نهج "العدسة المكبرة" لأنظمة SIEM التقليدية التي غالبًا ما تُغرق المحللين بالإنذارات الكاذبة عبر مراقبة حركة المرور المشروعة، بنموذج High-Fidelity Tripwire.

ضع مستشعرًا في المكان الذي تريده بالضبط. إذا انطلق، فلديك متسلل.

• Production Tripwires: أطلق الإنذار عندما يتم استكشاف الخدمات النشطة بطرق لا ينبغي لها. بوضع مستشعر على ملف حساس لا ينبغي قراءته أبدًا أو منفذ خدمة لا ينبغي الوصول إليه أبدًا، يمكنك تحديد المتسللين من خلال انحرافهم عن "المسار المصرح به".
• Synthetic Deception: انشر الطُعم مثل ICMP Canary أو Network Scan Detector لتعمل كأفخاخ. نظرًا لأن هذه المستشعرات لا توفر أي قيمة تجارية مشروعة، فإن 100% من حركة المرور الخاصة بها هي استخبارات قابلة للتنفيذ.

قم بإعداد عدة مستشعرات وستبدأ في الحصول على فكرة واضحة إلى حد ما عن الحركة الجانبية للمتسلل. لا ضبط، لا ضوضاء، فقط أدلة جنائية فورية. إذا كان لديك ماسحات أمنية آلية مشروعة تُطلق HoneyWires، فما عليك سوى إضافتها إلى القائمة البيضاء من إعدادات Hub.

عرض توضيحي

🔌 معيار الأحداث العالمي (أحضر مستشعرك الخاص)

مستشعرات المجتمع

ملاحظة: إذا قمت ببناء مستشعرك باستخدام HoneyWire SDKs الرسمية، فسيتم التعامل مع تنسيق JSON هذا وتسليمه تلقائيًا نيابةً عنك.

القوة الحقيقية لـ HoneyWire هي أن Hub وWizard مستقلان تمامًا عن المستشعرات. لست مقيدًا بالمستشعرات الرسمية المضمنة.

من خلال الالتزام بـ HoneyWire Event Standard V2.0، يمكنك كتابة سكربت بأي لغة (Bash، Go، Rust، Python) لمراقبة أي شيء، وستقوم واجهة Sentinel بتحليل البيانات الجنائية الخاصة بك وتمييزها وتركيبها ديناميكيًا.

سواء كان محرك Deep Packet Inspection (DPI)، أو DNS sinkhole، أو Canary Token مضمّنًا في PDF، أو Email Honeypot، أو مجرد TCP Port Tripwire بسيط، فقط أرسل حمولة JSON الخاصة بـ Universal Event Standard إلى Hub.

عرض عقد بيانات الأحداث الكامل هنا

الميزات

• واجهة Sentinel Hub UI: لوحة تحكم سريعة الاستجابة بالكامل مدعومة بـ Vue 3، وتتميز بفحص ديناميكي للحمولات الجنائية، ونشر وإدارة Nodes وSensors، بما في ذلك تحديثات المستشعرات، مباشرة من الواجهة.
  • Universal Push Notifications: تكامل أصلي بدون تبعيات لتوجيه التنبيهات الحرجة إلى Discord وSlack وNtfy وGotify.
  • Enterprise SIEM Integration: إعادة توجيه أصلية لسجلات RFC5424 Syslog (TCP/UDP) لدفع القياسات المنظمة بسلاسة إلى Splunk أو Elastic أو Wazuh أو Vector.
• Setup Wizard: أداة أتمتة للنشر والاختبار، طُوّرت صراحةً لتكون ليست وكيلًا يعمل على مدار الساعة. إنها ببساطة أداة CLI من نوع TUI تعمل على أتمتة مهام المشغل مثل تطبيق ومطابقة الحالة المرغوبة للـ Hub لعقدة معينة، والتعامل تلقائيًا مع التكوين والنشر والتراجع عند فشل عمليات النشر.
• مجموعة من HoneyWires الرسمية: تتضمن TCP Tarpit وWeb Router Decoy وFile Canary (FIM) وICMP Canary وNetwork Scan Detector بشكل أصلي.

البنية المعمارية

ينقسم HoneyWire إلى أربع خدمات مصغرة مستقلة:

1. /Hub: العقل المركزي. ملف ثنائي Go نقي يشغل قاعدة بيانات SQLite مدمجة ولوحة تحكم Vue.js. يعمل كمستخدم غير جذر داخل حاوية Distroless، مع تركيب البيانات بأمان على وحدة تخزين مخصصة.
2. /Sensors: عقد الأفخاخ. ملفات ثنائية Go مرتبطة بشكل ثابت تستمع على منافذ ضعيفة، وتصطاد المهاجمين، وترسل بيانات الاختراق بشكل آمن إلى Hub.
3. /SDKs: مكتبات رسمية (مثل sdk-go) تتعامل مع الاتصال الآمن بالـ Hub حتى يتمكن مطورو المجتمع من بناء مستشعرات جديدة بسهولة.
4. /wizard: أداة CLI لإعداد المعالج لأتمتة مهام المشغل مثل الاكتشاف والنشر واختبار HoneyWires.

اطلع على وثائق البنية المعمارية الكاملة اقرأ دليل عمليات المستخدم

🚀 دليل البدء السريع

نشر HoneyWire Hub يستغرق أقل من 60 ثانية باستخدام صور GitHub Container الجاهزة.

1. نشر Hub

أنشئ دليلًا جديدًا على خادمك، وأنشئ ملف docker-compose.yml، والصق ما يلي:

services:
  # 1. THE PERMISSION FIXER: Runs once to ensure the Hub can write to the data volume
  permission-fixer:
    image: alpine:latest
    container_name: honeywire-permission-fixer
    command: sh -c "chown -R 65532:65532 /data"
    volumes:
      - ./honeywire_data:/data

  # 2. THE HUB: The central Go-based dashboard and API
  hub:
    image: ghcr.io/andreicscs/honeywire-hub:latest
    container_name: honeywire-hub
    restart: unless-stopped
    ports:
      - "8080:8080"
    volumes:
      - ./honeywire_data:/data
    depends_on:
      permission-fixer:
        condition: service_completed_successfully
        
    # Strict Security Sandbox
    user: "65532:65532"
    read_only: true
    cap_drop: ["ALL"]
    security_opt: ["no-new-privileges:true"]
    
    environment:
      - HW_ENV=development # Required if not using HTTPS, or the cookie will have the secure flag set, in production it is highly recommended to remove this and run this behind a reverse proxy using https
      - HW_PORT=8080
      - HW_DB_PATH=/data/honeywire.db
      # Optional: Hardcode the dashboard password (disables the UI password reset feature)
      # - HW_DASHBOARD_PASSWORD=admin

ابدأ تشغيل Hub:

docker compose up -d

2. تهيئة النظام

انتقل إلى http://<your-server-ip>:HW_PORT في متصفحك. ستُستقبل بشاشة Initialize Sentinel.

1. أنشئ كلمة المرور الرئيسية الخاصة بك.
2. تحقق من عنوان URL لنقطة نهاية Hub (عنوان IP/URL حيث ستصل المستشعرات إلى Hub).
3. انقر على "Initialize Hub".

3. نشر المستشعرات

1. أنشئ Node جديدًا والصق الأمر المقدم لتثبيت وربط Setup Wizard بالـ hub
2. ثبّت المستشعرات مباشرة من Hub ثم شغّل honeywire apply على العقدة لمطابقة الحالة المرغوبة أو شغّل honeywire discover للسماح لمعالج الإعداد بفحص واقتراح HoneyWires تلقائيًا بناءً على البيئة.

4. اختبار HoneyWires

بمجرد تشغيل الحاويات، يجب أن يظهر مستشعر Tarpit كـ ONLINE خلال 30 ثانية. شغّل honeywire firedrill لجعل HoneyWires ترسل حدثًا تجريبيًا إلى hub لاختبار الاتصال.

ملاحظة: للتعمق في إدارة العقد وتحديث المستشعرات والتعامل مع التراجعات، راجع دليل عمليات المستخدم.

ملاحظات أمنية

• نموذج التهديد: للتعمق في حدود الثقة ومخاطر البنية المعمارية وقواعد العزل، راجع THREATMODEL.md.
• مفاتيح العقد: تأكد من أن مستشعراتك تستخدم Node Key الفريد الخاص بها للتواصل مع Hub. سيرفض Hub أي حمولات بمفاتيح غير متطابقة أو غير صالحة.
• تسليح النظام: يمكنك تبديل زر "System Armed" في واجهة Hub لتعطيل إشعارات الدفع مؤقتًا أثناء أعمال صيانة الشبكة الداخلية أو فحص الثغرات الأمنية.
• تقوية الحاويات: يستخدم HoneyWire gcr.io/distroless/static-debian12:nonroot. نتبع مبدأ الامتياز الأقل لضمان أنه إذا تم اختراق حاوية، فسيتم احتواء الانفجار.
• النشر الموزع: يُنصح بشدة بتشغيل Hub ومستشعراته على أجهزة مادية أو افتراضية منفصلة. إذا اخترق مهاجم عقدة مستشعر، فلا ينبغي أن يكون لديه وصول محلي فوري إلى Hub المركزي.
• ⚠️ التشفير (HTTPS): قم دائمًا بتقديم واجهة الويب وAPI الخاصة بـ Hub عبر HTTPS باستخدام وكيل عكسي (مثل Nginx أو Caddy أو Traefik) في بيئة الإنتاج. عدم القيام بذلك يعرض كلمة مرور لوحة التحكم ومفاتيح العقد لالتقاط الشبكة.

المكدس التقني

• الواجهة الخلفية: Go 1.25، net/http (المكتبة القياسية)، SQLite (ModernC Pure Go Driver)
• الواجهة الأمامية: Vue 3 (Composition API)، TailwindCSS، Chart.js
• البنية التحتية: Docker، Docker Compose v5.0.0+

خارطة الطريق والتطوير

يتطور HoneyWire بنشاط نحو منصة خداع مؤسسية كاملة مدفوعة بـ GitOps.

• عرض خارطة الطريق العامة لمعرفة ما نبنيه حاليًا (ميزات v2.2.0، إصلاح شامل لـ v3.0.0 IaC، ومعايير SIEM القادمة).
• هل تريد التأثير على خارطة الطريق؟ نعتمد بشكل كبير على ملاحظات المجتمع. توجه إلى مناقشات GitHub للتصويت على الميزات القادمة، أو اقتراح أنواع أفخاخ جديدة، أو مشاركة كيفية استخدامك لـ HoneyWire في مختبرك.

إدارة الإصدارات ومرجع API

• تتم إدارة إصدارات HoneyWire عبر Git Tags.
• نقطة نهاية Hub:
  • GET /api/v2/version ← تُرجع { "version": "v2.x.x" }
• ملف وثائق API: API.md مع مرجع كامل لمسارات الواجهة الخلفية وحمولات نموذجية.