مصيدة Log4Shell

مُصيدة محسّنة في حاوية دوكر لـ CVE-2021-44228 بميزات أمنية شاملة وقدرات مراقبة وتنبيه.

الميزات

كشف محسّن

• مطابقة أنماط شاملة: يكشف أكثر من 20 نمط استغلال لـ Log4Shell بما في ذلك عمليات بحث JNDI وLDAP وRMI وDNS ومتغيرات البيئة
• كشف متعدد المصادر: يراقب رؤوس HTTP وبيانات النماذج ومعلمات الاستعلام
• تسجيل فوري: تسجيل منظم بصيغة JSON مع معلومات تفصيلية عن الهجوم

الأمان والأداء

• تحديد المعدل: تحديد قابل للتعديل لكل عنوان IP لمنع الإساءة
• وكيل عكسي: إعداد Nginx مع رؤوس أمنية وإنهاء SSL
• أمان الحاوية: تشغيل كمستخدم غير جذر، نظام ملفات للقراءة فقط، صلاحيات مُسقطة
• دمج fail2ban: حظر تلقائي للعناوين IP بعد محاولات متكررة

المراقبة والتنبيه

• فحوصات الصحة: نقطة نهاية صحية مدمجة لتنسيق الحاويات
• نقطة نهاية المقاييس: إحصائيات فورية عن الطلبات والهجمات
• تحليل السجلات: سكريبت بايثون لتحليل أنماط الهجوم واتجاهاته
• مراقبة فورية: تتبع السجلات مع إخراج منسق

الميزات التشغيلية

• تدوير السجلات: تدوير تلقائي للسجلات مع حدود حجم قابلة للتعديل
• إيقاف تشغيل أنيق: معالجة سليمة للإشارات لإيقاف الحاوية بشكل نظيف
• الإعدادات: إعدادات تعتمد على البيئة لجميع الخيارات
• دعم SSL: إنشاء شهادات موقعة ذاتياً لـ HTTPS

بداية سريعة

النشر البسيط

# إنشاء شهادات SSL
./generate-ssl.sh

# التشغيل مع docker-compose
docker-compose up -d

# مراقبة السجلات
./monitor.py --tail

النشر الكامل (مع fail2ban)

# التشغيل كجذر لإعداد fail2ban
sudo ./deploy.sh

التشغيل اليدوي لدوكر

# x86_64
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  -e LOG_FORMAT="json" \
  -e RATE_LIMIT_REQUESTS="100" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:latest

# ARM (مثل Raspberry Pi)
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:arm-latest

الإعدادات

متغيرات البيئة

استخدام ملف الإعدادات

# التحميل من ملف الإعدادات
docker-compose --env-file config.env up -d

أنماط الكشف

تكتشف المصيدة أنماط Log4Shell التالية:

• ${jndi: - عمليات بحث JNDI (ناقل الهجوم الأساسي)
• ${ldap: - عمليات بحث LDAP
• ${rmi: - استدعاء الأسلوب عن بُعد RMI
• ${dns: - عمليات بحث DNS
• ${env: - الوصول إلى متغيرات البيئة
• ${sys: - الوصول إلى خصائص النظام
• ${java: - معلومات بيئة جافا الزمنية
• و 15 نمطاً إضافياً

المراقبة

المراقبة الفورية

# تتبع السجلات مع إخراج منسق
./monitor.py --tail

# تحليل آخر 24 ساعة
./monitor.py --hours 24

# تحليل الساعة الأخيرة
./monitor.py --hours 1

فحص الصحة

curl http://localhost/health

المقاييس

curl http://localhost/metrics

حالة fail2ban

sudo fail2ban-client status log4shell-honeypot

صيغة السجل

صيغة JSON المحسّنة للسجل تتضمن:

{
  "timestamp": "2024-01-15T10:30:45Z",
  "honeypot": "log4shell-honeypot",
  "event_type": "log4shell_attempt",
  "source_ip": "192.168.1.100",
  "real_ip": "10.0.0.5",
  "method": "POST",
  "url": "http://honeypot.local/",
  "user_agent": "Mozilla/5.0...",
  "detected_patterns": ["${jndi:", "${env:"],
  "detection_source": "form_field:username",
  "headers": {...},
  "form_data": {...},
  "query_params": {...},
  "content_length": 45
}

الميزات الأمنية

أمان الحاوية

• تشغيل كمستخدم غير جذر
• نظام ملفات الجذر للقراءة فقط
• صلاحيات لينكس مُسقطة
• عدم وجود صلاحيات جديدة
• نظام ملفات مؤقت لـ /tmp

أمان الشبكة

• وكيل عكسي Nginx مع رؤوس أمنية
• تحديد معدل على مستويات متعددة
• إنهاء SSL/TLS
• دمج fail2ban لحظر عناوين IP

أمان التسجيل

• تسجيل منظم لتكامله مع SIEM
• تدوير السجلات لمنع استنزاف القرص
• مجلدات سجل منفصلة
• معالجة الأخطاء لفشل التسجيل

التكامل

تكامل SIEM

يمكن استيعاب سجلات JSON المنظمة بسهولة بواسطة:

• ELK Stack (Elasticsearch, Logstash, Kibana)
• Splunk
• Graylog
• Fluentd/Fluent Bit

التنبيه

قم بإعداد التنبيهات بناءً على:

• عتبات تواتر الهجمات
• أنماط هجوم جديدة
• حالات شاذة جغرافية
• أنماط وكيل المستخدم

البناء من المصدر

# بناء الحاوية
docker build -t log4shell-honeypot:latest .

# البناء بعلامة محددة
docker build -t log4shell-honeypot:v2.0 .

استكشاف الأخطاء وإصلاحها

التحقق من حالة الحاوية

docker-compose ps
docker-compose logs log4shell-honeypot

التحقق من الصحة

curl -f http://localhost/health || echo "فشل فحص الصحة"

التحقق من fail2ban

sudo fail2ban-client status
sudo tail -f /var/log/fail2ban.log

تحليل السجلات

# التحقق من الهجمات الأخيرة
./monitor.py --hours 1

# عرض السجلات الخام
tail -f /var/log/log4shell-honeypot.log

ضبط الأداء

بيئات الحركة المرورية العالية

• قم بزيادة RATE_LIMIT_REQUESTS للحركة المرورية العالية المشروعة
• اضبط MAX_LOG_SIZE و LOG_BACKUP_COUNT للاحتفاظ بالسجلات
• استخدم تجميع السجلات الخارجي لتقليل التخزين المحلي

حدود الموارد

# في docker-compose.yml
deploy:
  resources:
    limits:
      cpus: '0.5'
      memory: 256M
    reservations:
      cpus: '0.1'
      memory: 128M

المساهمة

1. انسخ المستودع (Fork)
2. أنشئ فرع ميزة
3. قم بإجراء التغييرات
4. أضف اختبارات إن أمكن
5. أرسل طلب سحب (Pull Request)

اعتبارات أمنية

• انشر خلف جدار ناري مع وصول مقيد
• راقب السجلات بانتظام للكشف عن أنماط الهجوم
• حافظ على تحديث صور الحاوية
• استخدم شهادات SSL قوية في الإنتاج
• طبق تقسيم الشبكة
• قم بمراجعات أمنية دورية للنشر

شكر وتقدير

هذا فرع محسّن من BinaryDefense/log4shell-honeypot-flask مع تحسينات أمنية وتشغيلية كبيرة.