RIoTPot

RIoTPot ist ein Hybrid-Interaktion-Honeypot, der sich hauptsächlich auf die Emulation von IoT- und OT-Protokollen konzentriert, aber auch andere Dienste emulieren kann. Im Wesentlichen fungiert RIoTPot als Proxy-Dienst für andere im System enthaltene Honeypots. Daher können Sie jeden Honeypot und andere Dienste zusammen mit RIoTPot ausführen. Darüber hinaus gibt es eine Webanwendung (UI), mit der Sie Ihr Routing verwalten können.

Der Honeypot wird mit mehreren gebrauchsfertigen Low-Interaction-Diensten geliefert. Da diese Dienste als Plugins geschrieben sind, werden sie nur unter Linux unterstützt; Sie können RIoTPot jedoch auch ohne sie starten. Die folgende Tabelle enthält die Liste der standardmäßig in RIoTPot enthaltenen Dienste, deren interne Ports und Proxy-Ports.

Inhaltsverzeichnis

• RIoTPoT
  • 1. Architektur
  • 2. Wie man RIoTPot verwendet
  • 3. Befehle

1. Architektur

Die RIoTPot-Architektur basiert auf Proxy-Verbindungen zu internen und umgebenden (oder externen) Diensten (z. B. Honeypots, vollständige Dienste, Container, entfernte Hosts usw.). Dazu verwaltet der Honeypot eine Reihe von benutzerdefinierten Proxys, die Verbindungen zwischen Diensten und RIoTPot weiterleiten ¹. Auf diese Weise kann RIoTPot entscheiden, wie und wohin eingehende Angriffe weitergeleitet werden. Die Logik zur Bestimmung, wie der eingehende Angriff behandelt wird, ist in Form von Middlewares ² implementiert. Zur Verwaltung von Diensten, Middlewares und Proxys wird RIoTPot standardmäßig mit einer REST-API ³ und einer Webapp-UI ⁴ ausgeliefert. Die UI ist über Ihren Browser unter localhost:2022 erreichbar, und Sie können mit API-Endpunkten unter localhost:2022/api/swagger herumspielen, die eine Swagger-Oberfläche anzeigen.

Abbildung 1 zeigt die RIoTPot-Architektur, einschließlich der beiden Hauptanwendungen, die RIoTPot bilden (RIoTPot selbst und RIoTPot UI) und ihrer Komponenten, sowie einen Abschnitt, der externe (oder angrenzende) Dienste umschließt.

Abbildung 1. RIoTPot-Architektur, einschließlich der Hauptanwendung, externer Dienste und der Webapp-UI zur Verwaltung von RIoTPot-Instanzen.

RIoTPot ist in Golang⁵ geschrieben. Jede RIoTPot-Instanz stellt registrierte Proxys (basierend auf ihrem Port) bei Bedarf bereit. Um einen Proxy zu bedienen, muss ein gebundener Dienst vorhanden sein und der Proxy-Port muss verfügbar sein (derzeit akzeptiert RIoTPot nicht mehrere Dienste, die auf demselben Port laufen). Sobald ein Proxy gebunden und bedient wurde, können Angreifer Nachrichten an RIoTPot auf diesem Port senden, wobei die Nachrichten an den gebundenen Dienst und zurück an den Angreifer weitergeleitet werden⁶.

Zur einfachen Verwaltung können mehrere Instanzen von RIoTPot über die RIoTPot-UI-Webapp verwaltet werden. Neben der Verwaltung der in jeder Instanz registrierten Proxys können Sie mit der UI Profile erstellen, verwenden und bearbeiten. Jedes Profil enthält eine Reihe von Proxys, die nach Protokollen oder anderen Diensten benannt sind, sodass eine RIoTPot-Instanz einem realen Gerät ähnelt (z. B. einem Haushaltsassistenten). Kurz gesagt, Profile beschleunigen den Prozess der Einrichtung und Bereitstellung einer RIoTPot-Instanz mit spezifischen Konfigurationen. Die UI ist mit der React-Frontend-JavaScript-Bibliothek (wir verwenden Typescript für dieses Projekt) und der Recoil-Statusverwaltungsbibliothek geschrieben. Da RIoTPot relativ klein ist, verwendet es derzeit keine Datenbank.

2. Wie man RIoTPot verwendet

RIoTPot auszuführen ist relativ einfach. Insgesamt haben Sie drei Optionen. Die erste ist, ein RIoTPot-Release herunterzuladen; Sie können entweder das neueste Release oder ein früheres wählen. Die zweite Option ist, das Projekt selbst zu bauen. Die letzte Option ist, den Quellcode zu verwenden, um einen Docker-Container mit RIoTPot und einigen zusätzlichen Anwendungen zu erstellen, um den Honeypot zu erweitern.