HoneyWire

📋 Inhaltsverzeichnis

• Überblick
• Vorführung
• Der universelle Ereignisstandard
• Funktionen
• Architektur
• Schnellstart-Anleitung
• Sicherheitshinweise
• Technologie-Stack
• Roadmap & Entwicklung
• Versionierung und API-Referenz

Überblick

HoneyWire ist ein leichtgewichtiger, verteilter High-Signal-Sicherheits-Frühwarnsystem-Baukasten, der für interne Netzwerke entwickelt wurde. Er nutzt seine Architektur und UX, um den Aufbau eines neuen Cyber-Canary-Servers oder die Bereitstellung von HoneyWires auf bestehenden Servern unglaublich einfach zu machen. Mithilfe von Täuschungstechnologie ersetzt es den „Vergrößerungsglas“-Ansatz herkömmlicher SIEMs, die Analysten oft in False Positives ertränken, indem legitimer Datenverkehr mit einem High-Fidelity-Tripwire-Modell überwacht wird.

Platziere einen Sensor genau dort, wo du ihn haben möchtest. Wenn er auslöst, hast du einen Eindringling.

• Produktions-Tripwires: Schlagen Alarm, wenn aktive Dienste auf eine Weise angefasst werden, die sie nicht sollten. Indem du einen Sensor auf eine sensible Datei legst, die niemals gelesen werden sollte, oder auf einen Dienstport, der niemals angesprochen werden sollte, identifizierst du Eindringlinge anhand ihrer Abweichung vom „autorisierten Pfad“.
• Synthetische Täuschung: Setze Köder wie den ICMP-Canary oder den Netzwerkscan-Detektor als Lockvögel ein. Da diese Sensoren keinen legitimen geschäftlichen Nutzen bieten, sind 100 % ihres Datenverkehrs verwertbare Intelligenz.

Richte mehrere ein und du bekommst ein ziemlich klares Bild von der Lateral Movement eines Eindringlings. Kein Tuning, kein Rauschen, nur sofortige Forensik. Wenn legitime automatisierte Sicherheitsscanner HoneyWires auslösen, kannst du sie einfach über die Einstellungen des Hubs auf die Whitelist setzen.

Vorführung

🔌 Der universelle Ereignisstandard (Bring Your Own Sensor)

Community-Sensoren

Hinweis: Wenn du deinen Sensor mit den offiziellen HoneyWire-SDKs baust, werden diese JSON-Formatierung und -Zustellung automatisch für dich übernommen.

Die wahre Stärke von HoneyWire liegt darin, dass Hub und Wizard vollständig sensor-agnostisch sind. Du bist nicht auf die enthaltenen offiziellen Sensoren beschränkt.

Indem du dich an den HoneyWire-Ereignisstandard V2.0 hältst, kannst du ein Skript in jeder Sprache (Bash, Go, Rust, Python) schreiben, um alles zu überwachen, und die Sentinel-Benutzeroberfläche wird deine forensischen Daten dynamisch parsen, syntax-highlighten und rendern.

Ob es sich um eine Deep-Packet-Inspection-Engine (DPI), eine DNS-Sinkhole, ein Canary-Token in einer PDF-Datei, eine E-Mail-Honeypot oder einen einfachen TCP-Port-Tripwire handelt – sende einfach die JSON-Payload des Universellen Ereignisstandards an den Hub.

Das vollständige Event-Datenvertrag hier ansehen

Funktionen

• Die Sentinel-Hub-Benutzeroberfläche: Ein vollständig responsives, auf Vue 3 basierendes Dashboard mit dynamischer forensischer Payload-Inspektion, Bereitstellung und Verwaltung von Nodes und Sensoren, einschließlich Sensor-Updates, direkt über die Benutzeroberfläche.
  • Universelle Push-Benachrichtigungen: Native, abhängigkeitsfreie Integration zur Weiterleitung kritischer Alarme an Discord, Slack, Ntfy und Gotify.
  • Enterprise-SIEM-Integration: Natives RFC5424-Syslog-Forwarding (TCP/UDP) zur nahtlosen Übertragung strukturierter Telemetrie an Splunk, Elastic, Wazuh oder Vector.
• Der Setup-Wizard: Ein Bereitstellungs- und Testautomatisierungstool, das ausdrücklich nicht als 24/7 laufender Agent konzipiert ist. Es ist lediglich ein TUI-CLI-Tool, das Operator-Aufgaben wie das Anwenden und Abgleichen des gewünschten Zustands des Hubs für einen bestimmten Node automatisiert und dabei Konfiguration, Bereitstellung und Rollbacks bei fehlgeschlagenen Bereitstellungen automatisch handhabt.
• Suite offizieller HoneyWires: Enthält natives TCP-Tarpit, Web-Router-Decoy, File-Canary (FIM), ICMP-Canary und Netzwerkscan-Detektor.

Architektur

HoneyWire ist in vier unabhängige Microservices aufgeteilt:

1. /Hub: Das zentrale Gehirn. Eine reine Go-Binärdatei mit eingebetteter SQLite-Datenbank und dem Vue.js-Dashboard. Sie läuft als Nicht-Root-Benutzer in einem Distroless-Container und mountet Daten sicher auf ein dediziertes Volume.
2. /Sensors: Die Decoy-Knoten. Statisch gelinkte Go-Binärdateien, die auf verwundbaren Ports lauschen, Angreifer anlocken und Eindringdaten sicher an den Hub zurücksenden.
3. /SDKs: Offizielle Bibliotheken (wie sdk-go), die die sichere Hub-Kommunikation übernehmen, damit Community-Entwickler problemlos neue Sensoren bauen können.
4. /wizard: Setup-Wizard-CLI-Tool zur Automatisierung von Operator-Aufgaben wie Erkennung, Bereitstellung und Test von HoneyWires.

Die vollständige Architekturdokumentation ansehen Das Benutzer-Operationshandbuch lesen

🚀 Schnellstart-Anleitung

Die Bereitstellung des HoneyWire-Hubs dauert mit unseren vorgefertigten GitHub-Container-Images weniger als 60 Sekunden.