Beelzebub

Open-Source-Täuschungsframework.

Realistische Köder bereitstellen. Angreiferverhalten beobachten. Interaktionen in Sicherheitsnachweise verwandeln.

Beelzebub Platform entdecken · Dokumentation · Schnellstart

Beelzebub bietet Sicherheitsteams eine konfigurierbare Möglichkeit, Aktivitäten zu untersuchen, die auf Köderdienste gerichtet sind. Definieren Sie die Umgebung, auf die ein Angreifer trifft, legen Sie fest, wie sie reagiert, und erfassen Sie die Interaktion für die Untersuchung. Betreiben Sie das Framework eigenständig oder verbinden Sie es mit der Beelzebub Platform.

Warum Beelzebub

• Stellen Sie Köder bereit, die zu Ihrer Umgebung passen. Definieren Sie Dienste, Routen und Antwortregeln in YAML. Verwenden Sie statische Handler für vorhersehbares Verhalten oder LLM-gestützte Antworten für adaptive Interaktionen. Erweitern Sie die Laufzeit mit vertrauenswürdigen Go-Plugins, wenn Sie benutzerdefiniertes Verhalten benötigen.
• Beobachten Sie, was nach dem Kontakt geschieht. Erfassen Sie Nachweise aus Köder-Interaktionen, einschließlich Befehlen, Details zu HTTP-Anfragen und Sitzungskontext, je nach Protokoll. Geben Sie Analysten eine Aufzeichnung der auf den Dienst gerichteten Aktivität, um Untersuchungen zu unterstützen.
• Integrieren Sie Nachweise in Ihren Workflow. Prüfen Sie Protokolle lokal, veröffentlichen Sie strukturierte Ereignisse an RabbitMQ oder aktivieren Sie die Berichterstattung an die Beelzebub Platform. Aktivieren Sie Prometheus-Metriken mit core.prometheus.enabled: true, um die Laufzeitaktivität zu überwachen; standardmäßig ist der Metriken-Listener deaktiviert und bindet keinen Port.

In Aktion erleben

Sehen Sie zu, wie ein LLM-gestützter Köder auf Angreifereingaben reagiert. Die Demo veranschaulicht, wie generierte Antworten eine Interaktion über einen festen Satz von Befehls-Handlern hinaus aufrechterhalten können.

So funktioniert es

Definieren Sie Dienste und Regeln in YAML, validieren Sie die Konfiguration und starten Sie die Laufzeit. Vertrauenswürdige Go-Plugins werden in die Laufzeit kompiliert, um Dienste und Antworten zu erweitern. Jeder Dienst verarbeitet eingehende Interaktionen und gibt Nachweise über die konfigurierte Ereignisausgabe aus. LLM-Antworten erfordern einen konfigurierten Anbieter; statische Handler können ohne einen solchen ausgeführt werden.

Das Framework unterstützt SSH, HTTP, TCP, TELNET und MCP. MCP-Köder stellen Köder-Tools bereit, die verdächtige Aufrufe während kontrollierter Agent-Tests beobachtbar machen. Sie können Nachweise für Prompt-Injection-Versuche liefern; sie garantieren jedoch nicht die Erkennung jedes Versuchs.

Zu den Bereitstellungsoptionen gehören eine lokale Go-Binärdatei, Docker Compose und Kubernetes mit Helm. Siehe den Architekturleitfaden für Laufzeitverhalten und Erweiterungsgrenzen.

Die Köder entdecken

Beginnen Sie mit einer der 18 Beispielkonfigurationen in configurations/services. Öffnen Sie eine YAML-Datei, um ihre Regeln zu prüfen und sie an Ihre Umgebung anzupassen.

Kategorie	Beispiel-Köder
Fernzugriff	SSH · SSH (LLM) · TELNET · RDP · VNC
Web	WordPress (LLM-Fallback) · HTTP 401 · HTTP-Methoden · Apache-Verzeichnislabyrinth
Datenbanken & Caches	MySQL · PostgreSQL (LLM) · SQL Server · Redis · Memcached
Netzwerkdienste	SMB · LDAP
IoT	MQTT
KI-Agenten	MCP-Köderwerkzeuge

Die Beispiele reichen von Bannern und ausgewählten Antworten bis hin zu interaktiven Austauschen. LLM-Beispiele erfordern einen konfigurierten Anbieter; WordPress nutzt ihn für seine Catch-all-Route. Prüfen Sie die Portzuordnungen Ihrer Bereitstellung, wenn Sie zusätzliche Beispiele aktivieren.

Erste Schritte

Sie benötigen Git, eine Shell und Docker Engine mit Compose v2. Verwenden Sie einen isolierten Labor-Host mit Autorisierung für alle konfigurierten Listener: Der Installer startet ein Bündel von Beispieldiensten, einschließlich privilegierter Ports. Unter Linux kann er Host-Netzwerk aktivieren; Docker bietet in diesem Modus keine Netzwerkisolierung.

Verwenden Sie synthetische Anmeldedaten und lesen Sie den Leitfaden zur Produktionssicherheit, bevor Sie Dienste dem Internet aussetzen.

git clone https://github.com/beelzebub-labs/beelzebub.git
cd beelzebub
./install.sh --docker