dshield-isc/dshieldInstalliert und konfiguriert einen DShield-Honeypot-Sensor auf Raspberry Pi oder Ubuntu, betreibt Cowrie-SSH- und HTTP-Honeypots und leitet Firewall-Logs an das DShield-Portal weiter.
Dies ist eine Sammlung von Skripten zur Einrichtung eines DShield Sensors.
Aktuelle Designziele und Voraussetzungen für die Verwendung des automatisierten Installationsverfahrens:
Die aktuelle Version ist nur auf Raspberry Pi OS (64-Bit) und Ubuntu 24.04 LTS Server getestet, nicht auf anderen Distributionen, sorry. Falls Bedarf an anderen Distributionen besteht, muss "jemand" das Installationsskript prüfen und pflegen.
Beziehen Sie sich für betriebssystemspezifische Installationsanweisungen auf die folgenden Dateien: Raspberry Pi OS (Empfohlen), Ubuntu, openSUSE und AWS
install.shDieses Skript wird:
Logs werden zweimal pro Stunde über den Cron-Job /etc/cron.d/dshield an das dshield portal gesendet; dies kann unter 'My Account' -> 'My Reports' überprüft werden
Werfen Sie einen Blick auf die Ausgabe des Status-Skripts: /srv/dshield/status.sh
Wenn Sie während der Installation oder während Updates seltsame Python- oder pip-bezogene Fehler erhalten, versuchen Sie die folgenden Befehle als root:
pip freeze --local | grep -v '^\-e' | cut -d = -f 1 | xargs -n1 pip install -U
Lesen Sie unseren Trouble Shooting Guide für Hilfe bei der Identifizierung von Problemen.
Führen Sie in Ihrem "dshield"-Verzeichnis (dem oben erstellten Verzeichnis, als Sie git clone ausgeführt haben) Folgendes aus:
cd install/dshield
sudo git pull
sudo bin/install.sh --update
Der Parameter "--update" verwendet automatisch die vorhandene Konfiguration und fordert den Benutzer nicht zur Eingabe von Konfigurationsoptionen auf.
Konfigurationsparameter wie Ihr API Key bleiben erhalten. Um die Konfiguration zu bearbeiten, editieren Sie /etc/dshield.ini; um die Firewall zu konfigurieren, editieren Sie /etc/network/iptables (Hinweis: Die nat-Tabelle wird ebenfalls verwendet).
Es wurde eine neue Funktion eingeführt, insbesondere für automatische Updates. Am Ende der Installation sucht das Skript install.sh nach der Datei /root/bin/postinstall.sh und führt deren Inhalt aus, falls sie existiert. Wenn Sie zusätzliche Änderungen an den neu installierten Dateien benötigen, ist dies der Ort, an dem Sie sie ablegen. Diese Datei BENÖTIGT Ausführungsrechte.
Bitte stellen Sie sicher, dass Sie spezielle Port- und Netzwerkkonfigurationen aktuell halten (z. B. kürzlich hinzugefügte Telnet-/Web-Ports manuell in der Firewall-Konfiguration eintragen), z. B. no-log-Konfiguration, no-honey-Konfiguration, ... leider kann dies derzeit nicht automatisch erledigt werden. Wenn Sie unsicher sind, löschen Sie die entsprechenden Zeilen in /etc/dshield.ini und führen Sie das Installationsskript erneut aus.
Dieser DShield-Sensor und Honeypot ist ausschließlich dafür gedacht, internetbezogenen Datenverkehr zu analysieren, d. h. Datenverkehr, der von öffentlichen IP-Adressen ausgeht:
Daher müssen Sie den Pi in einem Netzwerk platzieren, in dem er dem Internet ausgesetzt werden kann (und von den internen Netzwerken aus nicht verbunden wird, außer für administrative Aufgaben). Für einen maximalen Nutzen des Sensors ist es wünschenswert, dass der Pi dem gesamten Datenverkehr ausgesetzt ist, den das Internet an eine öffentliche IP-Adresse weiterleitet (und nicht nur ausgewählten Ports).
Für SoHo-Nutzer gibt es normalerweise eine Option im DSL- oder Kabelrouter, um den gesamten Datenverkehr von der öffentlichen IP-Adresse, die der Router verwendet (d. h. vom ISP zugewiesen bekommen hat), an eine interne IP-Adresse weiterzuleiten. Dies muss der Pi sein. Diese Funktion heißt z. B. "Exposed Host", "DMZ" (hier müssen Sie möglicherweise weitere Konfigurationen aktivieren, um sicherzustellen, dass der gesamte Datenverkehr an die interne IP-Adresse des Pi weitergeleitet wird und nicht nur z. B. Port 80).
Für Unternehmen wäre eine geschützte DMZ ein geeigneter Ort (geschützt: Wenn der Sensor/Honeypot gehackt wird, ist dieser Vorfall eingedämmt und betrifft keine anderen Hosts in der DMZ). Bitte beachten Sie, dass Sie – bei Verwendung statischer IPs – Angriffe/Scans auf Ihre IP-Adresse dem DShield-Projekt und der Community offenlegen, die per whois zu Ihrem Unternehmen zurückverfolgt werden können.
Um Ihr Setup zu testen, können Sie einen öffentlichen Portscanner verwenden und ihn auf die öffentliche IP-Adresse des Routers richten (die dann intern an den Pi weitergeleitet wird). Dieser Portscan sollte direkt in /var/log/dshield.log und später in Ihrem Online-Bericht sichtbar sein, der über Ihr DShield-Konto zugänglich ist. Bitte verwenden Sie ihn nur für kurze und begrenzte Testzwecke, damit die DShield-Daten nicht verfälscht werden.
install.shstatus.sh) in die /srv-Verzeichnisstruktur verschiebensitecopy.py kopiert jede Website und stellt die Website mithilfe des web.py-Skripts bereit; verwenden Sie einfach:
python sitecopy.py http://www.yoursite.com