FMC-Trap

Ein Low-Interaction-Honeypot, der die Web-Oberfläche eines Cisco Secure Firewall Management Centers (FMC) nachahmt und nicht authentifizierten Java-Serialisierungs-ähnlichen Angriffsverkehr (CVE-artige Insecure-Deserialization-Sonden) erfasst.

• Sicher durch Design: Die Anwendung deserialisiert keine Java-Objekte; sie erkennt \xac\xed\x00\x05 (und Base64 rO0AB…) und extrahiert Shell- oder URL-Strings mittels regulärer Ausdrücke und Heuristiken.
• Keine Befehlsausführung: URLs der zweiten Stufe werden nur mit Python requests in ein nicht ausführbares Download-Verzeichnis abgerufen.
• Produktionsorientierter Stack: Docker Compose mit Gunicorn und optionalem Caddy (HTTPS, Let’s Encrypt).

Warum es ausführen?

Einzeilige JSON-Logs (kompatibel mit Splunk und ELK), optionale Telegram-Benachrichtigungen, gehashte Artefakte der zweiten Stufe und ein Nicht-Root-Containerbenutzer. Das Projekt richtet sich an Forscher, die eine gezielte FMC-ähnliche Falle ohne zusätzlichen Integrationscode benötigen.

Voraussetzungen

Schnellstart (ca. fünf Minuten)

1. Klonen

git clone https://github.com/Hassan-Pouladi/Cisco-FMC-honeypot
cd FMC-Trap

2. Umgebung konfigurieren

cp .env.example .env

Bearbeiten Sie .env nach Bedarf (siehe Umgebungsvariablen). Für Bereitstellungen hinter dem mitgelieferten Caddy setzen Sie TRUST_X_FORWARDED_FOR=1, damit die Client-IP-Adressen in den Logs den ursprünglichen Client widerspiegeln.

3. Caddy auf Ihre Domain ausrichten

Bearbeiten Sie die Caddyfile: Ersetzen Sie die Platzhalter-Hostnamen durch Ihre Domain (und ggf. www):

example.com, www.example.com {
	reverse_proxy fmc-trap:5000
}

Heben Sie optional den globalen email [email protected]-Block in der Caddyfile auf, um Let's Encrypt-Ablaufhinweise zu erhalten.

4. DNS und Firewall (HTTPS)

• Erstellen Sie A- (und ggf. AAAA-) Einträge: ihredomain.com → öffentliche IP Ihres Servers und www, falls verwendet.
• Lassen Sie eingehenden TCP 80 und TCP 443 auf dem Host zu (Cloud-Sicherheitsgruppe und Host-Firewall, z. B. ufw allow 80,443/tcp).

5. Datenverzeichnisse (erforderlich)

Die Anwendung läuft als UID 10001 innerhalb des Containers. Das gebundene Verzeichnis ./data muss beschreibbar sein:

mkdir -p data/logs data/downloads
sudo chown -R 10001:10001 data/logs data/downloads

Ohne korrekte Besitzerrechte können Exploit-POST-Anfragen 500 zurückgeben (Permission denied beim Schreiben von Logs oder Rohdaten).

6. Starten

docker compose up -d --build

7. Überprüfen

docker compose ps
curl -sI https://ihredomain.com/

Erwarten Sie HTTP/2 200 (oder 301 oder 302) und Via: Caddy. Im Browser sollte https://ihredomain.com/ die simulierte FMC-Anmeldeseite anzeigen.

Informationen zum Lesen von Ereignissen, Payloads und Docker-Ausgaben finden Sie unter Logs, Downloads und Service-Ausgabe finden und Häufige Vorgänge.

Logs, Downloads und Service-Ausgabe finden

Nachfolgendes bezieht sich auf Ihr Projektverzeichnis (den Ordner, der docker-compose.yml enthält, normalerweise FMC-Trap nach dem Klonen). Pfade beziehen sich auf den Host; Docker mountet sie per Bind in den Container.

Wenn etwas in der Log-Datei erscheint: fmc-trap.json erhält ein JSON-Objekt pro Zeile, wenn eine Anfrage Deserialisierungs-Sondenverhalten (Magic-Bytes in einem POST) entspricht. Normale GET-Anfragen an die gefälschte Anmeldeseite werden standardmäßig nicht in diese Datei geschrieben.

Wenn der Download-Ordner Dateien enthält: Einträge erscheinen nur, wenn die Pipeline eine URL aus einer Sonde extrahiert und der Harvester erfolgreich erlaubte entfernte Inhalte innerhalb von MAX_DOWNLOAD_MB abruft. Bleibt das Verzeichnis leer, liegen möglicherweise noch keine qualifizierenden URLs vor, oder Abrufe werden durch die Anwendungsrichtlinie blockiert.

JSON hübsch ausgeben (optional): Leiten Sie eine einzelne Zeile durch python -m json.tool oder verwenden Sie jq, falls installiert.

Häufige Vorgänge

Architektur

Internet :443/:80 → Caddy (TLS, Let’s Encrypt) → fmc-trap:5000 (Gunicorn/Flask)
                              ↓
                    ./data/logs, ./data/downloads (Bind-Mounts)

• Nur Caddy veröffentlicht 80 und 443 auf dem Host; der Anwendungscontainer ist nicht direkt exponiert (siehe expose: "5000" in Compose).
• Caddy verwendet öffentliche DNS-Resolver (1.1.1.1, 8.8.8.8) im Container, damit Let's Encrypt auf Hosts erfolgreich ist, bei denen der VPS-Resolver von Docker aus nicht erreichbar ist (eine häufige Einschränkung bei einigen Cloud-Anbietern).

Umgebungsvariablen

Compose übergibt diese Variablen an den Dienst fmc-trap; Einzelheiten finden Sie in docker-compose.yml.

JSON-Log-Felder (Referenz)

Jede Zeile in data/logs/fmc-trap.json ist ein JSON-Objekt. Übliche Schlüssel sind timestamp, event_type, src_ip, headers, raw_payload_hash, extracted_commands und downloaded_file_hash, wenn eine Datei gespeichert wurde. Gespeicherte Blobs in data/downloads/ verwenden Modus 0400 (schreibgeschützt für den Besitzer).

Fehlerbehebung

Optional: Anwendung auf localhost verfügbar machen (Debugging)

Um Gunicorn direkt ohne Caddy zu erreichen, fügen Sie unter fmc-trap in docker-compose.yml Folgendes hinzu:

ports:
  - "127.0.0.1:5000:5000"

Binden Sie die Anwendung in der Produktion nicht an 0.0.0.0, wenn Caddy TLS terminiert.

Sicherheit

• Bereitstellung auf einem dedizierten VPS oder isolierten Netzwerk. Der Dienst behandelt bösartigen Datenverkehr und kann Malware zur Analyse herunterladen.
• Speichern Sie Telegram-Tokens und andere Secrets nur in .env auf dem Host (niemals .env committen).
• Beschränken Sie die Firewall auf die minimal erforderlichen Ports (80 und 443 für HTTPS).

Rechtliche und ethische Nutzung

Stellen Sie nur auf Systemen bereit, die Sie besitzen oder für die Sie ausdrücklich autorisiert sind, Instrumentierung zu installieren. Honeypots können Angriffsverkehr und Malware sammeln; halten Sie sich an geltendes Recht und organisatorische Richtlinien. Diese Software ist für Sicherheitsforschung bestimmt.