thinkst/canarytokensCanarytokens hilft dabei, Aktivitäten und Aktionen in Ihrem Netzwerk zu verfolgen.
von Thinkst Applied Research
Canarytokens helfen dabei, Aktivitäten und Aktionen in Ihrem Netzwerk zu verfolgen.
Wenn Sie Probleme haben, schauen Sie bitte in unsere FAQ hier oder erstellen Sie ein Issue, und wir werden versuchen, uns so schnell wie möglich bei Ihnen zu melden.
Dieses Projekt und alle, die daran teilnehmen, unterliegen dem Verhaltenskodex. Durch Ihre Teilnahme wird von Ihnen erwartet, dass Sie diesen Kodex einhalten. Bitte melden Sie inakzeptables Verhalten an [email protected].
Wir empfehlen den Installationsprozess mit dem Docker-Image.
Der Canarytokens-Server kann viele verschiedene Einstellungskonfigurationen verwenden. Sie finden sie in settings.py. Es gibt zwei
Haupt-Einstellungsdateien: frontend.env und switchboard.env.
Die frontend.env enthält die Einstellungen des Frontend-Prozesses wie:
Die switchboard.env enthält die Einstellungen des Switchboard-Prozesses wie:
| Variablenname | Wert |
|---|---|
| CANARY_MAILGUN_DOMAIN_NAME | |
| CANARY_MAILGUN_API_KEY | |
| CANARY_MANDRILL_API_KEY | |
| CANARY_SENDGRID_API_KEY | |
| CANARY_PUBLIC_IP | |
| CANARY_PUBLIC_DOMAIN | |
| CANARY_ALERT_EMAIL_FROM_ADDRESS | [email protected] |
| CANARY_ALERT_EMAIL_FROM_DISPLAY | "Canarytoken Mailer" |
| CANARY_ALERT_EMAIL_SUBJECT | "Alert" |
| CANARY_MAX_ALERTS_PER_MINUTE | 1000 |
| CANARY_SMTP_USERNAME | |
| CANARY_SMTP_PASSWORD | |
| CANARY_SMTP_SERVER | smtp.gmail.com |
| CANARY_IPINFO_API_KEY | <ipinfo.io api key> |
| CANARY_SMTP_PORT | 587 |
| CANARY_WEB_IMAGE_UPLOAD_PATH | /uploads |
| LOG_FILE | switchboard.log |
| ERROR_LOG_WEBHOOK | |
| CANARY_FORCE_HTTPS | force https protocol scheme for Canarytokens |
| CANARY_LAMBDA_AWS_CRED_REPORT_AUTH |
Bitte beachten Sie, dass Sie bei der Auswahl des E-Mail-Anbieters, den Sie verwenden möchten, NUR Informationen angeben dürfen,
die sich auf diesen Anbieter beziehen. Wenn Sie beispielsweise CANARY_MAILGUN_API_KEY haben, müssen Sie die anderen wie
CANARY_SENDGRID_API_KEY und CANARY_MANDRILL_API_KEY entfernen.
Wenn Sie die europäische Infrastruktur von Mailgun für Ihren Canarytokens-Server verwenden, müssen Sie CANARY_MAILGUN_BASE_URL=https://api.eu.mailgun.net zu Ihrer switchboard.env hinzufügen. Wenn Sie das nicht angeben,
verwenden wir standardmäßig die reguläre URL 'https://api.mailgun.net'.
AWS-API-Key-Canarytokens verwenden AWS-seitige Infrastruktur, um IAM-Benutzer zuzuweisen und Sicherheitsnetzprüfungen durchzuführen. Diese Infrastruktur wurde in ein privates Repository verschoben.
Dieses Repository besitzt weiterhin die Canarytokens-seitigen Integrationspunkte:
CANARY_AWSID_URL in frontend.env ist die API-Gateway/Lambda-URL für den Endpunkt LinkAWSIDTokenUserToCanaryConsole, der aus dem privaten Repository verwaltet wird.CANARY_AWSID_AUTH in frontend.env muss mit dem Auth-Token im AWS-ID-Secret übereinstimmen. Das Frontend sendet domain, token, auth und guid beim Erstellen eines AWS-Key-Tokens.CANARY_AWSID_GUID identifiziert die Canarytokens-Instanz beim Zuweisen und Löschen von AWS-Key-Tokens.CANARY_AWSID_CONTROL_ACCOUNT_ID ist die AWS-Konto-ID, der die AWS-ID-Löschwarteschlange gehört.CANARY_AWSID_URL oder CANARY_AWSID_AUTH nicht gesetzt ist, ist die Erstellung von AWS-Key-Tokens für diese Canarytokens-Instanz deaktiviert.CANARY_LAMBDA_AWS_CRED_REPORT_AUTH in switchboard.env aktiviert den /a/cr-Callback, der vom AWS-ID-Credential-Report-Checker verwendet wird.Bei der Konfiguration von ausgehendem SMTP beachten Sie bitte Folgendes:
Einschränkungen:
CANARY_ALERT_EMAIL_FROM_DISPLAY im Format vorliegen: CANARY_ALERT_EMAIL_FROM_DISPLAY=CanaryAlert <[email protected]>Hinweis: SMTP-Alarm-E-Mails senden einen RFC-konformen From-Header. Wenn CANARY_ALERT_EMAIL_FROM_DISPLAY als Anzeigename konfiguriert ist, wird der resultierende Header als Display Name <CANARY_ALERT_EMAIL_FROM_ADDRESS> dargestellt, was dem bestehenden Mailgun-Verhalten entspricht. Dies kann die Darstellung des Absenders in E-Mail-Clients für SMTP-gestützte Bereitstellungen geringfügig ändern, aber der Inhalt der Alarm-E-Mail bleibt unverändert.
Die folgenden Einstellungen müssen in switchboard.env konfiguriert werden, damit SMTP funktioniert:
Eine vollständige Beispielkonfiguration in switchboard.env sieht dann so aus:
CANARY_SMTP_SERVER=smtp.yourserver.com
CANARY_SMTP_PORT=587
CANARY_SMTP_USERNAME=<your smtp username>
CANARY_SMTP_PASSWORD=<your smtp password>
[email protected]
CANARY_ALERT_EMAIL_SUBJECT="Canary Alert via SMTP"
Standardmäßig ist, sofern nicht im DEBUG-Modus ausgeführt, nicht mehr als 1 Alarm pro eindeutiger aufrufender IP pro Minute zulässig. Aktivitäten werden weiterhin in der Datenbank aufgezeichnet und in der Token-Verwaltungskonsole angezeigt, aber es werden keine Alarme generiert (E-Mail und/oder Webhook).