honeyLambda

Trampa sin servidor

honeyλ - una aplicación simple sin servidor diseñada para crear y monitorear URL {honey}tokens, sobre AWS Lambda y Amazon API Gateway

• Notificaciones de Slack
• Alertas por correo electrónico y SMS
• Cargar configuración desde archivo local o Amazon S3
• Personalizar la respuesta HTTP para cada token
• Informe de inteligencia de amenazas (consulta de IP de origen)
  • Usando la API de Cymon v2
• Basado en el framework Serverless
  • paga lo que usas
  • agnóstico del proveedor

Descripción

honeyλ te permite crear y monitorear endpoints HTTP falsos automáticamente. Luego puedes colocar estos honeytokens de URL en, por ejemplo, tu bandeja de entrada, documentos, historial del navegador, o insertarlos como enlaces {ocultos} en tus páginas web (Nota: honeybits puede usarse para esparcir migas de pan en tus sistemas para atraer a los atacantes hacia tus trampas). Dependiendo de cómo y dónde implementes los honeytokens, puedes detectar atacantes humanos, insiders maliciosos, extractores de contenido o bots maliciosos.

Esta aplicación está basada en Serverless framework y se puede desplegar en diferentes proveedores de nube como Amazon Web Services (AWS), Microsoft Azure, IBM OpenWhisk o Google Cloud (solo probado en AWS; la función principal puede necesitar pequeños cambios para soportar otros proveedores). Si tu proveedor de nube es AWS, automáticamente crea endpoints HTTP usando Amazon API Gateway y luego comienza a monitorear los endpoints HTTP mediante la función Lambda honeyλ.

Configuración

• Instalar el framework Serverless:
  • npm install -g serverless
• Instalar honeyλ:
  • serverless install --url https://github.com/0x4d31/honeyLambda
• Editar serverless.yml y establecer la ruta del endpoint HTTP (por defecto: /v1/get-pass)
• Editar config.json y completar tu URL de Webhook de Slack. Cambiar las configuraciones de trampa/token según necesites
• Puedes personalizar la respuesta HTTP para cada token
  • Por ejemplo, puedes devolver una imagen beacon de 1x1px como respuesta e insertar el token en tus documentos señuelo o correos electrónicos (¡píxel de seguimiento!)

Despliegue

• Configurar tus Credenciales de AWS
• Para desplegar honeyλ, simplemente ejecuta:
  • serverless deploy

Salida:

Serverless: Packaging service...
Serverless: Creating Stack...
Serverless: Checking Stack create progress...
.....
Serverless: Stack create finished...
Serverless: Uploading CloudFormation file to S3...
Serverless: Uploading artifacts...
Serverless: Uploading service .zip file to S3 (116.22 KB)...
Serverless: Validating template...
Serverless: Updating Stack...
Serverless: Checking Stack update progress...
.................................
Serverless: Stack update finished...
Service Information
service: honeyLambda
stage: dev
region: ap-southeast-2
api keys:
  None
endpoints:
  GET - https://rz1bEXAMPLE.execute-api.ap-southeast-2.amazonaws.com/dev/v1/get-pass
functions:
  honeylambda: honeyLambda-dev-honeylambda

• Nota: Si deseas devolver binario en la respuesta HTTP (por ejemplo, Content-Type: image/png), debes configurar manualmente el soporte binario usando la consola de Amazon API Gateway (aún no es posible configurar tipos de medios binarios automáticamente con serverless):

Abre la consola de Amazon API Gateway, agrega el tipo de medio binario */* y guarda.

Una vez hecho esto, debes redesplegar la API en el stage dev

Uso

Abre la URL/endpoint generada en tu navegador para probar si funciona:

Alerta de Slack

PENDIENTE

• Configuración remota: cargar configuración desde Amazon S3
• Imagen beacon / devolver imagen como respuesta HTTP
• Personalizar la respuesta HTTP para cada token
• Verificar la dirección IP de origen contra fuentes de inteligencia de amenazas (p. ej., API de Cymon)
• Alerta por correo electrónico
• Alerta por SMS (Twilio)
• Huella digital del cliente HTTP