RIoTPot

RIoTPot es un honeypot de interacción híbrida, enfocado principalmente en la emulación de protocolos IoT y OT, aunque también es capaz de emular otros servicios. En esencia, RIoTPot actúa como un servicio proxy para otros honeypots incluidos en el sistema. Por lo tanto, puede ejecutar cualquier honeypot y otros servicios junto con RIoTPot. Además, hay una aplicación web de interfaz de usuario (UI) que puede usar para gestionar su enrutamiento.

El honeypot viene con múltiples servicios de baja interacción listos para usar. Dado que estos servicios están escritos como plugins, solo son compatibles con Linux; sin embargo, puede iniciar RIoTPot sin ellos. La siguiente tabla contiene la lista de servicios incluidos en RIoTPot por defecto, su puerto interno y puerto proxy.

Tabla de Contenidos

• RIoTPoT
  • 1. Arquitectura
  • 2. Cómo usar RIoTPot
  • 3. Comandos

1. Architecture

La arquitectura de RIoTPot se basa en conexiones proxy a servicios internos y circundantes (o externos) (por ejemplo, honeypots, servicios completos, contenedores, hosts remotos, etc.). Para ello, el honeypot gestiona un número de proxies definidos por el usuario que retransmiten conexiones entre los servicios y RIoTPot ¹. De esta manera, RIoTPot puede decidir cómo y dónde enrutar los ataques entrantes. La lógica utilizada para determinar cómo manejar el ataque entrante se implementa en forma de middlewares ². Para gestionar servicios, middlewares y proxies, RIoTPot incluye una API REST ³ y una interfaz de usuario web ⁴ de serie. Se puede acceder a la interfaz de usuario a través del navegador en localhost:2022 y puede experimentar con los endpoints de la API en localhost:2022/api/swagger que muestra una interfaz Swagger.

Figura 1 muestra la arquitectura de RIoTPot, incluyendo las dos aplicaciones principales que constituyen RIoTPot (RIoTPot en sí mismo, y la UI de RIoTPot) y sus componentes, y una sección para encerrar servicios externos (o adyacentes).

Figura 1. Arquitectura de RIoTPot, incluyendo la aplicación principal, servicios externos y la aplicación web UI para gestionar instancias de RIoTPot.

RIoTPot está escrito en Golang⁵. Cada instancia de RIoTPot expone los proxies registrados (según su puerto) a demanda. Para servir un proxy, debe tener un servicio vinculado y el puerto del proxy debe estar disponible (actualmente, RIoTPot no acepta múltiples servicios ejecutándose en el mismo puerto). Cuando un proxy ha sido vinculado y servido, los atacantes podrán enviar mensajes a RIoTPot en ese puerto, retransmitiendo los mensajes al servicio vinculado y de vuelta al atacante⁶.

Para facilitar el acceso, se pueden gestionar múltiples instancias de RIoTPot desde la aplicación web UI de RIoTPot. Además de gestionar los proxies registrados en cada instancia, la UI permite crear, usar y editar perfiles. Cada perfil contiene un número de proxies nombrados según protocolos u otros servicios, haciendo que una instancia de RIoTPot se asemeje a un dispositivo real (por ejemplo, un asistente doméstico). En pocas palabras, los perfiles aceleran el proceso de configuración y aprovisionamiento de una instancia de RIoTPot con configuraciones específicas. La UI está escrita utilizando la biblioteca de JavaScript de front-end React (usamos Typescript para este proyecto) y la biblioteca de gestión de estado Recoil. Como RIoTPot es bastante pequeño, por el momento no utiliza una base de datos.

2. How to use RIoTPot

Ejecutar RIoTPot es relativamente simple. En general, tiene tres opciones. La primera es descargar una versión de RIoTPot; puede elegir descargar la última versión o una anterior. La segunda opción es construir el proyecto usted mismo. La última opción es usar el código fuente para crear un contenedor Docker con RIoTPot y algunas aplicaciones adicionales para mejorar el honeypot.

📁 riotpot
    ┕ riotpot
    ┕ 📁 plugins