dshield-isc/dshieldInstala y configura un sensor honeypot DShield en Raspberry Pi o Ubuntu, ejecutando honeypots Cowrie SSH y HTTP y reenviando los registros del firewall al portal DShield.
Este es un conjunto de scripts para configurar un Sensor DShield.
Objetivos de diseño actuales y requisitos previos para usar el procedimiento de instalación automatizado:
La versión actual solo está probada en Raspberry Pi OS (64-bit) y Ubuntu 24.04 LTS Server, no en otras distribuciones, lo sentimos. Si existe la necesidad de otras distribuciones, "alguien" tendrá que verificar y mantener el script de instalación.
Consulte los siguientes archivos para obtener instrucciones de instalación específicas del sistema operativo: Raspberry Pi OS (Recomendado), Ubuntu, openSUSE y AWS
install.shEste script hará lo siguiente:
Los registros se envían dos veces por hora al portal dshield mediante el trabajo cron /etc/cron.d/dshield, esto se puede verificar en 'My Account' -> 'My Reports'
Eche un vistazo a la salida del script de estado: /srv/dshield/status.sh
Si obtiene errores extraños relacionados con Python o pip durante la instalación o durante las actualizaciones, pruebe los siguientes comandos como root:
pip freeze --local | grep -v '^\-e' | cut -d = -f 1 | xargs -n1 pip install -U
Consulte nuestra Guía de solución de problemas para obtener ayuda para identificar problemas.
Dentro de su directorio "dshield" (el directorio creado anteriormente cuando ejecuta git clone), ejecute
cd install/dshield
sudo git pull
sudo bin/install.sh --update
El parámetro "--update" utilizará automáticamente la configuración existente y no solicitará al usuario ninguna opción de configuración.
Los parámetros de configuración, como su API Key, se conservarán. Para editar la configuración, edite /etc/dshield.ini; para configurar el firewall, edite /etc/network/iptables (nota: también se utiliza la tabla nat).
Se ha introducido una nueva funcionalidad, especialmente para las actualizaciones automáticas. Al final de la instalación, el script install.sh buscará el archivo /root/bin/postinstall.sh y ejecutará su contenido, si existe. Si necesita realizar cambios adicionales en los archivos recién instalados, este es el lugar donde debe incluirlos. Este archivo NECESITA permisos de ejecución.
Asegúrese de mantener actualizada la configuración especial de puertos y red (por ejemplo, configure manualmente en la configuración del firewall los puertos telnet/web añadidos recientemente), p. ej., la configuración no-log, la configuración no-honey, ... lamentablemente, esto no se puede hacer de forma automágica por ahora. Si tiene dudas, elimine las líneas correspondientes en /etc/dshield.ini y vuelva a ejecutar el script de instalación.
Este sensor y honeypot DShield está pensado para analizar únicamente el tráfico relacionado con Internet, es decir, el tráfico que se origina desde direcciones IP públicas:
Por lo tanto, debe colocar la Pi en una red donde pueda estar expuesta a Internet (y a la que no se conecten las redes internas, excepto para tareas administrativas). Para obtener el máximo beneficio del sensor, es deseable que la Pi esté expuesta a todo el tráfico que Internet enruta hacia una IP pública (y no solo a puertos seleccionados).
Para los usuarios de SoHo, normalmente existe una opción en el router DSL o de cable para dirigir todo el tráfico desde la IP pública que utiliza el router (es decir, la asignada por el ISP) a una IP interna. Esta debe ser la Pi. Esta funcionalidad se denomina, por ejemplo, "exposed host", "DMZ" (aquí puede que tenga que habilitar configuración adicional para asegurarse de que todo el tráfico se enrute a la dirección IP interna de la Pi y no solo, por ejemplo, al puerto 80).
Para las empresas, una DMZ protegida sería un lugar adecuado (protegida: si el sensor/honeypot es hackeado, este incidente queda contenido y no afecta a otros hosts de la DMZ). Tenga en cuenta que, si utiliza IPs estáticas, está exponiendo los ataques/escaneos dirigidos a su IP al proyecto DShield y a la comunidad, los cuales pueden rastrearse mediante whois hasta su empresa.
Para probar su configuración, puede utilizar un escáner de puertos público y apuntarlo a la IP pública del router (que luego se reenvía internamente a la Pi). Este escaneo de puertos debería ser visible directamente en /var/log/dshield.log y, más tarde, en su informe en línea accesible a través de su cuenta de DShield. Utilícelo solo para pruebas rápidas y limitadas, por favor, para que los datos de DShield no se falsifiquen.
install.shstatus.sh) a la estructura de directorios /srvsitecopy.py copiará cualquier sitio que se sirva usando el script web.py, simplemente use:
python sitecopy.py http://www.yoursite.com