honeyLambda

Piège serverless

honeyλ - une simple application serverless conçue pour créer et surveiller des URL {honey}tokens, sur AWS Lambda et Amazon API Gateway

• Notifications Slack
• Alertes par e-mail et SMS
• Charger la configuration depuis un fichier local ou Amazon S3
• Personnaliser la réponse HTTP pour chaque token
• Rapport de Threat Intelligence (recherche d'adresse IP source)
  • En utilisant l'API Cymon v2
• Basé sur le framework Serverless
  • payez selon votre utilisation
  • indépendant du fournisseur

Description

honeyλ vous permet de créer et de surveiller automatiquement des faux points de terminaison HTTP. Vous pouvez ensuite placer ces URL honeytokens par exemple dans votre boîte de réception, vos documents, l'historique de votre navigateur, ou les intégrer en tant que liens {cachés} dans vos pages web (Note : honeybits peut être utilisé pour disperser des miettes de pain à travers vos systèmes afin d'attirer les attaquants vers vos pièges). Selon comment et où vous implémentez les honeytokens, vous pouvez détecter des attaquants humains, des initiés malveillants, des scrapers de contenu ou des bots malveillants.

Cette application est basée sur le framework Serverless et peut être déployée sur différents fournisseurs cloud tels qu'Amazon Web Services (AWS), Microsoft Azure, IBM OpenWhisk ou Google Cloud (testé uniquement sur AWS ; la fonction principale peut nécessiter de petites modifications pour prendre en charge d'autres fournisseurs). Si votre fournisseur cloud est AWS, elle crée automatiquement des points de terminaison HTTP en utilisant Amazon API Gateway, puis commence à surveiller ces points de terminaison HTTP via la fonction Lambda honeyλ.

Configuration

• Installer le framework Serverless :
  • npm install -g serverless
• Installer honeyλ :
  • serverless install --url https://github.com/0x4d31/honeyLambda
• Modifier serverless.yml et définir le chemin du point de terminaison HTTP (par défaut : /v1/get-pass)
• Modifier config.json et remplir votre URL Slack Webhook. Modifier les configurations de piège/token selon vos besoins.
• Vous pouvez personnaliser la réponse HTTP pour chaque token.
  • Par exemple, vous pouvez retourner une image de balise de 1x1px en réponse et intégrer le token dans vos documents leurres ou e-mails (pixel de suivi !)

Déploiement

• Configurer vos informations d'identification AWS
• Pour déployer honeyλ, exécutez simplement :
  • serverless deploy

Sortie :

Serverless: Packaging service...
Serverless: Creating Stack...
Serverless: Checking Stack create progress...
.....
Serverless: Stack create finished...
Serverless: Uploading CloudFormation file to S3...
Serverless: Uploading artifacts...
Serverless: Uploading service .zip file to S3 (116.22 KB)...
Serverless: Validating template...
Serverless: Updating Stack...
Serverless: Checking Stack update progress...
.................................
Serverless: Stack update finished...
Service Information
service: honeyLambda
stage: dev
region: ap-southeast-2
api keys:
  None
endpoints:
  GET - https://rz1bEXAMPLE.execute-api.ap-southeast-2.amazonaws.com/dev/v1/get-pass
functions:
  honeylambda: honeyLambda-dev-honeylambda

• Remarque : Si vous souhaitez retourner une réponse HTTP binaire (par exemple Content-Type: image/png), vous devez configurer manuellement le support binaire à l'aide de la console Amazon API Gateway (il n'est pas encore possible de définir automatiquement les types de médias binaires avec serverless) :

Une fois cela fait, vous devez redéployer l'API vers l'environnement dev

Utilisation

Ouvrez l'URL/point de terminaison généré dans votre navigateur pour tester s'il fonctionne :

Alerte Slack

À FAIRE

• Configuration à distance : charger la configuration depuis Amazon S3
• Image de balise / retourner une image en réponse HTTP
• Personnaliser la réponse HTTP pour chaque token
• Vérifier l'adresse IP source par rapport aux flux de Threat Intelligence (par ex. API Cymon)
• Alerte par e-mail
• Alerte SMS (Twilio)
• Empreinte du client HTTP