RIoTPot

RIoTPot est un honeypot à interaction hybride, principalement axé sur l’émulation des protocoles IoT et OT, bien qu’il soit également capable d’émuler d’autres services. Essentiellement, RIoTPot agit comme un service proxy pour les autres honeypots inclus dans le système. Vous pouvez donc exécuter n’importe quel honeypot et d’autres services en parallèle avec RIoTPot. De plus, une application Web (UI) est disponible pour gérer votre routage.

Le honeypot est livré avec plusieurs services à faible interaction prêts à l’emploi. Ces services étant écrits sous forme de plugins, ils ne sont pris en charge que sous Linux ; cependant, vous pouvez lancer RIoTPot sans eux. Le tableau suivant contient la liste des services inclus par défaut dans RIoTPot, leur port interne et leur port proxy.

Table des matières

• RIoTPot
  • 1. Architecture
  • 2. Comment utiliser RIoTPot
  • 3. Commandes

1. Architecture

L’architecture de RIoTPot repose sur des connexions proxy vers des services internes et environnants (ou externes) (par exemple, honeypots, services complets, conteneurs, hôtes distants, etc.). Pour ce faire, le honeypot gère un certain nombre de proxies définis par l’utilisateur, qui relayent les connexions entre les services et RIoTPot ¹. Ainsi, RIoTPot peut décider comment et où router les attaques entrantes. La logique utilisée pour déterminer comment traiter l’attaque entrante est implémentée sous forme de middlewares ². Pour gérer les services, les middlewares et les proxies, RIoTPot est livré avec une API REST ³ et une interface Web (UI) ⁴ prêtes à l’emploi. L’interface utilisateur est accessible via votre navigateur à l’adresse localhost:2022 et vous pouvez manipuler les points de terminaison de l’API à localhost:2022/api/swagger, qui présente une interface Swagger.

Figure 1 montre l’architecture de RIoTPot, incluant les deux applications principales qui le constituent (RIoTPot lui-même et RIoTPot UI) et leurs composants, ainsi qu’une section pour les services externes (ou adjacents).

Figure 1. Architecture de RIoTPot, comprenant l’application principale, les services externes et l’interface Web UI pour gérer les instances RIoTPot.

RIoTPot est écrit en Golang⁵. Chaque instance RIoTPot expose les proxies enregistrés (basés sur leur port) à la demande. Pour servir un proxy, il doit avoir un service lié et le port proxy doit être disponible (actuellement, RIoTPot n’accepte pas plusieurs services fonctionnant sur le même port). Lorsqu’un proxy a été lié et servi, les attaquants pourront envoyer des messages à RIoTPot sur ce port, relayant les messages au service lié et en retour à l’attaquant⁶.

Pour faciliter l’accès, plusieurs instances de RIoTPot peuvent être gérées depuis l’interface Web RIoTPot UI. En plus de gérer les proxies enregistrés dans chaque instance, l’interface utilisateur permet de créer, d’utiliser et de modifier des profiles. Chaque profil contient un certain nombre de proxies nommés d’après des protocoles ou d’autres services, faisant ressembler une instance RIoTPot à un appareil réel (par exemple, un assistant domestique). En quelques mots, les profils accélèrent le processus de configuration et de provisionnement d’une instance RIoTPot avec des configurations spécifiques. L’interface utilisateur est écrite à l’aide de la bibliothèque JavaScript front-end React (nous utilisons TypeScript pour ce projet) et de la bibliothèque de gestion d’état Recoil. RIoTPot étant relativement petit, il n’utilise pas de base de données pour le moment.

2. Comment utiliser RIoTPot

Exécuter RIoTPot est relativement simple. Globalement, vous avez trois options. La première consiste à télécharger une version de RIoTPot ; vous pouvez choisir de télécharger la dernière version ou une version antérieure. La deuxième option est de construire le projet vous-même. La dernière option consiste à utiliser le code source pour créer un conteneur Docker avec RIoTPot et quelques applications supplémentaires pour améliorer le honeypot.