dshield-isc/dshieldInstalle et configure un capteur honeypot DShield sur Raspberry Pi ou Ubuntu, en exécutant les honeypots SSH et HTTP Cowrie et en transmettant les journaux du pare-feu au portail DShield.
Il s'agit d'un ensemble de scripts permettant d'installer un capteur DShield.
Objectifs de conception actuels et prérequis pour l'utilisation de la procédure d'installation automatisée :
La version actuelle n'est testée que sur Raspberry Pi OS (64 bits) et Ubuntu 24.04 LTS Server, pas sur d'autres distributions, désolé. Si d'autres distributions sont nécessaires, « quelqu'un » devra vérifier et maintenir le script d'installation.
Consultez les fichiers suivants pour les instructions d'installation spécifiques au système d'exploitation : Raspberry Pi OS (recommandé), Ubuntu, openSUSE et AWS
install.shCe script va :
Les journaux sont envoyés deux fois par heure au portail dshield par la tâche cron /etc/cron.d/dshield, ce qui peut être vérifié via 'My Account' -> 'My Reports'
Consultez la sortie du script d'état : /srv/dshield/status.sh
Si vous rencontrez d'étranges erreurs liées à Python ou pip pendant l'installation ou les mises à jour, essayez les commandes suivantes en tant que root :
pip freeze --local | grep -v '^\-e' | cut -d = -f 1 | xargs -n1 pip install -U
Consultez notre Guide de dépannage pour vous aider à identifier les problèmes.
Dans votre répertoire « dshield » (le répertoire créé ci-dessus lorsque vous exécutez git clone), exécutez
cd install/dshield
sudo git pull
sudo bin/install.sh --update
Le paramètre "--update" utilisera automatiquement la configuration existante et ne demandera aucune option de configuration à l'utilisateur.
Les paramètres de configuration comme votre clé API seront conservés. Pour modifier la configuration, éditez /etc/dshield.ini, pour configurer le pare-feu, éditez /etc/network/iptables (note : la table nat est également utilisée).
Une nouvelle fonctionnalité a été introduite, spécialement pour les mises à jour automatiques. À la fin de l'installation, le script install.sh recherchera le fichier /root/bin/postinstall.sh et exécutera son contenu, s'il existe. Si vous avez besoin de modifications supplémentaires dans les fichiers nouvellement installés, c'est l'endroit où les placer. Ce fichier DOIT avoir les droits d'exécution.
Veuillez vous assurer de maintenir à jour la configuration spéciale des ports et du réseau (par exemple, configurer manuellement les ports telnet/web récemment ajoutés dans la configuration du pare-feu), par exemple la configuration no-log, no-honey, ... malheureusement, cela ne peut pas être fait automatiquement pour l'instant. En cas de doute, supprimez les lignes correspondantes dans /etc/dshield.ini et relancez le script d'installation.
Ce capteur et pot de miel DShield est destiné à analyser uniquement le trafic lié à Internet, c'est-à-dire le trafic issu d'adresses IP publiques :
Vous devez donc placer le Pi sur un réseau où il peut être exposé à Internet (et ne sera pas contacté depuis les réseaux internes, sauf pour des tâches administratives). Pour un bénéfice maximal du capteur, il est souhaitable que le Pi soit exposé à l'ensemble du trafic qu'Internet route vers une IP publique (et pas seulement à des ports sélectionnés).
Pour les utilisateurs SoHo, il existe normalement une option dans le routeur DSL ou câble pour diriger tout le trafic depuis l'IP publique utilisée par le routeur (c'est-à-dire attribuée par le FAI) vers une IP interne. Cela doit être le Pi. Cette fonctionnalité est nommée par exemple « hôte exposé », « DMZ » (ici vous devrez peut-être activer une configuration supplémentaire pour garantir que tout le trafic est routé vers l'adresse IP interne du Pi et pas seulement par exemple le port 80).
Pour les entreprises, une DMZ protégée serait un emplacement approprié (protégée : si le capteur/pot de miel est piraté, cet incident est contenu et n'affecte pas les autres hôtes de la DMZ). Veuillez noter que - si vous utilisez des IP statiques - vous exposez les attaques / scans visant votre IP au projet DShield et à la communauté, qui peuvent être tracés via whois jusqu'à votre entreprise.
Pour tester votre installation, vous pouvez utiliser un scanner de ports public et le pointer vers l'IP publique du routeur (qui est ensuite redirigée en interne vers le Pi). Ce scan de ports devrait être directement visible dans /var/log/dshield.log et plus tard dans votre rapport en ligne accessible via votre compte DShield. Veuillez l'utiliser uniquement à des fins de test rapide et limité, afin que les données DShield ne soient pas faussées.
install.shstatus.sh) dans la structure de répertoires /srvsitecopy.py copiera tout site servi en utilisant le script web.py, il suffit d'utiliser :
python sitecopy.py http://www.yoursite.com