amun

Amun

Amun a été le premier honeypot à faible interaction basé sur Python, suivant les concepts de Nepenthes mais en les étendant avec une émulation plus sophistiquée et une maintenance plus facile.

Prérequis

• Python >= 2.6 (pas encore de support Python3)
• (optionnel) Python Psyco (disponible sur http://psyco.sourceforge.net/)
• (optionnel) MySQLdb si submit-mysql ou log-mysql est utilisé
• (optionnel) psycopg2 si log-surfnet est utilisé

Installation

• Cloner le dépôt Git : git clone https://github.com/zeroq/amun.git
• Modifier le fichier de configuration principal d'Amun : vim conf/amun.conf
  • par exemple, définir l'adresse IP sur laquelle Amun doit écouter (0.0.0.0 pour écouter sur toutes)
  • activer ou désactiver les modules de vulnérabilité selon les besoins
• Démarrer Amun en exécutant : ./amun_server

Astuces

Si vous rencontrez des problèmes de trop nombreux fichiers ouverts en raison d'un grand nombre d'attaquants frappant votre honeypot simultanément, les paramètres suivants peuvent être ajustés :

• Pour augmenter le nombre maximum de fichiers ouverts sous Linux :
  • echo "104854" > /proc/sys/fs/file-max
  • ulimit -Hn 104854
  • ulimit -n 104854
• Pour augmenter le nombre maximum de fichiers ouverts sous BSD :
  • sysctl kern.maxfiles=104854
  • ulimit -Hn 104854
  • ulimit -n 104854

Journalisation

Toutes les informations de journalisation sont stockées dans le sous‑répertoire « logs » de votre installation d'Amun. Les fichiers journaux suivants seront créés :

• amun_server.log
  • contient des informations générales, les erreurs et les messages de vie du serveur Amun
• amun_request_handler.log
  • contient des informations sur les exploits inconnus et les étapes d'exploit non appariées
• analysis.log
  • contient des informations sur l'analyse manuelle du shellcode (effectuée via l'option -a)
• download.log
  • contient des informations sur tous les modules de téléchargement (ftp, tftp, bindport, etc.)
• exploits.log
  • contient des informations sur tous les exploits qui ont été déclenchés
• shellcode_manager.log
  • contient des informations et les erreurs du gestionnaire de shellcode
• submissions.log
  • contient des informations sur les téléchargements uniques
• successfull_downloads.log
  • contient des informations sur tous les programmes malveillants téléchargés
• unknown_downloads.log
  • contient des informations sur les méthodes de téléchargement inconnues
• vulnerabilities.log
  • contient des informations sur certains modules de vulnérabilité

Paramètres

Amun peut être exécuté avec le paramètre -a pour analyser un fichier donné à la recherche d'un shellcode connu au lieu d'exécuter le honeypot.