Log4Shell हनीपॉट

व्यापक सुरक्षा सुविधाओं, निगरानी और अलर्टिंग क्षमताओं के साथ CVE-2021-44228 के लिए उन्नत डॉकरीकृत हनीपॉट।

सुविधाएँ

उन्नत पहचान

• व्यापक पैटर्न मिलान: JNDI, LDAP, RMI, DNS और पर्यावरण चर लुकअप सहित 20+ Log4Shell शोषण पैटर्न का पता लगाता है
• बहु-स्रोत पहचान: HTTP हेडर, फॉर्म डेटा और क्वेरी पैरामीटर की निगरानी करता है
• रीयल-टाइम लॉगिंग: विस्तृत हमले की जानकारी के साथ संरचित JSON लॉगिंग

सुरक्षा और प्रदर्शन

• दर सीमित करना: दुरुपयोग को रोकने के लिए प्रति-IP कॉन्फ़िगरेबल दर सीमित करना
• रिवर्स प्रॉक्सी: सुरक्षा हेडर और SSL समाप्ति के साथ Nginx कॉन्फ़िगरेशन
• कंटेनर सुरक्षा: गैर-रूट उपयोगकर्ता, केवल-पढ़ने के लिए फाइलसिस्टम, गिराई गई क्षमताएँ
• fail2ban एकीकरण: बार-बार प्रयासों के बाद स्वचालित IP ब्लॉकिंग

निगरानी और अलर्टिंग

• स्वास्थ्य जाँच: कंटेनर ऑर्केस्ट्रेशन के लिए अंतर्निहित स्वास्थ्य एंडपॉइंट
• मीट्रिक्स एंडपॉइंट: अनुरोधों और हमलों पर रीयल-टाइम आँकड़े
• लॉग विश्लेषण: हमले के पैटर्न और रुझानों के विश्लेषण के लिए Python स्क्रिप्ट
• रीयल-टाइम निगरानी: स्वरूपित आउटपुट के साथ टेल लॉग

परिचालन सुविधाएँ

• लॉग रोटेशन: कॉन्फ़िगरेबल आकार सीमाओं के साथ स्वचालित लॉग रोटेशन
• सुंदर शटडाउन: साफ कंटेनर स्टॉप के लिए उचित सिग्नल हैंडलिंग
• कॉन्फ़िगरेशन: सभी सेटिंग्स के लिए पर्यावरण-आधारित कॉन्फ़िगरेशन
• SSL समर्थन: HTTPS के लिए स्व-हस्ताक्षरित प्रमाणपत्र जनरेशन

त्वरित प्रारंभ

सरल तैनाती

# Generate SSL certificates
./generate-ssl.sh

# Start with docker-compose
docker-compose up -d

# Monitor logs
./monitor.py --tail

पूर्ण तैनाती (fail2ban के साथ)

# Run as root for fail2ban setup
sudo ./deploy.sh

मैनुअल Docker रन

# x86_64
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  -e LOG_FORMAT="json" \
  -e RATE_LIMIT_REQUESTS="100" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:latest

# ARM (e.g., Raspberry Pi)
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:arm-latest

कॉन्फ़िगरेशन

पर्यावरण चर

कॉन्फ़िगरेशन फ़ाइल का उपयोग करना

# Load from config file
docker-compose --env-file config.env up -d

पहचान पैटर्न

हनीपॉट निम्नलिखित Log4Shell पैटर्न का पता लगाता है:

• ${jndi: - JNDI लुकअप (प्राथमिक हमला वेक्टर)
• ${ldap: - LDAP निर्देशिका लुकअप
• ${rmi: - RMI रिमोट मेथड इनवोकेशन
• ${dns: - DNS लुकअप
• ${env: - पर्यावरण चर तक पहुंच
• ${sys: - सिस्टम प्रॉपर्टी एक्सेस
• ${java: - Java रनटाइम जानकारी
• और 15+ अतिरिक्त पैटर्न

निगरानी

रीयल-टाइम निगरानी

# Tail logs with formatted output
./monitor.py --tail

# Analyze last 24 hours
./monitor.py --hours 24

# Analyze last hour
./monitor.py --hours 1

स्वास्थ्य जाँच

curl http://localhost/health

मीट्रिक्स

curl http://localhost/metrics

fail2ban स्थिति

sudo fail2ban-client status log4shell-honeypot

लॉग प्रारूप

उन्नत JSON लॉग प्रारूप में शामिल है:

{
  "timestamp": "2024-01-15T10:30:45Z",
  "honeypot": "log4shell-honeypot",
  "event_type": "log4shell_attempt",
  "source_ip": "192.168.1.100",
  "real_ip": "10.0.0.5",
  "method": "POST",
  "url": "http://honeypot.local/",
  "user_agent": "Mozilla/5.0...",
  "detected_patterns": ["${jndi:", "${env:"],
  "detection_source": "form_field:username",
  "headers": {...},
  "form_data": {...},
  "query_params": {...},
  "content_length": 45
}

सुरक्षा सुविधाएँ

कंटेनर सुरक्षा

• गैर-रूट उपयोगकर्ता निष्पादन
• केवल-पढ़ने के लिए रूट फाइलसिस्टम
• गिराई गई Linux क्षमताएँ
• कोई नया विशेषाधिकार नहीं
• /tmp के लिए अस्थायी फाइलसिस्टम

नेटवर्क सुरक्षा

• सुरक्षा हेडर के साथ Nginx रिवर्स प्रॉक्सी
• कई स्तरों पर दर सीमित करना
• SSL/TLS समाप्ति
• IP ब्लॉक करने के लिए fail2ban एकीकरण

लॉगिंग सुरक्षा

• SIEM एकीकरण के लिए संरचित लॉगिंग
• डिस्क खपत को रोकने के लिए लॉग रोटेशन
• अलग लॉग वॉल्यूम
• लॉगिंग विफलताओं के लिए त्रुटि प्रबंधन

एकीकरण

SIEM एकीकरण

संरचित JSON लॉग को आसानी से निम्न द्वारा इन्जेस्ट किया जा सकता है:

• ELK Stack (Elasticsearch, Logstash, Kibana)
• Splunk
• Graylog
• Fluentd/Fluent Bit

अलर्टिंग

इस आधार पर अलर्ट सेट करें:

• हमले की आवृत्ति सीमाएँ
• नए हमले पैटर्न
• भौगोलिक विसंगतियाँ
• उपयोगकर्ता एजेंट पैटर्न

स्रोत से निर्माण

# Build container
docker build -t log4shell-honeypot:latest .

# Build with specific tag
docker build -t log4shell-honeypot:v2.0 .

समस्या निवारण

कंटेनर स्थिति जांचें

docker-compose ps
docker-compose logs log4shell-honeypot

स्वास्थ्य सत्यापित करें

curl -f http://localhost/health || echo "Health check failed"

fail2ban जांचें

sudo fail2ban-client status
sudo tail -f /var/log/fail2ban.log

लॉग विश्लेषण

# Check for recent attacks
./monitor.py --hours 1

# View raw logs
tail -f /var/log/log4shell-honeypot.log

प्रदर्शन ट्यूनिंग

उच्च ट्रैफ़िक वातावरण

• वैध उच्च ट्रैफ़िक के लिए RATE_LIMIT_REQUESTS बढ़ाएँ
• लॉग प्रतिधारण के लिए MAX_LOG_SIZE और LOG_BACKUP_COUNT समायोजित करें
• स्थानीय भंडारण कम करने के लिए बाहरी लॉग एकत्रीकरण का उपयोग करें

संसाधन सीमाएँ

# In docker-compose.yml
deploy:
  resources:
    limits:
      cpus: '0.5'
      memory: 256M
    reservations:
      cpus: '0.1'
      memory: 128M

योगदान

1. रिपॉजिटरी को फोर्क करें
2. एक फीचर ब्रांच बनाएँ
3. अपने बदलाव करें
4. यदि लागू हो तो परीक्षण जोड़ें
5. एक पुल अनुरोध सबमिट करें

सुरक्षा संबंधी विचार

• प्रतिबंधित पहुंच वाले फ़ायरवॉल के पीछे तैनात करें
• हमले के पैटर्न के लिए नियमित रूप से लॉग की निगरानी करें
• कंटेनर इमेज को अपडेट रखें
• उत्पादन में मजबूत SSL प्रमाणपत्रों का उपयोग करें
• नेटवर्क विभाजन लागू करें
• तैनाती के नियमित सुरक्षा ऑडिट

आभार

यह BinaryDefense/log4shell-honeypot-flask का एक उन्नत फोर्क है जिसमें महत्वपूर्ण सुरक्षा और परिचालन सुधार हैं।