HoneyWire

📋 Indice dei contenuti

• Panoramica
• Dimostrazione
• Lo Standard Universale degli Eventi
• Funzionalità
• Architettura
• Guida rapida
• Note di sicurezza
• Stack tecnologico
• Roadmap e sviluppo
• Versioning e riferimento API

Panoramica

HoneyWire è un costruttore di sistemi di allarme preventivo di sicurezza distribuiti ad alto segnale, leggero, progettato per reti interne. Sfrutta la sua architettura e UX per rendere estremamente semplice la creazione di un nuovo server Cyber Canary o la distribuzione di HoneyWires su server esistenti. Utilizzando la tecnologia di deception, sostituisce l'approccio della "lente d'ingrandimento" dei tradizionali SIEM, che spesso sommergono gli analisti di falsi positivi sorvegliando il traffico legittimo, con un modello di Tripwire ad alta fedeltà.

Posiziona un sensore esattamente dove vuoi. Se scatta, hai un intruso.

• Tripwire di produzione: Fanno scattare l'allarme quando i servizi attivi vengono sondati in modi che non dovrebbero. Posizionando un sensore su un file sensibile che non dovrebbe mai essere letto o su una porta di servizio che non dovrebbe mai essere accessibile, identifichi gli intrusi dalla loro deviazione dal "percorso autorizzato".
• Deception sintetica: Distribuisci esche come l'ICMP Canary o il Network Scan Detector per fungere da decoy. Poiché questi sensori non forniscono alcun valore commerciale legittimo, il 100% del loro traffico è intelligence utilizzabile.

Configurane diversi e inizierai ad avere un'idea abbastanza chiara del movimento laterale di un intruso. Nessuna regolazione, nessun rumore, solo forensics immediata. Se hai scanner di sicurezza automatizzati legittimi che fanno scattare gli HoneyWires, basta inserirli nella whitelist dalle impostazioni dell'Hub.

Dimostrazione

🔌 Lo Standard Universale degli Eventi (Porta il tuo sensore)

Sensori della community

Nota: Se costruisci il tuo sensore utilizzando gli SDK ufficiali di HoneyWire, la formattazione JSON e la consegna vengono gestite automaticamente per te.

Il vero potere di HoneyWire è che l'Hub e il Wizard sono completamente agnostici rispetto ai sensori. Non sei limitato ai sensori ufficiali inclusi.

Aderendo allo Standard Universale degli Eventi HoneyWire V2.0, puoi scrivere uno script in qualsiasi linguaggio (Bash, Go, Rust, Python) per monitorare qualsiasi cosa, e l'interfaccia Sentinel analizzerà dinamicamente, evidenzierà la sintassi e renderizzerà i tuoi dati forensi.

Che si tratti di un motore di Deep Packet Inspection (DPI), un DNS sinkhole, un Canary Token incorporato in un PDF, un Email Honeypot o un semplice TCP Port Tripwire, basta inviare il payload JSON dello Standard Universale degli Eventi all'Hub.

Visualizza il contratto completo dei dati degli eventi qui

Funzionalità

• L'interfaccia Sentinel Hub: Una dashboard completamente reattiva basata su Vue 3, con ispezione dinamica dei payload forensi, distribuzione e gestione di Nodes e Sensors, inclusi gli aggiornamenti dei sensori, direttamente dall'interfaccia.
  • Notifiche push universali: Integrazione nativa, senza dipendenze, per instradare gli avvisi critici verso Discord, Slack, Ntfy e Gotify.
  • Integrazione SIEM enterprise: Inoltro nativo Syslog RFC5424 (TCP/UDP) per inviare senza soluzione di continuità telemetria strutturata a Splunk, Elastic, Wazuh o Vector.
• Il Setup Wizard: Uno strumento di automazione per distribuzione e test, sviluppato esplicitamente per non essere un agente in esecuzione 24/7. È semplicemente uno strumento CLI TUI che automatizza le attività dell'operatore come l'applicazione e la riconciliazione dello stato desiderato dell'Hub per un dato Node, gestendo automaticamente configurazione, distribuzione e rollback in caso di distribuzioni fallite.
• Suite di HoneyWires ufficiali: Include il TCP Tarpit nativo, il Web Router Decoy, il File Canary (FIM), l'ICMP Canary e il Network Scan Detector.

Architettura

HoneyWire è suddiviso in quattro microservizi indipendenti:

1. /Hub: Il cervello centrale. Un binario Go puro che esegue un database SQLite incorporato e la dashboard Vue.js. Viene eseguito come utente non-root all'interno di un contenitore Distroless, montando i dati in modo sicuro su un volume dedicato.
2. /Sensors: I nodi decoy. Binari Go collegati staticamente che ascoltano su porte vulnerabili, intrappolano gli aggressori e inviano in modo sicuro i dati di intrusione all'Hub.
3. /SDKs: Librerie ufficiali (come sdk-go) che gestiscono la comunicazione sicura con l'Hub, così gli sviluppatori della community possono creare facilmente nuovi sensori.
4. /wizard: Strumento CLI del setup wizard per automatizzare le attività dell'operatore come scoperta, distribuzione e test degli HoneyWires.

Consulta la documentazione completa sull'architettura Leggi la Guida alle operazioni utente

🚀 Guida rapida

La distribuzione dell'Hub HoneyWire richiede meno di 60 secondi utilizzando le nostre immagini precompilate del Container GitHub.

1. Distribuisci l'Hub

Crea una nuova directory sul tuo server, crea un file docker-compose.yml e incolla quanto segue: