honeyLambda

Trappola serverless

honeyλ - una semplice applicazione serverless progettata per creare e monitorare URL {honey}tokens, su AWS Lambda e Amazon API Gateway

• Notifiche Slack
• Avvisi via email e SMS
• Carica configurazione da file locale o Amazon S3
• Personalizza la risposta HTTP per ogni token
• Report di Threat Intelligence (ricerca IP sorgente)
  • Utilizzando Cymon API v2
• Basato su Serverless framework
  • paghi per quello che usi
  • indipendente dal provider

Descrizione

honeyλ ti permette di creare e monitorare automaticamente endpoint HTTP fasulli. Puoi quindi posizionare questi URL honeytokens, ad esempio, nella tua casella di posta, documenti, cronologia del browser, o incorporarli come link {nascosti} nelle tue pagine web (Nota: honeybits può essere usato per spargere briciole di pane attraverso i tuoi sistemi per attirare gli aggressori verso le tue trappole). A seconda di come e dove implementi gli honeytokens, puoi rilevare aggressori umani, insider malintenzionati, scrapers di contenuti o bot dannosi.

Questa applicazione è basata su Serverless framework e può essere distribuita su diversi provider cloud come Amazon Web Services (AWS), Microsoft Azure, IBM OpenWhisk o Google Cloud (Testata solo su AWS; la funzione principale potrebbe necessitare di piccole modifiche per supportare altri provider). Se il tuo provider cloud è AWS, crea automaticamente endpoint HTTP tramite Amazon API Gateway e poi inizia a monitorare gli endpoint HTTP utilizzando la funzione Lambda honeyλ.

Setup

• Installa Serverless framework:
  • npm install -g serverless
• Installa honeyλ:
  • serverless install --url https://github.com/0x4d31/honeyLambda
• Modifica serverless.yml e imposta il percorso dell'endpoint HTTP (default: /v1/get-pass)
• Modifica config.json e inserisci la tua URL del Webhook di Slack. Modifica le configurazioni della trappola/token come necessario
• Puoi personalizzare la risposta HTTP per ogni token
  • Ad esempio, puoi restituire un'immagine beacon 1x1px nella risposta e incorporare il token nei tuoi documenti fittizi o email (pixel di tracciamento!)

Deploy

• Configura le tue Credenziali AWS
• Per distribuire honeyλ, esegui semplicemente:
  • serverless deploy

Output:

Serverless: Packaging service...
Serverless: Creating Stack...
Serverless: Checking Stack create progress...
.....
Serverless: Stack create finished...
Serverless: Uploading CloudFormation file to S3...
Serverless: Uploading artifacts...
Serverless: Uploading service .zip file to S3 (116.22 KB)...
Serverless: Validating template...
Serverless: Updating Stack...
Serverless: Checking Stack update progress...
.................................
Serverless: Stack update finished...
Service Information
service: honeyLambda
stage: dev
region: ap-southeast-2
api keys:
  None
endpoints:
  GET - https://rz1bEXAMPLE.execute-api.ap-southeast-2.amazonaws.com/dev/v1/get-pass
functions:
  honeylambda: honeyLambda-dev-honeylambda

• Nota: Se vuoi restituire dati binari nella risposta HTTP (ad es. Content-Type: image/png), devi configurare manualmente il supporto binario utilizzando la console di Amazon API Gateway (non è ancora possibile impostare automaticamente i tipi di media binari usando serverless):

Apri la console di Amazon API Gateway, aggiungi il tipo di media binario */*, e salva.

Una volta fatto, devi ridistribuire l'API allo stage dev

Utilizzo

Apri l'URL/endpoint generato nel tuo browser per verificare che funzioni:

Avviso Slack

TODO

• Configurazione remota: carica configurazione da Amazon S3
• Immagine beacon / restituisci immagine come risposta HTTP
• Personalizza la risposta HTTP per ogni token
• Controlla l'indirizzo IP sorgente rispetto ai feed di Threat Intelligence (es. Cymon API)
• Avviso email
• Avviso SMS (Twilio)
• Impronta digitale del client HTTP