Honeybits

あなたのトラップの効果を高めるために、本番サーバーやワークステーション全体にブレッドクラムとハニートークンを広め、攻撃者をハニーポットに誘導するためのシンプルなPoCツールです。

著者: Adel "0x4D31" Karimi.

このプロジェクトのWindows版: honeybits-win

背景

ハニーポットは、セキュリティ研究者が攻撃者のツール、技術、動機を研究するために長年にわたって使用されてきましたが、本番環境で広く受け入れられ、展開されるには至っていません。その理由の一つは、従来のハニーポットの実装が静的であり、成功が攻撃者による発見（通常はネットワークスキャンを必要とする）に依存していることです！

Mitre ATT&CK Matrix を見ると、'ネットワークサービススキャン'は、侵害後の多くのアクティビティのうちの1つに過ぎないことがわかります。侵害後の手法に対して偽の情報や誤解を招く情報を植え付けるほど（特にATT&CKマトリックスの「認証情報アクセス」「発見」「横方向移動」戦術に該当する手法）、攻撃者を捕まえる可能性が高まります。Honeybits は、本番サーバーやワークステーションにブレッドクラム/ハニートークンを作成するプロセスを自動化します。これらのハニートークンやブレッドクラムには以下が含まれます：

• 偽のbash_historyコマンド（ssh、ftp、rsync、scp、mysql、wget、awscliなど）
• 偽のAWS認証情報と設定ファイル（権限のない偽のAWS IAMユーザーを作成し、アクセスキーを生成する必要があります）
• RDPやVPNなどの設定ファイル、バックアップファイル、接続ファイル
• hosts、ARPテーブルなどの偽のエントリ
• 偽のブラウザ履歴、ブックマーク、保存されたパスワード
• LSASSに注入された偽の認証情報
• 偽のレジストリキー

機能

• go-auditまたはauditdを使用したハニーファイルの作成とそれらのトラップへのアクセスの監視
• テンプレートベースのハニーファイル用コンテンツ生成機能
• AWS設定ファイルと認証情報ファイルへのハニービットの挿入
• /etc/hostsへのハニービットの挿入
• Consulやetcdなどのリモートキーバリューストアからの設定の読み取り
• "bash_history"へのさまざまなハニービットの挿入（以下のサンプルコマンドを含む）:
  • ssh (sshpass -p '123456' ssh -p 2222 [email protected])
  • ftp (ftp ftp://backup:[email protected]:2121)
  • rsync (rsync -avz -e 'ssh -p 2222' [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • scp (scp -P 2222 [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • mysql (mysql -h 192.168.1.66 -P 3306 -u dbadmin -p12345 -e "show databases")
  • wget (wget http://192.168.1.66:8080/backup.zip)
  • 任意のカスタムコマンド: (nano /tmp/backup/credentials.txt)
  • aws:

export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws ec2 describe-instances --profile devops --region us-east-2

必要条件

• Go Lang 1.7+
• Viper (go get github.com/spf13/viper)
• crypt (go get github.com/xordataexchange/crypt/config)
• go-audit または auditd（ハニーファイルを監視する場合）

使い方:

$ go build
$ sudo ./honeybits 

Failed reading remote config. Reading the local config file...
Local config file loaded.

[failed] honeyfile already exists at this path: /tmp/secret.txt
[done] go-audit rule for /home/test/secret.txt is added
[done] honeyfile is created (/home/test/secret.txt)
[done] go-audit rule for /opt/secret.txt is added
[done] sshpass honeybit is inserted
[done] wget honeybit is inserted
[done] ftp honeybit is inserted
[done] rsync honeybit is inserted
[done] scp honeybit is inserted
[done] mysql honeybit is inserted
[failed] aws honeybit already exists
[done] hostsconf honeybit is inserted
[done] awsconf honeybit is inserted
[done] awscred honeybit is inserted
[done] custom honeybit is inserted

TODO:

• コード全体を書き直す。現在のコードは粗末（単なるPoC）！
• コンテンツ生成機能を改善
• さらに多くのトラップ（以下を含む）:
  • Beacon文書
  • エントリを含むKeePassファイル（.kdbx）
  • データベースファイル/バックアップ: SQLite、MySQL
  • Nmap出力などの偽のセキュリティスキャン結果
  • ハードコードされたIP/認証情報を含むバイナリファイル
• さらに多くのネットワークトラップ
  • 認証情報などを含む偽のPCAP/ネットワークトラフィック
  • 偽のARPテーブルエントリ
  • go-auditを使用したネットワークトラップの監視
• Windows版（honeybits-win）の完成
• ドキュメント