Beelzebub — オープンソースのデセプションフレームワーク

Beelzebub

オープンソースのデセプションフレームワーク。

現実的なデコイを配備する。攻撃者の行動を観察する。インタラクションをセキュリティ上の証拠に変える。

Beelzebub Platform を試す · ドキュメント · クイックスタート

Beelzebub は、デコイサービスに向けられた活動を調査するための設定可能な手段をセキュリティチームに提供します。攻撃者が遭遇する環境を定義し、その応答方法を選択し、調査のためにインタラクションを記録します。フレームワークを単独で実行することも、Beelzebub Platform に接続することもできます。

Beelzebub を選ぶ理由

環境に合ったデコイを配備できます。 サービス、ルート、応答ルールを YAML で定義します。予測可能な動作には静的ハンドラーを、適応的なインタラクションには LLM を活用した応答を使用します。カスタム動作が必要な場合は、信頼できる Go プラグインでランタイムを拡張できます。
接触後に何が起きたかを観察できます。 プロトコルに応じて、コマンド、HTTP リクエストの詳細、セッションコンテキストなど、デコイとのインタラクションから証拠を収集します。サービスに向けられた活動の記録をアナリストに提供し、調査を支援します。
証拠をワークフローに取り込めます。 ログをローカルで検査するか、構造化イベントを RabbitMQ に発行するか、Beelzebub Platform へのレポートを有効にします。core.prometheus.enabled: true で Prometheus メトリクスを有効にしてランタイムの活動を監視できます。デフォルトでは、メトリクスリスナーは無効になっており、ポートをバインドしません。

実際の動作を見る

LLM を活用したデコイが攻撃者の入力に応答する様子をご覧ください。このデモは、生成された応答が固定のコマンドハンドラー群を超えてインタラクションを維持できることを示しています。

攻撃者の入力に応答する LLM 搭載の Beelzebub デコイのデモ

仕組み

サービスとルールを YAML で定義し、設定を検証してからランタイムを起動します。信頼できる Go プラグインはランタイムにコンパイルされ、サービスと応答を拡張します。各サービスは受信したインタラクションを処理し、設定されたイベント出力を通じて証拠を発行します。LLM 応答には設定済みのプロバイダーが必要です。静的ハンドラーはプロバイダーなしで実行できます。

このフレームワークは SSH、HTTP、TCP、TELNET、MCP をサポートします。MCP デコイは、制御されたエージェントテスト中に疑わしい呼び出しを観察可能にするベイトツールを公開します。これらはプロンプトインジェクションの試行の証拠を提供できますが、すべての試行の検出を保証するものではありません。

デプロイオプションには、ローカルの Go バイナリ、Docker Compose、Helm を使用した Kubernetes があります。ランタイムの動作と拡張の境界については、アーキテクチャガイドを参照してください。

デコイを探す

configurations/services にある 18 個のサンプル設定のいずれかから始めてください。YAML ファイルを開いてルールを確認し、環境に合わせて調整してください。

カテゴリ	おとり例
リモートアクセス	SSH · SSH (LLM) · TELNET · RDP · VNC
Web	WordPress (LLMフォールバック) · HTTP 401 · HTTPメソッド · Apacheディレクトリ迷路
データベースとキャッシュ	MySQL · PostgreSQL (LLM) · SQL Server · Redis · Memcached
ネットワークサービス	SMB · LDAP
IoT	MQTT
AIエージェント	MCPベイトツール

例はバナーや選択された応答から対話的なやり取りまで多岐にわたります。LLMの例ではプロバイダーの設定が必要です。WordPressはキャッチオールルートにこれを使用します。追加の例を有効にする際は、デプロイメントのポートマッピングを確認してください。

はじめに

Git、シェル、およびCompose v2を備えたDocker Engineが必要です。設定されたすべてのリスナーに対する認可を得た隔離されたラボホストを使用してください。インストーラーは特権ポートを含む一連のサンプルサービスを起動します。Linuxではホストネットワーキングを有効にできますが、そのモードではDockerはネットワーク分離を提供しません。

合成認証情報を使用し、サービスをインターネットに公開する前に本番環境の安全性ガイドを確認してください。

git clone https://github.com/beelzebub-labs/beelzebub.git
cd beelzebub
./install.sh --docker

プラットフォームへのレポートは任意です。単独で実行する場合は、プロンプトが表示されたときにPlatformトークンを空欄のままにしてください。ランタイムはリスナーを起動する前に設定を検証します。

デフォルトのHTTPデコイをテストし、そのログを確認します:

curl -i http://localhost:8080/
docker compose logs -f beelzebub

ポート8080で動作する同梱のHTTPサンプルからは、401 Unauthorized が返されることを想定しています。これはデコイに設定された応答であり、リスナーに到達可能であることを確認するものです。インストーラーが使用中のポートをスキップした場合は、テスト前に競合を解消してください。ログの追跡を停止するには Ctrl+C を押します。

終了したらラボを停止します:

docker compose down

単一サービス構成やその他のデプロイ方法については、インストールガイドに従ってください。

Beelzebub Platform

オープンソースフレームワークが基盤です。これを独立してデプロイ、運用、拡張できます。Beelzebub Platform は、複数の環境にわたるデセプションを調整し、ランタイムの証拠をより広範なセキュリティワークフローに接続する必要があるチーム向けのマネージド製品です。

プラットフォームのデプロイ、調査、レポート機能を確認し、チームの要件にどのように適合するかをご覧ください。

Beelzebub Platform を見る →

リソースとコミュニティ

ドキュメント: 設定、プロトコル、運用、統合、レシピ。
プラグイン作成: 公開 Go SDK で拡張機能を構築します。プラグインはインプロセスで実行されるため、ソースを確認し、信頼できるバージョンを固定してください。
コントリビューション: 行動規範の下で、コード、サンプル、ドキュメントへの貢献を受け付けています。脆弱性は SECURITY.md を通じて非公開で報告してください。

開発には、go.mod で宣言されている Go バージョン、Git、Make を使用してください。make build でビルドし、ランタイムの変更を提出する前に make test.unit、go vet ./...、make validate-all を実行してください。開発ワークフローでは、統合テストとその Docker 依存関係について説明しています。

オープンソースサポートプログラムを通じて開発を支援してくださっている JetBrains に感謝します。

GNU General Public License v3.0 の下でライセンスされています。

beelzebub

人気