Log4Shell ハニーポット

拡張されたDocker化ハニーポット CVE-2021-44228 向けで、包括的なセキュリティ機能、監視、アラート機能を備えています。

特徴

拡張された検出機能

• 包括的なパターンマッチング: JNDI、LDAP、RMI、DNS、環境変数ルックアップを含む20以上のLog4Shellエクスプロイトパターンを検出
• マルチソース検出: HTTPヘッダー、フォームデータ、クエリパラメータを監視
• リアルタイムログ: 詳細な攻撃情報を含む構造化JSONログ

セキュリティとパフォーマンス

• レート制限: IPごとに設定可能なレート制限で不正利用を防止
• リバースプロキシ: セキュリティヘッダーとSSL終端を備えたNginx設定
• コンテナセキュリティ: 非rootユーザー、読み取り専用ファイルシステム、権限削除
• fail2ban統合: 繰り返しの試行後に自動IPブロック

監視とアラート

• ヘルスチェック: コンテナオーケストレーション用の組み込みヘルスエンドポイント
• メトリクスエンドポイント: リクエストと攻撃のリアルタイム統計
• ログ分析: 攻撃パターンと傾向を分析するPythonスクリプト
• リアルタイム監視: 整形出力でのログテール表示

運用機能

• ログローテーション: 設定可能なサイズ制限付き自動ログローテーション
• グレースフルシャットダウン: クリーンなコンテナ停止のための適切なシグナルハンドリング
• 設定: すべての設定を環境変数ベースで構成
• SSL対応: HTTPS用自己署名証明書の生成

クイックスタート

シンプルなデプロイ

# SSL証明書の生成
./generate-ssl.sh

# docker-composeで起動
docker-compose up -d

# ログの監視
./monitor.py --tail

フルデプロイ（fail2ban付き）

# fail2ban設定のためにrootで実行
sudo ./deploy.sh

手動Docker実行

# x86_64
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  -e LOG_FORMAT="json" \
  -e RATE_LIMIT_REQUESTS="100" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:latest

# ARM（例：Raspberry Pi）
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:arm-latest

設定

環境変数

設定ファイルの使用

# 設定ファイルから読み込み
docker-compose --env-file config.env up -d

検出パターン

このハニーポットは以下のLog4Shellパターンを検出します。

• ${jndi: - JNDIルックアップ（主要な攻撃ベクトル）
• ${ldap: - LDAPディレクトリルックアップ
• ${rmi: - RMIリモートメソッド呼び出し
• ${dns: - DNSルックアップ
• ${env: - 環境変数へのアクセス
• ${sys: - システムプロパティへのアクセス
• ${java: - Javaランタイム情報
• その他15以上のパターン

監視

リアルタイム監視

# 整形出力でのログテール表示
./monitor.py --tail

# 過去24時間の分析
./monitor.py --hours 24

# 過去1時間の分析
./monitor.py --hours 1

ヘルスチェック

curl http://localhost/health

メトリクス

curl http://localhost/metrics

fail2banの状態

sudo fail2ban-client status log4shell-honeypot

ログ形式

拡張JSONログ形式には以下が含まれます。

{
  "timestamp": "2024-01-15T10:30:45Z",
  "honeypot": "log4shell-honeypot",
  "event_type": "log4shell_attempt",
  "source_ip": "192.168.1.100",
  "real_ip": "10.0.0.5",
  "method": "POST",
  "url": "http://honeypot.local/",
  "user_agent": "Mozilla/5.0...",
  "detected_patterns": ["${jndi:", "${env:"],
  "detection_source": "form_field:username",
  "headers": {...},
  "form_data": {...},
  "query_params": {...},
  "content_length": 45
}

セキュリティ機能

コンテナセキュリティ

• 非rootユーザーによる実行
• 読み取り専用のルートファイルシステム
• 削除されたLinuxケイパビリティ
• 新しい権限の不許可
• /tmp用の一時ファイルシステム

ネットワークセキュリティ

• セキュリティヘッダー付きNginxリバースプロキシ
• 複数レベルでのレート制限
• SSL/TLS終端
• IPブロックのためのfail2ban統合

ログのセキュリティ

• SIEM統合のための構造化ログ
• ディスク枯渇を防ぐログローテーション
• 個別のログボリューム
• ログ障害時のエラーハンドリング

統合

SIEM統合

構造化JSONログは以下に簡単に取り込めます。

• ELKスタック（Elasticsearch、Logstash、Kibana）
• Splunk
• Graylog
• Fluentd/Fluent Bit

アラート

以下に基づいてアラートを設定。

• 攻撃頻度のしきい値
• 新しい攻撃パターン
• 地理的異常
• ユーザーエージェントパターン

ソースからビルド

# コンテナのビルド
docker build -t log4shell-honeypot:latest .

# 特定のタグでビルド
docker build -t log4shell-honeypot:v2.0 .

トラブルシューティング

コンテナの状態確認

docker-compose ps
docker-compose logs log4shell-honeypot

ヘルスチェックの確認

curl -f http://localhost/health || echo "ヘルスチェックに失敗しました"

fail2banの確認

sudo fail2ban-client status
sudo tail -f /var/log/fail2ban.log

ログ分析

# 最近の攻撃を確認
./monitor.py --hours 1

# 生ログの表示
tail -f /var/log/log4shell-honeypot.log

パフォーマンスチューニング

高トラフィック環境

• 正規の高トラフィックに対しては RATE_LIMIT_REQUESTS を増やす
• ログ保持には MAX_LOG_SIZE と LOG_BACKUP_COUNT を調整
• 外部ログ集約を使用してローカルストレージを削減

リソース制限

# docker-compose.yml内
deploy:
  resources:
    limits:
      cpus: '0.5'
      memory: 256M
    reservations:
      cpus: '0.1'
      memory: 128M

コントリビューション

1. リポジトリをフォーク
2. フィーチャーブランチを作成
3. 変更を加える
4. 該当する場合はテストを追加
5. プルリクエストを送信

セキュリティに関する考慮事項

• アクセス制限付きのファイアウォールの内側にデプロイ
• 攻撃パターンを定期的にログ監視
• コンテナイメージを最新に保つ
• 本番環境では強力なSSL証明書を使用
• ネットワークセグメンテーションの実装
• デプロイの定期的なセキュリティ監査

謝辞

これは BinaryDefense/log4shell-honeypot-flask を拡張したフォークであり、セキュリティと運用面で大幅な改良が加えられています。