Wetland

Wetlandは高い対話型のSSHハニーポットで、ブルートフォース攻撃を記録するために設計されています。さらに、Wetlandは攻撃者が実行したshell、scp、sftp、exec-command、direct-forward、reverse-forwardのインタラクションを記録します。

WetlandはPython SSHモジュールparamikoに基づいています。そしてWetlandはSocketServerを使用したマルチスレッドTCPサーバとして動作します。

特徴

• Dockerを使用して実際のLinux環境を提供します。
• すべてのパスワード認証はDockerにリダイレクトされます。
• すべてのコマンドはDocker上で実行されます。
• ハッカーがSFTPでファイルをアップロードした際、ファイルのコピーを保存します。
• ハッカーがSCPでファイルをアップロードした際、exec-logからファイルを抽出して保存します。
• playlogスクリプトを提供し、[shell | exec | direct-forward | reverse-forward] タイプのログを再生します。
• WetlandとDocker間で攻撃者のIPアドレスを偽装する高度なネットワーキング機能 ( honssh に感謝 )。
• Wetlandがハッカーに接触された際に通知する方法がいくつかありますが、現在はメールとBearyChatのみ対応しています。

必要条件

• Linuxシステム (Ubuntuでテスト済み)
• Docker内のsshdイメージ (例: rastasheep/ubuntu-sshd)
• python2.7
• paramiko
• yagmail
• IPy
• requests

セットアップと設定

1. wetland.cfg.default を wetland.cfg にコピーします。
2. SSHサーバで使用する鍵を生成します。

• mkdir data を実行
• ssh-keygen -t rsa を実行し、それらを data/ に配置します。
• ssh-keygen -t dsa を実行し、それらを data/ に配置します。
• Wetlandとsshdコンテナは同じ鍵を使用する必要があることに注意してください。

3. Pythonの要件をインストールします。

• pip install -r requirements を実行

4. SSHサーバのバナーを設定します。

• wetland.cfgのバナーを編集します。
• sshdコンテナのSSHバナーと同じである必要があります。

5. または python util/initwetland.py ./ を実行できます。このスクリプトが上記のすべての作業を行います。
6. wetland.cfgの出力プラグインを設定します。

• [output]セクションで有効/無効を設定
• BearyChat使用時はincoming robotsのURLを編集
• メール使用時はユーザー、パスワードなどを編集

6. 必要に応じてp0fをインストールします。

• git clone https://github.com/p0f/p0f を実行
• cd p0f を実行
• ./build.sh を実行
• wetland.cfgの[p0fp0f]セクションを編集
• p0fが不要な場合は、[output]セクションでp0fを無効にしてください。

7. Dockerをインストールします。

• www.docker.comのドキュメントに従ってDockerをインストール
• docker search sshd を実行し、sshdを実行しているイメージを選択
• docker run -d --name sshd sshd_image_name を実行
• docker inspect sshd を実行し、wetland.cfgのDocker IPアドレスとポートを編集
• sshdのSSHポートはWetlandのものと同じである必要があります。
• 必要に応じてsshdコンテナを削除して置き換えてください。

実行

1. 実行

• nohup python main.py & を実行

2. 停止

• netstat -autpn | grep 22 を実行
• 次に kill pid_number を実行
• あはは

3. クリーンアップ

• ネットワーキングモジュールによって作成されたインターフェースを手動で削除する必要があるかもしれません。
• ip link list を実行
• 次に ip link del dev wdxxxxxx を実行
• 最後にiptablesのnatテーブルをクリーンアップするか、再起動してください。

4. ログの表示

• python util/clearlog.py -p log を実行すると、pwd.logのみのログが削除され、ユーザー名:パスワードは-lファイル（デフォルト./pwd.txt）に書き込まれます。
• 次にutilのplaylog.pyを使用します。

5. ファイルシステムの変更

• filechange.pyはsshdコンテナの読み書きレイヤーを./にコピーします。このレイヤーにはハッカーが作成・削除したものが含まれます。
• 例: docker inspect sshd --format '{{.Id}}' | python filechange.py -

Docker化されたWetland

• docker pull ohmyadd/wetland を実行
• docker hub で確認

TODO

• WetlandのDocker化

• 現実的なsshd Dockerイメージの作成

• sshdコンテナ作成の自動化

• watchdogの追加

• BearyChatのincoming/outgoingの活用

• 分散ログシステムとhpfeedsのサポート