rxerium/honeypot🍯ハニーポット脅威インテル
ハニーポットとは、潜在的なセキュリティ脅威を検出・分析・対応するために、意図的にハッカーに対して脆弱な状態にしておくコンピュータシステムまたはネットワークです。ハニーポットの目的は、悪意のある攻撃者が使用する戦術、技術、手順に関する情報を収集し、ネットワーク全体のセキュリティ向上に役立てることです。
alt text
脅威インテリジェンスの向上: ハニーポットは攻撃者の戦術、技術、手順(TTP)に関する貴重な洞察を提供し、セキュリティチームの防御力向上を支援します。
早期検出と対応: ハニーポットは攻撃を早期に検出できるため、迅速な対応と脅威の軽減が可能になります。
攻撃対象領域の縮小: ハニーポット内の脆弱性や設定ミスを特定することで、組織は攻撃対象領域を縮小し、攻撃の拡大を防ぐことができます。
ハニーポットを設定することは、脅威インテリジェンス、脆弱性検出、ネットワーキングなど、さまざまな分野の知識を深めるための素晴らしい方法でした。ハニーポットから収集したデータを分析することで、攻撃者の戦術や技術に関する洞察を得て、そこからPoCを作成することができます。これは特に新しい0dayが知られたときに非常に有益です。
脅威インテリジェンスに役立つだけでなく、組織のセキュリティ態勢を改善し、将来の攻撃を防ぎ、システム全体のパフォーマンスを向上させることも可能になります。
私は、コアインフラストラクチャから完全に分離されたDebian 12 16GB RAM / 6vCPUコアのクラウドサーバー上でtpotを実行しています。インストールはかなり簡単で、こちらにある単一のスクリプトを実行し、その後システムを再起動するだけでした。
システムがオンラインに戻ると、管理パネルはポート64297、SSH接続はポート64295でアクセスできるようになります。システムがオンラインに戻ってからすべてのDockerコンテナが読み込まれるまでに時間がかかる場合があることに注意してください。読み込みが完了すると、sudo docker psを実行した際に以下のようになります:
ログはtpotce/dataフォルダから取得できます。
このリポジトリ内に、Elasticから収集した上位500の悪意のあるIPを集約し、ファイルに送信するGH Actionを作成しました。このファイルを基に、これらのIPをTalos CTIなどの一般的な脅威インテリジェンスサイトに送信してbad-reputationとしてマークする新しいワークフローを作成する予定です。
検出されたすべての悪意のあるIPへのリンクはこちらにあります。
何らかの理由でtpotハニーポットを検出したい場合は、こちらに検出方法を作成しました。このスクリプトを実行するには、いくつかの前提条件があります:
nuclei -u https://host.com -t honeypot-detection.yamlご質問がある場合は、Signalまたはメール: [email protected] までお気軽にお問い合わせください。
私の活動を支援していただける場合は、Buy Me a Coffee からお気軽に寄付してください。あなたの支援は大きな意味を持ち、心から感謝しています!