* 指示に従い、メッセージを読み、ポートの競合の可能性を確認し、再起動してください

<!-- TOC -->
- [T-Pot - オールインワンマルチハニーポットプラットフォーム](#t-pot---the-all-in-one-multi-honeypot-platform)
- [TL;DR](#tldr)
- [免責事項](#disclaimer)
- [技術的概念](#technical-concept)
  - [ハニーポットとツール](#honeypots-and-tools)
  - [技術アーキテクチャ](#technical-architecture)
  - [サービス](#services)
  - [ユーザータイプ](#user-types)
- [システム要件](#system-requirements)
  - [VMでの実行](#running-in-a-vm)
  - [ハードウェアでの実行](#running-on-hardware)
  - [クラウドでの実行](#running-in-a-cloud)
  - [必要なポート](#required-ports)
  - [LLMベースのハニーポット](#llm-based-honeypots)
    - [Ollama](#ollama)
    - [ChatGPT](#chatgpt)
- [システム配置](#system-placement)
- [インストール](#installation)
  - [ディストリビューションの選択](#choose-your-distro)
  - [Raspberry Pi 4 (8GB) 対応](#raspberry-pi-4-8gb-support)
  - [T-Potの入手とインストール](#get-and-install-t-pot)
  - [macOS と Windows](#macos--windows)
  - [Red Hat Enterprise Linux](#red-hat-enterprise-linux)
  - [インストールタイプ](#installation-types)
    - [Standard / Hive](#standard--hive)
    - [分散](#distributed)
  - [T-Potのアンインストール](#uninstall-t-pot)
- [初回起動](#first-start)
  - [スタンドアロン初回起動](#standalone-first-start)
  - [分散デプロイメント](#distributed-deployment)
    - [計画と証明書](#planning-and-certificates)
    - [センサーのデプロイ](#deploying-sensors)
    - [センサーの削除](#removing-sensors)
  - [コミュニティデータ送信](#community-data-submission)
  - [オプトイン HPFEEDS データ送信](#opt-in-hpfeeds-data-submission)
- [リモートアクセスとツール](#remote-access-and-tools)
  - [SSH](#ssh)
  - [T-Pot ランディングページ](#t-pot-landing-page)
  - [Kibana ダッシュボード](#kibana-dashboard)
  - [攻撃マップ](#attack-map)
  - [Cyberchef](#cyberchef)
  - [Elasticvue](#elasticvue)
  - [Spiderfoot](#spiderfoot)
- [設定](#configuration)
  - [T-Pot 設定ファイル](#t-pot-config-file)
  - [T-Pot ハニーポットとサービスのカスタマイズ](#customize-t-pot-honeypots-and-services)
- [メンテナンス](#maintenance)
  - [一般的な更新](#general-updates)
  - [更新スクリプト](#update-script)
  - [毎日の再起動](#daily-reboot)
  - [既知の問題](#known-issues)
    - [Docker イメージのダウンロード失敗](#docker-images-fail-to-download)
    - [T-Pot ネットワーク障害](#t-pot-networking-fails)
  - [T-Pot の起動](#start-t-pot)
  - [T-Pot の停止](#stop-t-pot)
  - [T-Pot データフォルダー](#t-pot-data-folder)
  - [ログの永続化](#log-persistence)
  - [ファクトリーリセット](#factory-reset)
  - [コンテナとイメージの表示](#show-containers-and-images)
  - [ブラックホール](#blackhole)
  - [Nginx (T-Pot WebUI) へのユーザー追加](#add-users-to-nginx-t-pot-webui)
  - [Kibana オブジェクトのインポートとエクスポート](#import-and-export-kibana-objects)
    - [エクスポート](#export)
    - [インポート](#import)
- [トラブルシューティング](#troubleshooting)
  - [ログ](#logs)
  - [RAM とストレージ](#ram-and-storage)
- [連絡先](#contact)
  - [問題](#issues)
  - [ディスカッション](#discussions)
- [ライセンス](#licenses)
- [クレジット](#credits)
  - [開発者と開発コミュニティ](#the-developers-and-development-communities-of)
  - [**以下の企業・組織**](#the-following-companies-and-organizations)
  - [**そしてもちろん ***あなた*** コミュニティへの参加に感謝！**](#and-of-course-you-for-joining-the-community)
- [お客様の声](#testimonials)
- [ありがとうございます 💖](#thank-you-)
<!-- TOC -->
<br><br>

# 免責事項
- T-Pot のインストールおよび実行は、お客様の責任において行ってください。システムの侵害は完全には排除できないため、導入方法を慎重に選択してください。
- 迅速な解決のためには、[Issues](https://github.com/telekom-security/tpotce/issues) および [Discussions](https://github.com/telekom-security/tpotce/discussions) を調査してください。
- 本ソフトウェアはベストエフォートで設計・提供されています。コミュニティおよびオープンソースプロジェクトとして、他の多くのオープンソースソフトウェアを利用しており、バグや問題が含まれている可能性があります。責任を持って報告してください。
- ハニーポットは設計上、機密データをホストすべきではありません。機密データを追加しないように注意してください。
- デフォルトでは、お客様のデータは [Sicherheitstacho](https://www.sicherheitstacho.eu/start/main) に送信されます。設定ファイル (`~/tpotce/docker-compose.yml`) の `ewsposter` セクションを [削除](#community-data-submission) することで無効にできます。ただし、その場合は共有がケアであることを忘れないでください。
<br><br>

# 技術的概念
T-Pot の主要コンポーネントは `tpotinit` Docker イメージに移され、T-Pot が複数の Linux ディストリビューション、さらには macOS や Windows (ただし、どちらも Docker Desktop の機能セットに制限されます) をサポートできるようになりました。T-Pot は [docker](https://www.docker.com/) と [docker compose](https://docs.docker.com/compose/) を使用して、可能な限り多くのハニーポットとツールを同時に実行し、ホストのハードウェアを最大限に活用するという目標を達成します。
<br><br>

## ハニーポットとツール
- T-Pot は以下のハニーポット用の Docker イメージを提供しています：<br>
[adbhoney](https://github.com/huuck/ADBHoney)、
[beelzebub](https://github.com/beelzebub-labs/beelzebub)、
[ciscoasa](https://github.com/Cymmetria/ciscoasa_honeypot)、
[citrixhoneypot](https://github.com/MalwareTech/CitrixHoneypot)、
[conpot](http://conpot.org/)、
[cowrie](https://github.com/cowrie/cowrie)、
[ddospot](https://github.com/aelth/ddospot)、
[dicompot](https://github.com/nsmfoo/dicompot)、
[dionaea](https://github.com/DinoTools/dionaea)、
[elasticpot](https://gitlab.com/bontchev/elasticpot)、
[endlessh](https://github.com/skeeto/endlessh)、
[galah](https://github.com/0x4D31/galah)、
[go-pot](https://github.com/ryanolee/go-pot)、
[glutton](https://github.com/mushorg/glutton)、
[h0neytr4p](https://github.com/pbssubhash/h0neytr4p)、
[hellpot](https://github.com/yunginnanet/HellPot)、
[heralding](https://github.com/johnnykv/heralding)、
[honeyaml](https://github.com/mmta/honeyaml)、
[honeypots](https://github.com/qeeqbox/honeypots)、
[honeytrap](https://github.com/armedpot/honeytrap/)、
[ipphoney](https://gitlab.com/bontchev/ipphoney)、
[log4pot](https://github.com/thomaspatzke/Log4Pot)、
[mailoney](https://github.com/phin3has/mailoney)、
[medpot](https://github.com/schmalle/medpot)、
[miniprint](https://github.com/sa7mon/miniprint)、
[redishoneypot](https://github.com/cypwnpwnsocute/RedisHoneyPot)、
[rdphoneypot](https://gitlab.com/bontchev/rdphoneypot)、
[sentrypeer](https://github.com/SentryPeer/SentryPeer)、
[snare](http://mushmush.org/)、
[tanner](http://mushmush.org/)、
[wordpot](https://github.com/gbrindisi/wordpot)

以下のツールと併せて提供されます：
* [Autoheal](https://github.com/willfarrell/docker-autoheal) - ヘルスチェックに失敗したコンテナを自動的に再起動するツール。
* [Cyberchef](https://gchq.github.io/CyberChef/) - 暗号化、エンコーディング、圧縮、データ分析のためのウェブアプリ。
* [Elastic Stack](https://www.elastic.co/videos) - T-Pot が収集したすべてのイベントを美しく可視化します。
* [Elasticvue](https://github.com/cars10/elasticvue/) - Elasticsearch クラスターの参照と操作を行うためのウェブフロントエンド。
* [Fatt](https://github.com/0x4D31/fatt) - pcap ファイルやライブネットワークトラフィックからネットワークメタデータとフィンガープリントを抽出する pyshark ベースのスクリプト。
* [T-Pot-Attack-Map](https://github.com/telekom-security/t-pot-attack-map) - T-Pot 用の美しいアニメーション攻撃マップ。
* [P0f](https://lcamtuf.coredump.cx/p0f3/) - 純粋にパッシブなトラフィックフィンガープリンティングのためのツール。
* [Spiderfoot](https://github.com/smicallef/spiderfoot) - オープンソースインテリジェンス自動化ツール。
* [Suricata](https://suricata.io/) - ネットワークセキュリティ監視エンジン。

... これらにより、可能な限り最高のアウトオブボックス体験と、使いやすいマルチハニーポットシステムを提供します。
<br><br>


## 技術アーキテクチャ
![アーキテクチャ](https://assets.kitploit.com/production/public/readmes/4462/3fe1e953817d210102d0a4c79a55bebd32d23014d6ddefa058719411cfc9d178.png)

ソースコードと設定ファイルはすべて T-Pot GitHub リポジトリに保存されています。Docker イメージは T-Pot 環境用にビルドされ、事前設定されています。

個々の Dockerfile と設定は [docker フォルダー](https://github.com/telekom-security/tpotce/tree/master/docker) にあります。
<br><br>

## サービス
T-Pot は多くのサービスを提供しており、基本的に5つのグループに分けられます：
1. OS が提供するシステムサービス
    * 安全なリモートアクセスのための SSH。
2. Elastic Stack
    * イベント保存のための Elasticsearch。
    * イベントを取り込み、受信し、Elasticsearch に送信するための Logstash。
    * 美しくレンダリングされたダッシュボードにイベントを表示するための Kibana。
3. ツール
    * NGINX は、Kibana、CyberChef、Elasticvue、GeoIP AttackMap、Spiderfoot への安全なリモートアクセス（リバースプロキシ）を提供し、T-Pot センサーがイベントデータを T-Pot ハイブに安全に送信できるようにします。
    * CyberChef - 暗号化、エンコーディング、圧縮、データ分析のためのウェブアプリ。
    * Elasticvue - Elasticsearch クラスターの参照と操作を行うためのウェブフロントエンド。
    * T-Pot Attack Map - T-Pot 用の美しいアニメーション攻撃マップ。
    * Spiderfoot - オープンソースインテリジェンス自動化ツール。
4. ハニーポット
    * 選択した `docker-compose.yml` に基づいて、利用可能な23のハニーポットから選択。
5. ネットワークセキュリティ監視 (NSM)
    * Fatt - pcap ファイルやライブネットワークトラフィックからネットワークメタデータとフィンガープリントを抽出する pyshark ベースのスクリプト。
    * P0f - 純粋にパッシブなトラフィックフィンガープリンティングのためのツール。
    * Suricata - ネットワークセキュリティ監視エンジン。
<br><br>

## ユーザータイプ
T-Pot のインストール時および使用時には、扱うアカウントに2種類のタイプがあります。アカウントタイプの違いを理解しておいてください。これは**圧倒的に**認証エラーの最も一般的な原因です。

| サービス          | アカウントタイプ | ユーザー名 / グループ | 説明                                                              |
|:-----------------|:-------------|:-----------------|:-------------------------------------------------------------------|
| SSH              | OS           | `<OS_USERNAME>`  | OS のインストール時に選択したユーザー。                              |
| Nginx            | BasicAuth    | `<WEB_USER>`     | T-Pot のインストール時に選択した `<web_user>`。                     |
| CyberChef        | BasicAuth    | `<WEB_USER>`     | T-Pot のインストール時に選択した `<web_user>`。                     |
| Elasticvue       | BasicAuth    | `<WEB_USER>`     | T-Pot のインストール時に選択した `<web_user>`。                     |
| Geoip Attack Map | BasicAuth    | `<WEB_USER>`     | T-Pot のインストール時に選択した `<web_user>`。                     |
| Spiderfoot       | BasicAuth    | `<WEB_USER>`     | T-Pot のインストール時に選択した `<web_user>`。                     |
| T-Pot            | OS           | `tpot`           | `tpot` このユーザー/グループは常に T-Pot サービスによって予約されています。 |
| T-Pot Logs       | BasicAuth    | `<LS_WEB_USER>`  | `LS_WEB_USER` は自動的に管理されます。                              |


<br><br>

# システム要件

[サポート対象の Linux ディストリビューションイメージ](#choose-your-distro)、ハイブ/センサー、[実ハードウェア](#running-on-hardware)、[仮想マシン](#running-in-a-vm) またはその他の環境へのインストールに応じて、T-Pot を正常にインストールするための OS、RAM、ストレージ、ネットワークに関するさまざまな要件があります（これらの要件を克服するために、`~/tpotce/docker-compose.yml` と `~/tpotce/.env` を必要に応じて調整できます）。
<br><br>

| T-Pot タイプ | RAM  | ストレージ   | 説明                                                                                              |
|:-----------|:-----|:----------|:-------------------------------------------------------------------------------------------------|
| Hive       | 16GB | 256GB SSD | 経験則として、ハニーポット、センサー、データが多ければ多いほど、RAM とストレージが必要です。      |
| Sensor     | 8GB  | 128GB SSD | ハニーポットログは30日間保持されるため（~/tpotce/data）、ストレージは攻撃量に依存します。 |

T-Pot は以下を必要とします...
- DHCP または固定割り当てによる IPv4 アドレス
- 動作する、プロキシなしのインターネット接続
... これらはインストールと操作を成功させるために必要です。
<br><br>
*プロキシ対応やその他の非標準機能が必要な場合は、[サポート対象の Linux ディストロイメージ](#choose-your-distro) のドキュメントや [Docker ドキュメント](https://docs.docker.com/) を確認してください。*
<br><br>

## VM での実行
[サポート対象の Linux ディストロイメージ](#choose-your-distro) はすべて VM で実行可能であり、T-Pot は問題なく動作します。以下の環境でテスト/報告されています：
* [UTM (Intel & Apple Silicon)](https://mac.getutm.app/)
* [VirtualBox](https://www.virtualbox.org/)
* [VMWare Fusion](https://www.vmware.com/products/desktop-hypervisor/workstation-and-fusion) と [VMWare Workstation](https://www.vmware.com/products/desktop-hypervisor/workstation-and-fusion)
* KVM でも動作するという報告があります。

***設定/セットアップのヒント:***
- Intel バージョンは安定していますが、Apple Silicon (arm64) サポートには既知の問題があり、UTM では OS の初期インストール中に `Display` を `Console Only` に切り替え、その後 `Full Graphics` に戻す必要がある場合があります。
- 設定中に、fatt、suricata、p0f が正しく動作するようにネットワークインターフェースのプロミスキャスモードを有効にする必要がある場合があります。
- T-Pot のプライマリー NIC として Wi-Fi カードを使用したい場合、すべてのネットワークインターフェースドライバーがすべてのワイヤレスカードをサポートしているわけではないことに注意してください。例えば VirtualBox では、NIC の *"MT SERVER"* モデルを選択する必要があります。
<br><br>

## ハードウェアでの実行
T-Pot は [サポート対象の Linux ディストロイメージ](#choose-your-distro) のハードウェアサポートによってのみ制限されます。専用ハードウェアに投資する前に、HCL (ハードウェア互換性リスト) を確認し、T-Pot でサポート対象ディストロをテストすることをお勧めします。
<br><br>

## クラウドでの実行
T-Pot は以下でテストされ、動作することが確認されています...
* Telekom OTC (ポストインストール方法を使用)
... その他のクラウドでも動作する可能性がありますが、未テストです。

一部のユーザーは、Azure や GCP などの他のクラウドやホスティングサービスでの動作インストールを報告しています。ハードウェア要件は異なる場合があります。不明な場合は、[issues](https://github.com/telekom-security/tpotce/issues) や [discussions](https://github.com/telekom-security/tpotce/discussions) を調査し、機能テストを実行してください。T-Pot 24.04.0 以降では、クラウドベースのインストールに干渉することが知られている設定を削除するようにしました。
<br><br>

## 必要なポート
OS に一般的に必要なポート（DHCP リースの取得、DNS など）に加えて、T-Pot は着信/発信接続のために以下のポートを必要とします。視覚的な表現については [T-Pot アーキテクチャ](#technical-architecture) を参照してください。また、一部のポートは重複して表示される場合がありますが、異なるエディションで使用されるため問題ありません。| Port | Protocol | Direction | Description |
|:--------------------------------------------------------------------------------------------------------------------------------------|:---------|:----------|:------------------------------------------------------------------------------------------------------------------------------------|
| 80, 443 | tcp | 送信 | T-Pot管理: インストール、アップデート、ログ（OS、GitHub、DockerHub、Sicherheitstachoなど） |
| 11434 | tcp | 送信 | LLMベースのハニーポット: Ollamaインストールへのアクセス |
| 64294 | tcp | 受信 | T-Pot管理: センサーデータをhiveへ送信（NGINXリバースプロキシ経由で127.0.0.1:64305へ） |
| 64295 | tcp | 受信 | T-Pot管理: SSHへのアクセス |
| 64297 | tcp | 受信 | T-Pot管理: NGINXリバースプロキシへのアクセス |
| 5555 | tcp | 受信 | ハニーポット: ADBHoney |
| 22 | tcp | 受信 | ハニーポット: Beelzebub（LLM必須） |
| 5000 | udp | 受信 | ハニーポット: CiscoASA |
| 8443 | tcp | 受信 | ハニーポット: CiscoASA |
| 443 | tcp | 受信 | ハニーポット: CitrixHoneypot |
| 80, 102, 502, 1025, 2404, 10001, 44818, 47808, 50100 | tcp | 受信 | ハニーポット: Conpot |
| 161, 623 | udp | 受信 | ハニーポット: Conpot |
| 22, 23 | tcp | 受信 | ハニーポット: Cowrie |
| 19, 53, 123, 1900 | udp | 受信 | ハニーポット: Ddospot |
| 11112 | tcp | 受信 | ハニーポット: Dicompot |
| 21, 42, 135, 443, 445, 1433, 1723, 1883, 3306, 8081 | tcp | 受信 | ハニーポット: Dionaea |
| 69 | udp | 受信 | ハニーポット: Dionaea |
| 9200 | tcp | 受信 | ハニーポット: Elasticpot |
| 22 | tcp | 受信 | ハニーポット: Endlessh |
| 80, 443, 8080, 8443 | tcp | 受信 | ハニーポット: Galah（LLM必須） |
| 8080 | tcp | 受信 | ハニーポット: Go-pot |
| 80, 443 | tcp | 受信 | ハニーポット: H0neytr4p |
| 21, 22, 23, 25, 80, 110, 143, 443, 993, 995, 1080, 5432, 5900 | tcp | 受信 | ハニーポット: Heralding |
| 3000 | tcp | 受信 | ハニーポット: Honeyaml |
| 21, 22, 23, 25, 80, 110, 143, 389, 443, 445, 631, 1080, 1433, 1521, 3306, 3389, 5060, 5432, 5900, 6379, 6667, 8080, 9100, 9200, 11211 | tcp | 受信 | ハニーポット: qHoneypots |
| 53, 123, 161, 5060 | udp | 受信 | ハニーポット: qHoneypots |
| 631 | tcp | 受信 | ハニーポット: IPPHoney |
| 80, 443, 8080, 9200, 25565 | tcp | 受信 | ハニーポット: Log4Pot |
| 25 | tcp | 受信 | ハニーポット: Mailoney |
| 2575 | tcp | 受信 | ハニーポット: Medpot |
| 9100 | tcp | 受信 | ハニーポット: Miniprint |
| 6379 | tcp | 受信 | ハニーポット: Redishoneypot |
| 3389 | tcp | 受信 | ハニーポット: RDPHoneypot |
| 5060 | tcp/udp | 受信 | ハニーポット: SentryPeer |
| 80 | tcp | 受信 | ハニーポット: Snare (Tanner) |
| 8090 | tcp | 受信 | ハニーポット: Wordpot |

ポートおよびSaaSサービスの利用可能性は、お客様の地理的な場所によって異なる場合があります。

一部のハニーポット（例：CowrieやLog4Pot）が完全な機能を発揮するには、攻撃者のマルウェアをダウンロードするために送信接続も必要です。詳細については、各ハニーポットのリポジトリにある[リンク](#technical-concept)を参照して、個々のハニーポットのドキュメントをご確認ください。

## LLMベースのハニーポット
LLMベースのハニーポットは、欺瞞／ハニーポット分野におけるゲームチェンジの**始まり**を示すものと考えています。その結果、**T-Pot 24.04.1**のリリースに伴い、**Beelzebub**と**Galah**という2つのLLMベースのハニーポットが導入されました。これらのハニーポットを使用するには、[T-Pot設定ファイル](#t-pot-config-file)で設定が必要な**Ollama**のインストールが必要です。また、このファイルで**ChatGPT**サポートの設定を調整することもできますが、その場合はDocker Composeファイル（`~/tpotce/compose/llm.yml`）も変更する必要があります。<br><br>
**Beelzebub**と**Galah**の詳細については、[ハニーポットとツール](#honeypots-and-tools)セクションのリンクを参照してください。

### Ollama
🚨 **CPUベースの使用は推奨されません**。テスト目的であっても同様です。<br><br>
**Ollama**をセットアップして実行するには、[Ollama GitHubリポジトリ](https://github.com/ollama/ollama)の指示を参照してください。エントリーレベルまたはテスト目的の場合、**Nvidia RTX 4060 Ti 16GB**または同等品（OllamaはAMDのROCmもサポート）を使用し、**openchat**や**Llama3**などのモデルで結果を得ることができます。LLMベースのシステムでは一般的に、使用するハードウェアが高性能で多いほど、特にタスクを複数のGPUや大規模モデルにオフロードする場合、結果はより速く正確になります。

#### ChatGPT
これらのハニーポットに対するChatGPTサポートは、T-Potに関連してテストされていない状態が続きます。
<br><br>

# システムの配置
インターネットに公開する前に、T-Potとハニーポットの仕組みを十分に理解しておくことをお勧めします。クイックスタートとして、仮想マシン上でT-Potインストールを実行してください。
<br><br>
仕組みに慣れたら、侵入者を疑うネットワーク（例：インターネット）を選択してください。そうしないと、T-Potは攻撃をほとんどキャプチャしません（特定の目的を証明したい場合を除く）！最初は、T-Potをフィルタリングされていないゾーンに配置し、すべてのTCPおよびUDPトラフィックをT-Potのネットワークインターフェースに転送することをお勧めします。T-Potの管理ポートへのプロービングを避けるには、T-Potをファイアウォールの背後に配置し、ポート範囲1-64000のすべてのTCP/UDPトラフィックをT-Potに転送し、ポート64000より上のポートへのアクセスは信頼できるIPからのみ許可するか、[必要なポート](#required-ports)のみを公開してください。未知のポートでのマルウェアトラフィックをキャッチしたい場合は、転送するポートを制限しないでください。gluttonとhoneytrapは、他のハニーポットデーモンが使用していない任意のTCPポートを動的にバインドするため、設定がさらされているリスクをよりよく把握できます。
<br><br>

# インストール
[サポートされているLinuxディストリビューションイメージ](#choose-your-distro)のいずれかを[ダウンロード](#choose-your-distro)し、[TL;DR](#tldr)の指示に従うか、T-Potリポジトリを`git clone`してインストーラー`~/tpotce/install.sh`を実行してください。実行中のサポート対象Linuxシステム上でT-Potを実行することも可能ですが、実行中のサービスとのポート競合を避けるために、クリーンインストールを推奨します。T-Potインストーラーは、[こちら](#required-ports)の説明に従って、インターネットへの直接アクセスが必要です。
<br><br>

## ディストリビューションの選択
**手順:**

1. 以下のリストからサポート対象のLinuxディストリビューションをダウンロードします。（注: Red Hat Enterprise Linux >= 8はサポートされていますが、サブスクリプションベースであるためリストからは省略しています。詳細は[Red Hat Enterprise Linux](#red-hat-enterprise-linux)を参照してください。）
2. インストール時には、最小限のパッケージのみをインストールする**最小**、**ネットインストール**、または**サーバー**バージョンを選択してください。
3. GnomeやKDEなどのグラフィカルデスクトップ環境は**絶対にインストールしないでください**。ポート競合によりT-Potが動作しなくなります。
4. SSHをインストールして、リモートからマシンに接続できるようにしてください。

| ディストリビューション名 | x64 | arm64 |
|:---------------------------------------------------------------------------------------------------------------------------------------------------|:--------------------------------------------------------------------------------------------------------------------------------------|:----------------------------------------------------------------------------------------------------------------------------------------|
| [Alma Linux OS 9.x Minimal ISO](https://almalinux.org) | [ダウンロード](https://repo.almalinux.org/almalinux/9/isos/x86_64/AlmaLinux-9.8-x86_64-minimal.iso) | [ダウンロード](https://repo.almalinux.org/almalinux/9/isos/aarch64/AlmaLinux-9.8-aarch64-minimal.iso) |
| [Debian 13 Network Install](https://www.debian.org/CD/netinst/index.en.html) | [ダウンロード](https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-13.5.0-amd64-netinst.iso) | [ダウンロード](https://cdimage.debian.org/debian-cd/current/arm64/iso-cd/debian-13.5.0-arm64-netinst.iso) |
| [Fedora Server 42 Network Install](https://fedoraproject.org/server/download) | [ダウンロード](https://download.fedoraproject.org/pub/fedora/linux/releases/42/Server/x86_64/iso/Fedora-Server-netinst-x86_64-42-1.1.iso) | [ダウンロード](https://download.fedoraproject.org/pub/fedora/linux/releases/42/Server/aarch64/iso/Fedora-Server-netinst-aarch64-42-1.1.iso) |
| [OpenSuse Tumbleweed Network Image](https://get.opensuse.org/tumbleweed/#download) | [ダウンロード](https://download.opensuse.org/tumbleweed/iso/openSUSE-Tumbleweed-NET-x86_64-Current.iso) | [ダウンロード](https://download.opensuse.org/ports/aarch64/tumbleweed/iso/openSUSE-Tumbleweed-NET-aarch64-Current.iso) |
| [Rocky Linux OS 9.x Minimal ISO](https://rockylinux.org/download) | [ダウンロード](https://download.rockylinux.org/pub/rocky/9/isos/x86_64/Rocky-9.8-x86_64-minimal.iso) | [ダウンロード](https://download.rockylinux.org/pub/rocky/9/isos/aarch64/Rocky-9.8-aarch64-minimal.iso) |
| [Ubuntu 24.04.x Live Server](https://ubuntu.com/download/server) | [ダウンロード](https://releases.ubuntu.com/24.04/ubuntu-24.04.3-live-server-amd64.iso) | [ダウンロード](https://cdimage.ubuntu.com/releases/24.04/release/ubuntu-24.04.3-live-server-arm64.iso) |

<br>

## Raspberry Pi 4 (8GB) サポート
| ディストリビューション名 | arm64 |
|:-------------------------------------------------------------------------------------------|:----------------------------------------------------------------------------------------------------------------------------------------------------|
| [Raspberry Pi OS (**64Bit, Lite**)](https://www.raspberrypi.com) | [ダウンロード](https://downloads.raspberrypi.com/raspios_lite_arm64/images/raspios_lite_arm64-2024-03-15/2024-03-15-raspios-bookworm-arm64-lite.img.xz) |

<br><br>
## T-Potの入手とインストール
1. GitHubリポジトリをクローン: `$ git clone https://github.com/telekom-security/tpotce` または[TL;DR](#tldr)に従い、このセクションをスキップします。
2. **tpotce/** フォルダに移動: `$ cd tpotce`
3. 非rootユーザーとしてインストーラーを実行: `$ ./install.sh`:
   * ⚠️ ***選択したLinuxディストリビューションによって、インストーラーは以下を実行します:***
     * SSHポートを `tcp/64295` に変更
     * DNSスタブリスナーを無効化（ハニーポットとのポート競合を回避）
     * SELinuxをモニターモードに設定
     * パブリックゾーンのファイアウォールターゲットをACCEPTに設定
     * Dockerのリポジトリを追加し、Dockerをインストール
     * 推奨パッケージをインストール
     * 問題を引き起こすことが知られているパッケージを削除
     * 現在のユーザーをdockerグループに追加（ `sudo` なしでDocker操作を許可）
     * フォーマットされたコンテナとイメージの概要のための `dps`、`dpsw`、`dim` エイリアスを追加
     * `la`、`ll`、`ls` エイリアスを追加（ `exa`、改良版 `ls` コマンド用)
     * `mi` エイリアスを追加（ `micro` 用、 `vi` や `nano` の優れた代替)
     * ホスト上のオープンポートを表示（T-Potの[必要なポート](https://github.com/telekom-security/tpotce#required-ports)と比較)
     * `tpot.service` を `/etc/systemd/system` に追加し有効化（T-Potが自動的に起動・停止可能にする)
4. インストーラーの指示に従います。少なくとも1回はユーザー（ `sudo` または `root` ）パスワードを入力する必要があります。
5. インストーラーのメッセージでエラーやポート競合の原因となるオープンポートがないか確認します。
6. 再起動: `$ sudo reboot`
<br><br>## macOS & Windows
macOS や Windows 上で T-Pot インスタンスを立ち上げられると便利なこともあります。例えば、開発、テスト、あるいは単に楽しみのためにです。Docker Desktop はかなり制限されているため、すべてのハニーポットタイプや T-Pot の機能がサポートされているわけではありません。また、デフォルトでは macOS と Windows のファイアウォールがリモートからのアクセスをブロックしているため、テストはホストに限定されることに注意してください。本番環境では、[Linux](#choose-your-distro) で T-Pot を実行することをお勧めします。<br>
セットアップと実行をするには、次の手順に従ってください。
1. [macOS](https://docs.docker.com/desktop/setup/install/mac-install/) または [Windows](https://docs.docker.com/desktop/setup/install/windows-install/) 用の Docker Desktop をインストールしてください。
2. GitHub リポジトリをクローンします: `git clone https://github.com/telekom-security/tpotce` (Windows では、コードが `CRLF` ではなく `LF` でチェックアウトされていることを確認してください！)
3. 移動: `cd ~/tpotce`
4. コピー: `cp compose/mac_win.yml ./docker-compose.yml`
5. `~/tpotce/genuser.sh` (macOS) または `~/tpotce/genuserwin.ps1` (Windows) を実行して `WEB_USER` を作成します。
6. `.env` ファイルを編集して、`TPOT_OSTYPE=linux` を `mac` または `win` に変更します。   ```
   # OSType (linux, mac, win)
   #  Most docker features are available on linux
   TPOT_OSTYPE=mac

T-Pot設定ファイル（`.env`）では、`LS_SSL_VERIFICATION=none` を設定することで、**Sensor**から**Hive**へのlogstash接続のSSL検証を無効にできます。セキュリティ上の理由から、これはラボやテスト環境でのみ推奨されます。<br><br>
CA（Let's Encryptなど）によって署名された有効な証明書を**Hive**に使用する場合、logstash、そして**Sensor**は、**Hive**に接続してログを送信する際に問題が発生しないはずです。

### センサーの展開
インストーラの指示に従って**Sensor**を再起動したら、**Hive**にログインして `cd ~/tpotce` フォルダに移動し、分散デプロイメントを続行できます。実際のデプロイメントに進む前に、[計画と証明書](#planning-and-certificates) を理解していることを確認してください。

まだ実行していない場合は、**Sensor**に安全にログインし、`Ansible`がセンサー上でプレイブックを実行できるようにするためにSSHキーを生成します：
1. `ssh-keygen` を実行し、指示に従ってパスフレーズを空のままにします：   ```
   Generating public/private rsa key pair.
   Enter file in which to save the key (/home/<your_user>/.ssh/id_rsa):
   Enter passphrase (empty for no passphrase):
   Enter same passphrase again:
   Your identification has been saved in /home/<your_user>/.ssh/id_rsa
   Your public key has been saved in /home/<your_user>/.ssh/id_rsa.pub

4. T-Pot サービスを起動: `systemctl start tpot`

データ送信を無効にすることはお勧めしません。コミュニティアプローチの主目的だからです。ご存知の通り **共有は思いやり** 😍
<br><br>

## Opt-In HPFEEDS データ送信
オプトインとして、T-Pot データをサードパーティの HPFEEDS ブローカーと共有することが可能です。
1. [こちら](#community-data-submission)の手順に従って T-Pot サービスを停止し、`~/tpotce/docker-compose.yml` を開きます。
2. `ewsposter` セクションまでスクロールし、必要に応じて HPFEEDS 設定を調整します。
3. CA 証明書を追加する必要がある場合は、`~/tpotce/data/ews/conf` に追加し、`EWS_HPFEEDS_TLSCERT=/data/ews/conf/<your_ca.crt>` を設定します。
4. T-Pot サービスを起動: `systemctl start tpot`。
<br><br>

# リモートアクセスとツール
ホスト/T-Pot へのリモートアクセスは SSH（**`tcp/64295`** 経由）で可能です。また、T-Pot にはいくつかのサービスやツールが付属しており、調査作業を大幅に容易にします。
<br><br>

## SSH
[ユーザータイプ](#user-types)に応じて、SSH 経由でログインしてコマンドラインにアクセスできます: `ssh -l <OS_USERNAME> -p 64295 <your.ip>`

- ユーザー: **[`<OS_USERNAME>`]**
- パスワード: **[password]**
<br><br>

## T-Pot ランディングページ
[ユーザータイプ](#user-types)に応じて、ブラウザから `https://<your.ip>:64297` で T-Pot ランディングページを開くことができます:

- ユーザー: **[`<WEB_USER>`]**
- パスワード: **[password]**

![T-Pot-WebUI](https://assets.kitploit.com/production/public/readmes/4462/7e70eb82c25026577169f745794728206ca655c2fac5155262c645bf0290158e.png)
<br><br>

## Kibana ダッシュボード
T-Pot ランディングページで `Kibana` をクリックすると、Kibana に転送されます。T-Pot がサポートするハニーポットに特化した多種多様なダッシュボードやビジュアライゼーションから選択できます。

![Dashbaord](https://assets.kitploit.com/production/public/readmes/4462/d363122f1d233abb0f1818c0e69ed6ac1f4a2f139d5d924bcf7d6fc2b0b7f8bc.png)
<br><br>

## 攻撃マップ
T-Pot ランディングページで `Attack Map` をクリックすると、攻撃マップに転送されます。攻撃マップは Web ソケットを利用するため、`<WEB_USER>` の認証情報を再入力する必要がある場合があります。

![AttackMap](https://assets.kitploit.com/production/public/readmes/4462/a9a8e7024bebe87b98b754ee1fcaf877dee35b0b35404525cfc7b4bcf63778b5.png)
<br><br>

## Cyberchef
T-Pot ランディングページで `Cyberchef` をクリックすると、Cyberchef に転送されます。

![Cyberchef](https://assets.kitploit.com/production/public/readmes/4462/4e8c0b3e528dad69e932ee8fefc6c0367c93b144fc22b5cbfdfc21401a212540.png)
<br><br>

## Elasticvue
T-Pot ランディングページで `Elasticvue` をクリックすると、Elasticvue に転送されます。

![Elasticvue](https://assets.kitploit.com/production/public/readmes/4462/0a40257ee96c7713158d952dd3eaeaaa65ef587883f3545592072793819d4a22.png)
<br><br>

## Spiderfoot
T-Pot ランディングページで `Spiderfoot` をクリックすると、Spiderfoot に転送されます。

![Spiderfoot](https://assets.kitploit.com/production/public/readmes/4462/018e445ac80bc3a63e3504e5f46335b67870f5afe102fe59b308f5b64886e79e.png)
<br><br>

# 設定

## T-Pot 設定ファイル
T-Pot は、Docker サービス（ハニーポットやツール）だけでなく、Docker Compose 環境向けの変数を提供する設定ファイルを備えています。設定ファイルは `~/tpoce/.env` に隠されています。デフォルト設定を保持するサンプルファイル（`env.example`）もあります。<br>
初回起動前に `~/tpotce/genuser.sh` を実行するか、[こちら](#add-users-to-nginx-t-pot-webui)の説明に従って手動で `WEB_USER` を設定してください。

## T-Pot ハニーポットとサービスのカスタマイズ

`~/tpotce/compose` には、T-Pot Standard / Hive インストールを調整するために必要なすべてが揃っています。```
customizer.py
llm.yml
mac_win.yml
mini.yml
mobile.yml
sensor.yml
standard.yml
tarpit.yml
tpot_services.yml

## 既知の問題
以下の既知の問題があります。説明されている手順に従って解決してください。
<br><br>

### Dockerイメージのダウンロードに失敗する
以前、Dockerはダウンロード [レート制限](https://docs.docker.com/docker-hub/download-rate-limit/#:~:text=Docker%20Hub%20limits%20the%20number,pulls%20per%206%20hour%20period.) を導入しました。単一または共有のIPを介してDockerイメージを頻繁にダウンロードしている場合、そのIPアドレスがDockerのダウンロードレート制限を使い果たしている可能性があります。Dockerアカウントにログインしてレート制限を延長してください。```
sudo su -
docker login

5. ここで `~/tpotce/install.sh` を実行できます。
<br><br>

## コンテナとイメージの表示
`dps` または `dpsw [間隔]` を実行することで、T-Pot 関連のすべてのコンテナを表示できます。`間隔 (秒)` を指定すると、定期的に `dps` が再実行されます。`dim` を使用すると、ローカルで利用可能な Docker イメージを `CREATED` 列を含めて表示できます。
<br><br>

## ブラックホール
ブラックホール機能は、既知の公開スキャナによる永続的な訪問を避け、T-Pot を一種のステルスモードで実行し、露出の可能性を減らします。もちろんこれは常にいたちごっこですが、ブラックホール機能は [既知の大規模スキャナ](https://raw.githubusercontent.com/stamparm/maltrail/master/trails/static/mass_scanner.txt) からのすべてのリクエストをヌルルーティングしつつ、Suricata を通じてイベントを取得し続けます。
<br>
この機能は、`~/tpotce/.env` で `TPOT_BLACKHOLE=DISABLED` を設定し、`systemctl stop tpot` と `systemctl start tpot` を実行するか、`sudo reboot` することで有効になります。
<br>
この機能を有効にすると、攻撃者の可視性が大幅に低下し、結果としてアクティビティが減少します。ただし、既に述べたように、これは完全なステルスを保証するものではなく、一部のハニーポットサービスのフィンガープリンティングを防ぐものでもありません。
<br><br>

## Nginx へのユーザー追加 (T-Pot WebUI)
Nginx (T-Pot WebUI) では、[ユーザータイプ](#user-types) に従って、必要な数だけ `<WEB_USER>` アカウントを追加できます。<br>
新しいユーザーを **追加** するには `~/tpotce/genuser.sh` を実行します。<br>
ユーザーを **削除** するには、`~/tpotce/.env` を開き、`WEB_USER` を見つけて、対応する base64 文字列を削除します (デコード方法: `echo <base64_string> | base64 -d`、または CyberChef を開いて "From Base64" レシピを読み込みます)。<br>
変更を反映するには、`systemctl stop tpot` と `systemctl start tpot` を実行するか、`sudo reboot` して T-Pot を再起動する必要があります。
<br><br>

## Kibana オブジェクトのインポートとエクスポート
一部の T-Pot アップデートでは、Kibana オブジェクトの更新が必要になります。新しいハニーポットをサポートするため、または既存のダッシュボードやビジュアライゼーションを改善するためです。調整内容を失わないように、必ず最初に ***エクスポート*** してください。

### エクスポート
1. Kibana に移動します
2. 「Stack Management」をクリックします
3. 「Saved Objects」をクリックします
4. 「Export <数> objects」をクリックします
5. 「Export all」をクリックします
これにより、すべてのオブジェクトを含む NDJSON ファイルがエクスポートされます。すべての参照が含まれていることを確認するために、常に完全エクスポートを実行してください。

### インポート
1. [NDJSON ファイルをダウンロード](https://raw.githubusercontent.com/telekom-security/tpotce/refs/heads/master/docker/tpotinit/dist/etc/objects/kibana_export.ndjson.zip) し、解凍します。
2. Kibana に移動します
3. 「Stack Management」をクリックします
4. 「Saved Objects」をクリックします
5. 「Import」をクリックし、Kibana オブジェクトに個人的な変更を加えていない場合はデフォルトのままにします (既存のオブジェクトをチェックし、競合を自動的に上書き)。
6. NDJSON ファイルを参照します
「既存のオブジェクトがある場合、自動的に上書きしますか？」と尋ねられたら、「はい、すべて上書きします」と答えます。
<br><br>

# トラブルシューティング
一般的に、T-Pot は ***現状のまま*** 提供され、サポートに関する一切の責任を負いません。課題や議論は開始できますが、コミュニティが支援できるように、基本的な必要な情報を含める準備をしてください。
<br><br>

## ログ
* コンテナが正しく実行されているか確認: `dps`
* ローカルで利用可能な Docker イメージとその経過時間を確認: `dim`
* システムリソースが枯渇していないか確認: `htop`, `docker stats`
* ポート競合がないか確認:```
systemctl stop tpot
grc netstat -tulpen
mi ~/tpotce/docker-compose.yml
docker-compose -f ~/tpotce/docker-compose.yml up
CTRL+C
docker-compose -f ~/tpotce/docker-compose.yml down -v