Beelzebub — 오픈소스 기만 프레임워크

Beelzebub

오픈소스 기만 프레임워크.

현실적인 미끼를 배포하세요. 공격자 행동을 관찰하세요. 상호작용을 보안 증거로 전환하세요.

Beelzebub은 보안 팀이 미끼 서비스를 향한 활동을 연구할 수 있는 구성 가능한 방법을 제공합니다. 공격자가 마주하게 될 환경을 정의하고, 그 환경이 어떻게 응답할지 선택하며, 조사를 위해 상호작용을 캡처하세요. 프레임워크를 독립적으로 실행하거나 Beelzebub 플랫폼에 연결할 수 있습니다.

Beelzebub을 선택하는 이유

환경에 맞는 미끼를 배포하세요. YAML로 서비스, 라우트, 응답 규칙을 정의합니다. 예측 가능한 동작에는 정적 핸들러를, 적응형 상호작용에는 LLM 기반 응답을 사용하세요. 사용자 정의 동작이 필요할 때는 신뢰할 수 있는 Go 플러그인으로 런타임을 확장할 수 있습니다.
접촉 이후에 일어나는 일을 관찰하세요. 프로토콜에 따라 명령, HTTP 요청 세부 정보, 세션 컨텍스트 등 미끼 상호작용에서 증거를 캡처합니다. 분석가에게 해당 서비스를 향한 활동 기록을 제공하여 조사를 지원하세요.
증거를 워크플로에 통합하세요. 로그를 로컬에서 검사하거나, 구조화된 이벤트를 RabbitMQ에 게시하거나, Beelzebub 플랫폼 보고를 활성화하세요. core.prometheus.enabled: true로 Prometheus 메트릭을 활성화하여 런타임 활동을 모니터링할 수 있습니다. 기본적으로 메트릭 리스너는 비활성화되어 있으며 어떤 포트도 바인딩하지 않습니다.

실제 동작 확인

LLM 기반 미끼가 공격자 입력에 응답하는 모습을 확인하세요. 이 데모는 생성된 응답이 고정된 명령 핸들러 집합을 넘어 상호작용을 지속할 수 있는 방법을 보여줍니다.

공격자 입력에 응답하는 LLM 기반 Beelzebub 미끼 데모

동작 방식

YAML로 서비스와 규칙을 정의하고, 구성을 검증한 뒤 런타임을 시작하세요. 신뢰할 수 있는 Go 플러그인은 런타임에 컴파일되어 서비스와 응답을 확장합니다. 각 서비스는 들어오는 상호작용을 처리하고 구성된 이벤트 출력을 통해 증거를 내보냅니다. LLM 응답에는 구성된 제공자가 필요하며, 정적 핸들러는 제공자 없이도 실행할 수 있습니다.

이 프레임워크는 SSH, HTTP, TCP, TELNET, MCP를 지원합니다. MCP 미끼는 통제된 에이전트 테스트 중 의심스러운 호출을 관찰 가능하게 만드는 미끼 도구를 노출합니다. 이들은 프롬프트 인젝션 시도의 증거를 제공할 수 있지만, 모든 시도를 탐지한다고 보장하지는 않습니다.

배포 옵션으로는 로컬 Go 바이너리, Docker Compose, Helm을 사용한 Kubernetes가 있습니다. 런타임 동작과 확장 경계에 대해서는 아키텍처 가이드를 참조하세요.

미끼 살펴보기

configurations/services에 있는 18개의 예제 구성 중 하나로 시작하세요. YAML 파일을 열어 규칙을 검사하고 환경에 맞게 조정하세요.

카테고리	예시 디코이
원격 접속	SSH · SSH (LLM) · TELNET · RDP · VNC
웹	WordPress (LLM 폴백) · HTTP 401 · HTTP 메서드 · Apache 디렉터리 미로
데이터베이스 및 캐시	MySQL · PostgreSQL (LLM) · SQL Server · Redis · Memcached
네트워크 서비스	SMB · LDAP
IoT	MQTT
AI 에이전트	MCP 미끼 도구

예시는 배너와 선택된 응답부터 대화형 교환까지 다양합니다. LLM 예시는 구성된 제공자가 필요하며, WordPress는 포괄(catch-all) 라우트에 이를 사용합니다. 추가 예시를 활성화할 때는 배포 환경의 포트 매핑을 확인하세요.

시작하기

Git, 셸, 그리고 Compose v2가 포함된 Docker Engine이 필요합니다. 구성된 모든 리스너에 대한 권한이 있는 격리된 랩 호스트를 사용하세요. 설치 프로그램은 권한 있는 포트를 포함한 예시 서비스 묶음을 시작합니다. Linux에서는 호스트 네트워킹을 활성화할 수 있으며, 해당 모드에서는 Docker가 네트워크 격리를 제공하지 않습니다.

합성 자격 증명을 사용하고, 서비스를 인터넷에 노출하기 전에 프로덕션 안전 가이드를 검토하세요.

git clone https://github.com/beelzebub-labs/beelzebub.git
cd beelzebub
./install.sh --docker

플랫폼 보고는 선택 사항입니다. 독립적으로 실행하려면 프롬프트가 표시될 때 Platform 토큰을 비워 두십시오. 런타임은 리스너를 시작하기 전에 구성을 검증합니다.

기본 HTTP 디코이를 테스트하고 로그를 확인하십시오:

curl -i http://localhost:8080/
docker compose logs -f beelzebub

포트 8080의 번들 HTTP 예제에서 **401 Unauthorized**가 반환될 것으로 예상합니다. 이는 디코이의 설정된 응답으로, 리스너에 접근할 수 있음을 확인해 줍니다. 설치 프로그램이 이미 사용 중인 포트를 건너뛰었다면, 테스트 전에 충돌을 해결하십시오. 로그 추적을 중지하려면 Ctrl+C를 누르십시오.

작업이 끝나면 랩을 중지하십시오:

docker compose down

단일 서비스 설정이나 다른 배포 방법을 사용하려면 설치 가이드를 따르세요.

Beelzebub 플랫폼

오픈소스 프레임워크가 기반입니다. 이를 독립적으로 배포하고, 운영하고, 확장할 수 있습니다. Beelzebub 플랫폼은 여러 환경에 걸쳐 기만(deception)을 조율하고 런타임 증거를 더 광범위한 보안 워크플로에 연결해야 하는 팀을 위한 관리형 제품입니다.

플랫폼의 배포, 조사, 보고 기능을 살펴보고 이것이 팀의 요구 사항에 어떻게 부합하는지 확인하세요.

Beelzebub 플랫폼 살펴보기 →

리소스 및 커뮤니티

문서: 구성, 프로토콜, 운영, 통합 및 레시피.
플러그인 작성: 공개 Go SDK로 확장 기능을 구축하세요. 플러그인은 프로세스 내에서 실행되므로 소스를 검토하고 신뢰할 수 있는 버전을 고정하세요.
기여하기: 행동 강령에 따라 코드, 예제 또는 문서를 기여하세요. 취약점은 SECURITY.md를 통해 비공개로 신고하세요.

개발에는 go.mod에 선언된 Go 버전, Git, Make를 사용하세요. make build로 빌드하고, 런타임 변경 사항을 제출하기 전에 make test.unit, go vet ./..., make validate-all을 실행하세요. 개발 워크플로에서는 통합 테스트와 그 Docker 의존성을 다룹니다.

오픈소스 지원 프로그램을 통해 개발을 도구로 지원해 주신 JetBrains에 감사드립니다.

GNU General Public License v3.0에 따라 라이선스가 부여됩니다.