Honeybits

함정의 효과를 높이기 위해 프로덕션 서버와 워크스테이션 전체에 breadcrumbs와 honeytokens를 심어 공격자를 honeypot으로 유인하는 간단한 PoC 도구입니다.

저자: Adel "0x4D31" Karimi.

이 프로젝트의 Windows 버전: honeybits-win

배경

허니팟은 보안 연구자들이 공격자의 도구, 기술 및 동기를 연구하는 데 수년간 사용되어 왔지만, 여전히 프로덕션 환경에서 널리 채택 및 배포되지 못하고 있습니다. 그 이유 중 하나는 전통적인 허니팟 구현이 정적이며 성공 여부가 공격자가 이를 발견하는 것(보통 네트워크 스캐닝이 필요함)에 달려 있기 때문입니다!

Mitre ATT&CK Matrix를 살펴보면 '네트워크 서비스 스캐닝(Network Service Scanning)'은 다양한 사후 침해 활동 중 하나에 불과하다는 것을 알 수 있습니다. 사후 침해 기술에 대응하여 허위 또는 오해의 소지가 있는 정보를 더 많이 심을수록 (특히 ATT&CK 행렬의 '자격 증명 접근', '탐색', '측면 이동' 전술에 해당하는 기술들), 공격자를 잡을 가능성이 더 높아집니다. _Honeybits_는 프로덕션 서버 및 워크스테이션에서 breadcrumbs/honeytokens 생성 프로세스를 자동화하는 데 도움을 줍니다. 이러한 honeytokens 또는 breadcrumbs에는 다음이 포함됩니다:

• 가짜 bash_history 명령 (ssh, ftp, rsync, scp, mysql, wget, awscli 등)
• 가짜 AWS 자격 증명 및 설정 파일 (권한이 없는 가짜 AWS IAM 사용자를 생성하고 액세스 키를 생성해야 함)
• RDP 및 VPN과 같은 설정, 백업 및 연결 파일
• hosts, ARP 테이블 등의 가짜 항목
• 가짜 브라우저 기록, 북마크 및 저장된 비밀번호
• LSASS에 주입된 가짜 자격 증명
• 가짜 레지스트리 키

특징

• 허니파일 생성 및 go-audit 또는 auditd를 사용한 트랩 접근 모니터링
• 허니파일을 위한 템플릿 기반 콘텐츠 생성기
• AWS 설정 및 자격 증명 파일에 honeybits 삽입
• /etc/hosts에 honeybits 삽입
• Consul 또는 etcd와 같은 원격 키/값 스토어에서 설정 읽기
• 다양한 honeybits를 "bash_history"에 삽입 (다음 샘플 명령 포함):
  • ssh (sshpass -p '123456' ssh -p 2222 [email protected])
  • ftp (ftp ftp://backup:[email protected]:2121)
  • rsync (rsync -avz -e 'ssh -p 2222' [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • scp (scp -P 2222 [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • mysql (mysql -h 192.168.1.66 -P 3306 -u dbadmin -p12345 -e "show databases")
  • wget (wget http://192.168.1.66:8080/backup.zip)
  • any custom commands: (nano /tmp/backup/credentials.txt)
  • aws:

export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws ec2 describe-instances --profile devops --region us-east-2

요구 사항

• Go Lang 1.7+
• Viper (go get github.com/spf13/viper)
• crypt (go get github.com/xordataexchange/crypt/config)
• go-audit 또는 auditd (허니파일을 모니터링하려는 경우)

사용법:

$ go build
$ sudo ./honeybits 

Failed reading remote config. Reading the local config file...
Local config file loaded.

[failed] honeyfile already exists at this path: /tmp/secret.txt
[done] go-audit rule for /home/test/secret.txt is added
[done] honeyfile is created (/home/test/secret.txt)
[done] go-audit rule for /opt/secret.txt is added
[done] sshpass honeybit is inserted
[done] wget honeybit is inserted
[done] ftp honeybit is inserted
[done] rsync honeybit is inserted
[done] scp honeybit is inserted
[done] mysql honeybit is inserted
[failed] aws honeybit already exists
[done] hostsconf honeybit is inserted
[done] awsconf honeybit is inserted
[done] awscred honeybit is inserted
[done] custom honeybit is inserted

TODO:

• 전체 코드 재작성. 현재 코드는 쓰레기입니다 (그냥 PoC일 뿐입니다)!
• 콘텐츠 생성기 개선
• 더 많은 트랩 추가 (다음 포함):
  • 비콘 문서
  • 항목이 있는 KeePass 파일 (.kdbx)
  • 데이터베이스 파일/백업: SQLite, MySQL
  • Nmap 출력과 같은 가짜 보안 스캔 결과
  • 하드코딩된 IP/자격 증명이 있는 바이너리 파일
• 더 많은 네트워크 트랩
  • 자격 증명 등을 포함한 가짜 PCAP/네트워크 트래픽
  • 가짜 ARP 테이블 항목
  • go-audit을 사용한 네트워크 트랩 모니터링
• Windows 버전 완성 (honeybits-win)
• 문서화