* 지침을 따르고, 메시지를 읽고, 가능한 포트 충돌을 확인한 후 재부팅하세요.

<!-- TOC -->
- [T-Pot - 올인원 멀티 허니팟 플랫폼](#t-pot---the-all-in-one-multi-honeypot-platform)
- [TL;DR](#tldr)
- [면책 조항](#disclaimer)
- [기술 개념](#technical-concept)
  - [허니팟 및 도구](#honeypots-and-tools)
  - [기술 아키텍처](#technical-architecture)
  - [서비스](#services)
  - [사용자 유형](#user-types)
- [시스템 요구 사항](#system-requirements)
  - [VM에서 실행](#running-in-a-vm)
  - [하드웨어에서 실행](#running-on-hardware)
  - [클라우드에서 실행](#running-in-a-cloud)
  - [필요한 포트](#required-ports)
  - [LLM 기반 허니팟](#llm-based-honeypots)
    - [Ollama](#ollama)
    - [ChatGPT](#chatgpt)
- [시스템 배치](#system-placement)
- [설치](#installation)
  - [배포판 선택](#choose-your-distro)
  - [Raspberry Pi 4 (8GB) 지원](#raspberry-pi-4-8gb-support)
  - [T-Pot 다운로드 및 설치](#get-and-install-t-pot)
  - [macOS 및 Windows](#macos--windows)
  - [Red Hat Enterprise Linux](#red-hat-enterprise-linux)
  - [설치 유형](#installation-types)
    - [표준 / 하이브](#standard--hive)
    - [분산](#distributed)
  - [T-Pot 제거](#uninstall-t-pot)
- [첫 시작](#first-start)
  - [독립형 첫 시작](#standalone-first-start)
  - [분산 배포](#distributed-deployment)
    - [계획 및 인증서](#planning-and-certificates)
    - [센서 배포](#deploying-sensors)
    - [센서 제거](#removing-sensors)
  - [커뮤니티 데이터 제출](#community-data-submission)
  - [옵트인 HPFEEDS 데이터 제출](#opt-in-hpfeeds-data-submission)
- [원격 액세스 및 도구](#remote-access-and-tools)
  - [SSH](#ssh)
  - [T-Pot 랜딩 페이지](#t-pot-landing-page)
  - [Kibana 대시보드](#kibana-dashboard)
  - [공격 지도](#attack-map)
  - [Cyberchef](#cyberchef)
  - [Elasticvue](#elasticvue)
  - [Spiderfoot](#spiderfoot)
- [구성](#configuration)
  - [T-Pot 구성 파일](#t-pot-config-file)
  - [T-Pot 허니팟 및 서비스 사용자 정의](#customize-t-pot-honeypots-and-services)
- [유지 관리](#maintenance)
  - [일반 업데이트](#general-updates)
  - [업데이트 스크립트](#update-script)
  - [일일 재부팅](#daily-reboot)
  - [알려진 문제](#known-issues)
    - [Docker 이미지 다운로드 실패](#docker-images-fail-to-download)
    - [T-Pot 네트워킹 실패](#t-pot-networking-fails)
  - [T-Pot 시작](#start-t-pot)
  - [T-Pot 중지](#stop-t-pot)
  - [T-Pot 데이터 폴더](#t-pot-data-folder)
  - [로그 지속성](#log-persistence)
  - [공장 초기화](#factory-reset)
  - [컨테이너 및 이미지 표시](#show-containers-and-images)
  - [Blackhole](#blackhole)
  - [Nginx (T-Pot 웹 UI)에 사용자 추가](#add-users-to-nginx-t-pot-webui)
  - [Kibana 객체 가져오기 및 내보내기](#import-and-export-kibana-objects)
    - [내보내기](#export)
    - [가져오기](#import)
- [문제 해결](#troubleshooting)
  - [로그](#logs)
  - [RAM 및 저장소](#ram-and-storage)
- [연락처](#contact)
  - [이슈](#issues)
  - [토론](#discussions)
- [라이선스](#licenses)
- [크레딧](#credits)
  - [다음의 개발자 및 개발 커뮤니티](#the-developers-and-development-communities-of)
  - [**다음 회사 및 조직**](#the-following-companies-and-organizations)
  - [**그리고 물론 커뮤니티에 참여해 주신 ***여러분***!**](#and-of-course-you-for-joining-the-community)
- [사용 후기](#testimonials)
- [감사합니다 💖](#thank-you-)
<!-- TOC -->
<br><br>

# 면책 조항
- T-Pot을 설치하고 실행하는 것은 당신의 책임입니다. 시스템 손상 가능성을 완전히 배제할 수 없으므로 신중하게 배포 방식을 선택하세요.
- 빠른 도움을 위해 [Issues](https://github.com/telekom-security/tpotce/issues) 및 [Discussions](https://github.com/telekom-security/tpotce/discussions)를 참조하세요.
- 이 소프트웨어는 최선의 노력을 다해 설계 및 제공됩니다. 커뮤니티 및 오픈 소스 프로젝트로서 많은 다른 오픈 소스 소프트웨어를 사용하며 버그나 문제가 있을 수 있습니다. 책임감 있게 보고해 주세요.
- 허니팟은 설계상 민감한 데이터를 호스팅해서는 안 됩니다. 어떤 것도 추가하지 않도록 하세요.
- 기본적으로 데이터는 [Sicherheitstacho](https://www.sicherheitstacho.eu/start/main)로 전송됩니다. 구성 파일(`~/tpotce/docker-compose.yml`)에서 [제거](#community-data-submission)하여 `ewsposter` 섹션을 비활성화할 수 있습니다. 하지만 이 경우 공유가 정말 중요합니다!
<br><br>

# 기술 개념
T-Pot의 주요 구성 요소가 `tpotinit` Docker 이미지로 이동되어, 이제 T-Pot은 여러 Linux 배포판은 물론 macOS 및 Windows(단, 모두 Docker Desktop의 기능 세트로 제한됨)를 지원합니다. T-Pot은 [docker](https://www.docker.com/) 및 [docker compose](https://docs.docker.com/compose/)를 사용하여 가능한 한 많은 허니팟과 도구를 동시에 실행하고 호스트 하드웨어를 최대한 활용하는 것을 목표로 합니다.
<br><br>

## 허니팟 및 도구
- T-Pot은 다음 허니팟용 Docker 이미지를 제공합니다:<br>
[adbhoney](https://github.com/huuck/ADBHoney),
[beelzebub](https://github.com/beelzebub-labs/beelzebub),
[ciscoasa](https://github.com/Cymmetria/ciscoasa_honeypot),
[citrixhoneypot](https://github.com/MalwareTech/CitrixHoneypot),
[conpot](http://conpot.org/),
[cowrie](https://github.com/cowrie/cowrie),
[ddospot](https://github.com/aelth/ddospot),
[dicompot](https://github.com/nsmfoo/dicompot),
[dionaea](https://github.com/DinoTools/dionaea),
[elasticpot](https://gitlab.com/bontchev/elasticpot),
[endlessh](https://github.com/skeeto/endlessh),
[galah](https://github.com/0x4D31/galah),
[go-pot](https://github.com/ryanolee/go-pot),
[glutton](https://github.com/mushorg/glutton),
[h0neytr4p](https://github.com/pbssubhash/h0neytr4p),
[hellpot](https://github.com/yunginnanet/HellPot),
[heralding](https://github.com/johnnykv/heralding),
[honeyaml](https://github.com/mmta/honeyaml),
[honeypots](https://github.com/qeeqbox/honeypots),
[honeytrap](https://github.com/armedpot/honeytrap/),
[ipphoney](https://gitlab.com/bontchev/ipphoney),
[log4pot](https://github.com/thomaspatzke/Log4Pot),
[mailoney](https://github.com/phin3has/mailoney),
[medpot](https://github.com/schmalle/medpot),
[miniprint](https://github.com/sa7mon/miniprint),
[redishoneypot](https://github.com/cypwnpwnsocute/RedisHoneyPot),
[rdphoneypot](https://gitlab.com/bontchev/rdphoneypot),
[sentrypeer](https://github.com/SentryPeer/SentryPeer),
[snare](http://mushmush.org/),
[tanner](http://mushmush.org/),
[wordpot](https://github.com/gbrindisi/wordpot)

다음 도구와 함께:
* [Autoheal](https://github.com/willfarrell/docker-autoheal) 상태 점검에 실패한 컨테이너를 자동으로 다시 시작하는 도구입니다.
* [Cyberchef](https://gchq.github.io/CyberChef/) 암호화, 인코딩, 압축 및 데이터 분석을 위한 웹 앱입니다.
* [Elastic Stack](https://www.elastic.co/videos) T-Pot이 수집한 모든 이벤트를 아름답게 시각화합니다.
* [Elasticvue](https://github.com/cars10/elasticvue/) Elasticsearch 클러스터를 탐색하고 상호 작용하기 위한 웹 프론트엔드입니다.
* [Fatt](https://github.com/0x4D31/fatt) pcap 파일 및 실시간 네트워크 트래픽에서 네트워크 메타데이터 및 지문을 추출하는 pyshark 기반 스크립트입니다.
* [T-Pot-Attack-Map](https://github.com/telekom-security/t-pot-attack-map) T-Pot을 위한 아름답게 애니메이션 처리된 공격 지도입니다.
* [P0f](https://lcamtuf.coredump.cx/p0f3/) 순수 수동 트래픽 지문 추출을 위한 도구입니다.
* [Spiderfoot](https://github.com/smicallef/spiderfoot) 오픈 소스 인텔리전스 자동화 도구입니다.
* [Suricata](https://suricata.io/) 네트워크 보안 모니터링 엔진입니다.

... 최상의 즉시 사용 가능한 경험과 사용하기 쉬운 멀티 허니팟 시스템을 제공합니다.
<br><br>


## 기술 아키텍처
![Architecture](https://assets.kitploit.com/production/public/readmes/4462/3fe1e953817d210102d0a4c79a55bebd32d23014d6ddefa058719411cfc9d178.png)

소스 코드 및 구성 파일은 T-Pot GitHub 저장소에 완전히 저장됩니다. Docker 이미지는 T-Pot 환경에 맞게 빌드 및 사전 구성됩니다.

개별 Dockerfile 및 구성은 [docker 폴더](https://github.com/telekom-security/tpotce/tree/master/docker)에 있습니다.
<br><br>

## 서비스
T-Pot은 기본적으로 다섯 그룹으로 나뉘는 여러 서비스를 제공합니다:
1. OS에서 제공하는 시스템 서비스
    * 안전한 원격 액세스를 위한 SSH.
2. Elastic Stack
    * 이벤트 저장을 위한 Elasticsearch.
    * 이벤트를 수집, 수신 및 Elasticsearch로 전송하는 Logstash.
    * 아름답게 렌더링된 대시보드에 이벤트를 표시하는 Kibana.
3. 도구
    * NGINX는 Kibana, CyberChef, Elasticvue, GeoIP AttackMap, Spiderfoot에 대한 안전한 원격 액세스(리버스 프록시)를 제공하며 T-Pot 센서가 이벤트 데이터를 T-Pot 하이브에 안전하게 전송할 수 있도록 합니다.
    * CyberChef는 암호화, 인코딩, 압축 및 데이터 분석을 위한 웹 앱입니다.
    * Elasticvue는 Elasticsearch 클러스터를 탐색하고 상호 작용하기 위한 웹 프론트엔드입니다.
    * T-Pot Attack Map은 T-Pot을 위한 아름답게 애니메이션 처리된 공격 지도입니다.
    * Spiderfoot은 오픈 소스 인텔리전스 자동화 도구입니다.
4. 허니팟
    * 선택한 `docker-compose.yml`에 기반한 23개 사용 가능한 허니팟 중 선택.
5. 네트워크 보안 모니터링 (NSM)
    * Fatt는 pcap 파일 및 실시간 네트워크 트래픽에서 네트워크 메타데이터 및 지문을 추출하는 pyshark 기반 스크립트입니다.
    * P0f는 순수 수동 트래픽 지문 추출을 위한 도구입니다.
    * Suricata는 네트워크 보안 모니터링 엔진입니다.
<br><br>

## 사용자 유형
T-Pot 설치 및 사용 중에는 두 가지 유형의 계정을 사용하게 됩니다. 다양한 계정 유형의 차이점을 반드시 숙지하세요. 인증 오류의 가장 흔한 원인이기 때문입니다.

| 서비스          | 계정 유형 | 사용자 이름 / 그룹 | 설명                                                        |
|:-----------------|:-------------|:-----------------|:-------------------------------------------------------------------|
| SSH              | OS           | `<OS_USERNAME>`  | OS 설치 중 선택한 사용자입니다.              |
| Nginx            | BasicAuth    | `<WEB_USER>`     | T-Pot 설치 중 선택한 `<web_user>`입니다.           |
| CyberChef        | BasicAuth    | `<WEB_USER>`     | T-Pot 설치 중 선택한 `<web_user>`입니다.           |
| Elasticvue       | BasicAuth    | `<WEB_USER>`     | T-Pot 설치 중 선택한 `<web_user>`입니다.           |
| Geoip Attack Map | BasicAuth    | `<WEB_USER>`     | T-Pot 설치 중 선택한 `<web_user>`입니다.           |
| Spiderfoot       | BasicAuth    | `<WEB_USER>`     | T-Pot 설치 중 선택한 `<web_user>`입니다.           |
| T-Pot            | OS           | `tpot`           | `tpot` 이 사용자/그룹은 항상 T-Pot 서비스에 의해 예약됩니다. |
| T-Pot Logs       | BasicAuth    | `<LS_WEB_USER>`  | `LS_WEB_USER`는 자동으로 관리됩니다.                           |


<br><br>

# 시스템 요구 사항

지원되는 [Linux 배포판 이미지](#choose-your-distro), 하이브/센서, [실제 하드웨어](#running-on-hardware), [가상 머신](#running-in-a-vm) 또는 기타 환경에 따라 T-Pot을 성공적으로 설치하기 위해 OS, RAM, 저장소 및 네트워크에 대해 충족해야 할 다양한 요구 사항이 있습니다 (언제든지 `~/tpotce/docker-compose.yml` 및 `~/tpotce/.env`를 필요에 맞게 조정하여 이러한 요구 사항을 극복할 수 있습니다).
<br><br>

| T-Pot 유형 | RAM  | 저장소   | 설명                                                                                      |
|:-----------|:-----|:----------|:-------------------------------------------------------------------------------------------------|
| 하이브       | 16GB | 256GB SSD | 경험상, 허니팟, 센서 및 데이터가 많을수록 더 많은 RAM과 저장소가 필요합니다.      |
| 센서     | 8GB  | 128GB SSD | 허니팟 로그는 30일 동안 유지되므로(~tpotce/data) 저장소는 공격량에 따라 달라집니다. |

T-Pot은 다음을 필요로 합니다...
- DHCP 또는 정적으로 할당된 IPv4 주소
- 작동하는, 프록시되지 않은 인터넷 연결
... 설치 및 운영을 위해.
<br><br>
*프록시 지원이나 기타 비표준 기능이 필요한 경우, [지원되는 Linux 배포판 이미지](#choose-your-distro)의 문서 및/또는 [Docker 문서](https://docs.docker.com/)를 확인하세요.*
<br><br>

## VM에서 실행
지원되는 [Linux 배포판 이미지](#choose-your-distro)는 모두 VM에서 실행되므로 T-Pot이 잘 실행됩니다. 다음이 테스트되었거나 작동이 보고되었습니다:
* [UTM (Intel & Apple Silicon)](https://mac.getutm.app/)
* [VirtualBox](https://www.virtualbox.org/)
* [VMWare Fusion](https://www.vmware.com/products/desktop-hypervisor/workstation-and-fusion) 및 [VMWare Workstation](https://www.vmware.com/products/desktop-hypervisor/workstation-and-fusion)
* KVM도 작동하는 것으로 보고되었습니다.

***일부 구성/설정 팁:***
- Intel 버전은 안정적으로 실행되지만, Apple Silicon(arm64) 지원에는 알려진 문제가 있으며 UTM에서 OS 초기 설치 시 `Display`를 `Console Only`로 전환한 후 다시 `Full Graphics`로 전환해야 할 수 있습니다.
- 구성 중 fatt, suricata 및 p0f가 제대로 작동하도록 네트워크 인터페이스에 대해 무차별 모드를 활성화해야 할 수 있습니다.
- T-Pot의 기본 NIC로 wifi 카드를 사용하려는 경우, 모든 네트워크 인터페이스 드라이버가 모든 무선 카드를 지원하지는 않는다는 점에 유의하세요. 예를 들어 VirtualBox에서는 NIC의 *"MT SERVER"* 모델을 선택해야 합니다.
<br><br>

## 하드웨어에서 실행
T-Pot은 [지원되는 Linux 배포판 이미지](#choose-your-distro)의 하드웨어 지원에 의해서만 제한됩니다. 전용 하드웨어에 투자하기 전에 HCL(하드웨어 호환성 목록)을 확인하고 지원되는 배포판을 T-Pot으로 테스트하는 것이 좋습니다.
<br><br>

## 클라우드에서 실행
T-Pot은 다음에서 테스트되었으며 실행되는 것으로 알려져 있습니다...
* Telekom OTC (설치 후 방법 사용)
... 다른 것들도 작동할 수 있지만, 테스트되지 않았습니다.

일부 사용자는 Azure 및 GCP와 같은 다른 클라우드 및 호스터에서 작동하는 설치를 보고했습니다. 하드웨어 요구 사항이 다를 수 있습니다. 확실하지 않은 경우 [이슈](https://github.com/telekom-security/tpotce/issues) 및 [토론](https://github.com/telekom-security/tpotce/discussions)을 조사하고 몇 가지 기능 테스트를 실행해야 합니다. T-Pot 24.04.0부터는 클라우드 기반 설치를 방해하는 것으로 알려진 설정을 제거했습니다.
<br><br>

## 필요한 포트
OS가 일반적으로 필요로 하는 포트(예: DHCP 임대, DNS 등) 외에도 T-Pot은 인바운드/아웃바운드 연결을 위해 다음 포트가 필요합니다. 시각적 표현은 [T-Pot 아키텍처](#technical-architecture)를 참조하세요. 또한 일부 포트가 중복되어 표시될 수 있지만, 이는 다른 에디션에서 사용되므로 괜찮습니다.| 포트 | 프로토콜 | 방향 | 설명 |
|:---|:---|:---|:---|
| 80, 443 | tcp | outgoing | T-Pot 관리: 설치, 업데이트, 로그 (예: OS, GitHub, DockerHub, Sicherheitstacho 등) |
| 11434 | tcp | outgoing | LLM 기반 허니팟: Ollama 설치에 접근 |
| 64294 | tcp | incoming | T-Pot 관리: 센서 데이터 전송 (NGINX 리버스 프록시를 통해 127.0.0.1:64305로) |
| 64295 | tcp | incoming | T-Pot 관리: SSH 접근 |
| 64297 | tcp | incoming | T-Pot 관리: NGINX 리버스 프록시 접근 |
| 5555 | tcp | incoming | 허니팟: ADBHoney |
| 22 | tcp | incoming | 허니팟: Beelzebub (LLM 필요) |
| 5000 | udp | incoming | 허니팟: CiscoASA |
| 8443 | tcp | incoming | 허니팟: CiscoASA |
| 443 | tcp | incoming | 허니팟: CitrixHoneypot |
| 80, 102, 502, 1025, 2404, 10001, 44818, 47808, 50100 | tcp | incoming | 허니팟: Conpot |
| 161, 623 | udp | incoming | 허니팟: Conpot |
| 22, 23 | tcp | incoming | 허니팟: Cowrie |
| 19, 53, 123, 1900 | udp | incoming | 허니팟: Ddospot |
| 11112 | tcp | incoming | 허니팟: Dicompot |
| 21, 42, 135, 443, 445, 1433, 1723, 1883, 3306, 8081 | tcp | incoming | 허니팟: Dionaea |
| 69 | udp | incoming | 허니팟: Dionaea |
| 9200 | tcp | incoming | 허니팟: Elasticpot |
| 22 | tcp | incoming | 허니팟: Endlessh |
| 80, 443, 8080, 8443 | tcp | incoming | 허니팟: Galah (LLM 필요) |
| 8080 | tcp | incoming | 허니팟: Go-pot |
| 80, 443 | tcp | incoming | 허니팟: H0neytr4p |
| 21, 22, 23, 25, 80, 110, 143, 443, 993, 995, 1080, 5432, 5900 | tcp | incoming | 허니팟: Heralding |
| 3000 | tcp | incoming | 허니팟: Honeyaml |
| 21, 22, 23, 25, 80, 110, 143, 389, 443, 445, 631, 1080, 1433, 1521, 3306, 3389, 5060, 5432, 5900, 6379, 6667, 8080, 9100, 9200, 11211 | tcp | incoming | 허니팟: qHoneypots |
| 53, 123, 161, 5060 | udp | incoming | 허니팟: qHoneypots |
| 631 | tcp | incoming | 허니팟: IPPHoney |
| 80, 443, 8080, 9200, 25565 | tcp | incoming | 허니팟: Log4Pot |
| 25 | tcp | incoming | 허니팟: Mailoney |
| 2575 | tcp | incoming | 허니팟: Medpot |
| 9100 | tcp | incoming | 허니팟: Miniprint |
| 6379 | tcp | incoming | 허니팟: Redishoneypot |
| 3389 | tcp | incoming | 허니팟: RDPHoneypot |
| 5060 | tcp/udp | incoming | 허니팟: SentryPeer |
| 80 | tcp | incoming | 허니팟: Snare (Tanner) |
| 8090 | tcp | incoming | 허니팟: Wordpot |

SaaS 서비스의 포트 및 가용성은 사용자의 지리적 위치에 따라 다를 수 있습니다.

일부 허니팟이 완전한 기능을 발휘하려면(예: Cowrie 또는 Log4Pot) 공격자의 악성코드를 다운로드하기 위해 나가는 연결도 필요합니다. 자세한 내용은 각 허니팟의 문서를 참조하고, [링크](#technical-concept)를 따라 해당 리포지토리를 방문하세요.

## LLM 기반 허니팟
LLM 기반 허니팟이 속임수/허니팟 분야의 게임 체인지의 **시작**을 의미한다고 생각합니다. 결과적으로 **T-Pot 24.04.1** 릴리스부터 **Beelzebub**과 **Galah**라는 두 가지 LLM 기반 허니팟이 도입되었습니다. 이 허니팟들은 [T-Pot 설정 파일](#t-pot-config-file)에서 구성해야 하는 **Ollama** 설치가 필요합니다. **ChatGPT** 지원을 위해 이 파일에서 설정을 조정할 수도 있지만, 이러한 조정을 수용하려면 docker compose 파일(`~/tpotce/compose/llm.yml`)에도 변경이 필요합니다.<br><br>
[허니팟 및 도구](#honeypots-and-tools) 섹션의 링크를 따라 **Beelzebub**과 **Galah**에 대해 자세히 알아보세요.

### Ollama
🚨 **CPU 기반 사용은 권장되지 않습니다**, 테스트 용도로도 권장되지 않습니다.<br><br>
**Ollama**를 설정하고 실행하려면 [Ollama GitHub 리포지토리](https://github.com/ollama/ollama)의 지침을 참조하세요. 입문 또는 테스트 목적으로는 **Nvidia RTX 4060 Ti 16GB** 또는 이에 상응하는 하드웨어(AMD의 ROCm도 Ollama에서 지원됨)를 사용하여 **openchat** 및 **Llama3**와 같은 모델로 결과를 얻을 수 있습니다. LLM 기반 시스템의 일반적인 규칙으로, 더 좋고 더 많은 하드웨어를 사용할수록, 특히 작업이 여러 GPU와 더 큰 모델에 오프로드될 때 결과가 더 빠르고 정확해집니다.

### ChatGPT
이 허니팟에 대한 ChatGPT 지원은 T-Pot과 관련하여 테스트되지 않은 상태로 유지됩니다.
<br><br>

# 시스템 배치
인터넷에 노출시키기 전에 T-Pot과 허니팟의 작동 방식을 숙지하는 것이 좋습니다. 빠른 시작을 위해 가상 머신에서 T-Pot 설치를 실행하세요.
<br><br>
작동 방식을 익힌 후에는 침입자가 있을 것으로 의심되는 네트워크(예: 인터넷)를 선택해야 합니다. 그렇지 않으면 T-Pot이 공격을 거의 감지하지 못합니다(증명하고 싶지 않다면)! 초보자의 경우, 모든 TCP 및 UDP 트래픽이 T-Pot의 네트워크 인터페이스로 전달되는 비필터링 영역에 T-Pot을 배치하는 것이 좋습니다. T-Pot의 관리 포트에 대한 프로빙을 피하려면 T-Pot을 방화벽 뒤에 두고, 1-64000 포트 범위의 모든 TCP/UDP 트래픽을 T-Pot으로 전달하면서, 64000 이상의 포트는 신뢰할 수 있는 IP에서만 접근을 허용하거나 사용 사례에 관련된 [포트](#required-ports)만 노출하세요. 알 수 없는 포트에서의 악성코드 트래픽을 포착하려면 전달하는 포트를 제한하지 마세요. glutton과 honeytrap은 다른 허니팟 데몬이 사용하지 않는 모든 TCP 포트를 동적으로 바인딩하므로, 설정이 노출된 위험을 더 잘 보여줍니다.
<br><br>

# 설치
[지원되는 Linux 배포판 이미지](#choose-your-distro) 중 하나를 [다운로드](#choose-your-distro)하고, [TL;DR](#tldr) 지침을 따르거나 T-Pot 리포지토리를 `git clone`한 후 설치 프로그램 `~/tpotce/install.sh`를 실행하세요. 현재 실행 중이고 지원되는 Linux 시스템 위에서 T-Pot을 실행하는 것도 가능하지만, 실행 중인 서비스와의 포트 충돌을 피하기 위해 깨끗한 설치를 권장합니다. T-Pot 설치 프로그램은 [여기](#required-ports)에 설명된 대로 인터넷에 직접 접근해야 합니다.
<br><br>

## 배포판 선택
**다음 단계를 따르세요:**

1. 아래 목록에서 지원되는 Linux 배포판을 다운로드하세요. (참고: Red Hat Enterprise Linux >= 8은 지원되지만, 구독 기반 특성상 아래 목록에서 생략되었습니다. 자세한 내용은 [Red Hat Enterprise Linux](#red-hat-enterprise-linux)를 참조하세요.)
2. 설치 중에 필수 패키지만 설치하는 **minimum**, **netinstall** 또는 **server** 버전을 선택하세요.
3. **절대** Gnome이나 KDE와 같은 그래픽 데스크탑 환경을 설치하지 마세요. T-Pot은 포트 충돌로 인해 작동하지 않습니다.
4. SSH를 설치하여 원격으로 머신에 연결할 수 있도록 하세요.

| 배포판 이름 | x64 | arm64 |
|:---|:---|:---|
| [Alma Linux OS 9.x Minimal ISO](https://almalinux.org) | [다운로드](https://repo.almalinux.org/almalinux/9/isos/x86_64/AlmaLinux-9.8-x86_64-minimal.iso) | [다운로드](https://repo.almalinux.org/almalinux/9/isos/aarch64/AlmaLinux-9.8-aarch64-minimal.iso) |
| [Debian 13 Network Install](https://www.debian.org/CD/netinst/index.en.html) | [다운로드](https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-13.5.0-amd64-netinst.iso) | [다운로드](https://cdimage.debian.org/debian-cd/current/arm64/iso-cd/debian-13.5.0-arm64-netinst.iso) |
| [Fedora Server 42 Network Install](https://fedoraproject.org/server/download) | [다운로드](https://download.fedoraproject.org/pub/fedora/linux/releases/42/Server/x86_64/iso/Fedora-Server-netinst-x86_64-42-1.1.iso) | [다운로드](https://download.fedoraproject.org/pub/fedora/linux/releases/42/Server/aarch64/iso/Fedora-Server-netinst-aarch64-42-1.1.iso) |
| [OpenSuse Tumbleweed Network Image](https://get.opensuse.org/tumbleweed/#download) | [다운로드](https://download.opensuse.org/tumbleweed/iso/openSUSE-Tumbleweed-NET-x86_64-Current.iso) | [다운로드](https://download.opensuse.org/ports/aarch64/tumbleweed/iso/openSUSE-Tumbleweed-NET-aarch64-Current.iso) |
| [Rocky Linux OS 9.x Minimal ISO](https://rockylinux.org/download) | [다운로드](https://download.rockylinux.org/pub/rocky/9/isos/x86_64/Rocky-9.8-x86_64-minimal.iso) | [다운로드](https://download.rockylinux.org/pub/rocky/9/isos/aarch64/Rocky-9.8-aarch64-minimal.iso) |
| [Ubuntu 24.04.x Live Server](https://ubuntu.com/download/server) | [다운로드](https://releases.ubuntu.com/24.04/ubuntu-24.04.3-live-server-amd64.iso) | [다운로드](https://cdimage.ubuntu.com/releases/24.04/release/ubuntu-24.04.3-live-server-arm64.iso) |

<br>

## Raspberry Pi 4 (8GB) 지원
| 배포판 이름 | arm64 |
|:---|:---|
| [Raspberry Pi OS (**64Bit, Lite**)](https://www.raspberrypi.com) | [다운로드](https://downloads.raspberrypi.com/raspios_lite_arm64/images/raspios_lite_arm64-2024-03-15/2024-03-15-raspios-bookworm-arm64-lite.img.xz) |

<br><br> 
## T-Pot 다운로드 및 설치
1. GitHub 리포지토리를 클론: `$ git clone https://github.com/telekom-security/tpotce` 또는 [TL;DR](#tldr)을 따르고 이 섹션을 건너뛰세요.
2. **tpotce/** 폴더로 이동: `$ cd tpotce`
3. 루트가 아닌 사용자로 설치 프로그램 실행: `$ ./install.sh`:
   * ⚠️ ***선택한 Linux 배포판에 따라 설치 프로그램은 다음을 수행합니다:***
     * SSH 포트를 `tcp/64295`로 변경
     * 허니팟과의 포트 충돌을 피하기 위해 DNS Stub Listener 비활성화
     * SELinux를 모니터 모드로 설정
     * public 존의 방화벽 대상을 ACCEPT로 설정
     * Docker의 리포지토리 추가 및 Docker 설치
     * 권장 패키지 설치
     * 문제를 일으키는 것으로 알려진 패키지 제거
     * 현재 사용자를 docker 그룹에 추가 (`sudo` 없이 docker 상호작용 허용)
     * 형식화된 컨테이너 및 이미지 개요를 위한 `dps`, `dpsw` 및 `dim` 별칭 추가
     * `la`, `ll` 및 `ls` 별칭 추가 (`exa`용, 개선된 `ls` 명령어)
     * `mi` 별칭 추가 (`micro`용, `vi` 및/또는 `nano`의 훌륭한 대안)
     * 호스트의 열린 포트 표시 (T-Pot [필수](https://github.com/telekom-security/tpotce#required-ports) 포트와 비교)
     * T-Pot이 자동으로 시작 및 중지될 수 있도록 `tpot.service`를 `/etc/systemd/system`에 추가 및 활성화
4. 설치 프로그램 지침을 따르세요. 사용자(`sudo` 또는 `root`) 비밀번호를 최소 한 번 입력해야 합니다.
5. 설치 프로그램 메시지에서 오류 및 포트 충돌을 일으킬 수 있는 열린 포트를 확인하세요.
6. 재부팅: `$ sudo reboot`
<br><br>## macOS 및 Windows
macOS 또는 Windows에서 T-Pot 인스턴스를 실행할 수 있다는 것은 개발, 테스트 또는 단순한 재미를 위해 유용할 때가 있습니다. Docker Desktop이 다소 제한적이기 때문에 모든 허니팟 유형이나 T-Pot 기능이 지원되지는 않습니다. 또한 기본적으로 macOS와 Windows 방화벽이 원격 액세스를 차단하므로 테스트는 호스트로 제한된다는 점을 기억하세요. 프로덕션 환경에서는 [Linux](#choose-your-distro)에서 T-Pot을 실행하는 것이 좋습니다.<br>
시작하려면 다음 단계를 따르세요:
1. [macOS](https://docs.docker.com/desktop/setup/install/mac-install/) 또는 [Windows](https://docs.docker.com/desktop/setup/install/windows-install/)용 Docker Desktop을 설치합니다.
2. GitHub 저장소를 클론합니다: `git clone https://github.com/telekom-security/tpotce` (Windows에서는 코드가 `CRLF` 대신 `LF`로 체크아웃되었는지 확인하세요!)
3. 다음으로 이동합니다: `cd ~/tpotce`
4. 복사합니다: `cp compose/mac_win.yml ./docker-compose.yml`
5. `~/tpotce/genuser.sh` (macOS) 또는 `~/tpotce/genuserwin.ps1` (Windows)를 실행하여 `WEB_USER`를 생성합니다.
6. `.env` 파일을 수정하여 `TPOT_OSTYPE=linux`를 `mac` 또는 `win`으로 변경합니다:   ```
   # OSType (linux, mac, win)
   #  Most docker features are available on linux
   TPOT_OSTYPE=mac

T-Pot 구성 파일(`.env`)에서는 `LS_SSL_VERIFICATION=none`으로 설정하여 **Sensor**에서 **Hive**로의 logstash 연결에 대한 SSL 검증을 비활성화할 수 있습니다. 보안상의 이유로 이는 실험실 또는 테스트 환경에서만 권장됩니다.<br><br>
**Hive**에 대해 CA(예: Let's Encrypt)가 서명한 유효한 인증서를 사용하기로 선택한 경우, logstash 및 따라서 **Sensor**는 **Hive**에 연결하여 로그를 전송하는 데 문제가 없어야 합니다.

### Sensor 배포
설치 프로그램의 지시에 따라 **Sensor**를 재부팅한 후에는 **Hive**에 로그인하여 `cd ~/tpotce` 폴더로 이동하여 분산 배포를 계속할 수 있습니다. 실제 배포를 계속하기 전에 [계획 및 인증서](#planning-and-certificates)를 이해했는지 확인하십시오.

아직 수행하지 않은 경우 **Sensor**에 안전하게 로그인하고 `Ansible`이 센서에서 플레이북을 실행할 수 있도록 SSH 키를 생성하십시오:
1. `ssh-keygen`을 실행하고 지침을 따르고 암호를 비워 둡니다:   ```
   Generating public/private rsa key pair.
   Enter file in which to save the key (/home/<your_user>/.ssh/id_rsa):
   Enter passphrase (empty for no passphrase):
   Enter same passphrase again:
   Your identification has been saved in /home/<your_user>/.ssh/id_rsa
   Your public key has been saved in /home/<your_user>/.ssh/id_rsa.pub

4. Start T-Pot services: `systemctl start tpot`

데이터 제출을 비활성화하지 않는 것이 권장됩니다. 이는 커뮤니티 접근 방식의 주요 목적이며, 모두가 알다시피 **공유는 사랑입니다** 😍
<br><br>

## Opt-In HPFEEDS 데이터 제출
옵트인을 통해 T-Pot 데이터를 타사 HPFEEDS 브로커와 공유할 수 있습니다.
1. [여기](#community-data-submission)의 지침에 따라 T-Pot 서비스를 중지하고 `~/tpotce/docker-compose.yml` 파일을 엽니다.
2. `ewsposter` 섹션까지 아래로 스크롤하여 HPFEEDS 설정을 필요에 맞게 조정합니다.
3. CA 인증서를 추가해야 하는 경우 `~/tpotce/data/ews/conf`에 추가하고 `EWS_HPFEEDS_TLSCERT=/data/ews/conf/<your_ca.crt>`를 설정합니다.
4. Start T-Pot services: `systemctl start tpot`.
<br><br>

# 원격 접속 및 도구
SSH(**`tcp/64295`** 포트)를 통해 호스트/T-Pot에 원격으로 접속할 수 있으며, T-Pot에는 연구 작업을 훨씬 더 쉽게 만들어 주는 여러 서비스와 도구가 함께 제공됩니다.
<br><br>

## SSH
[사용자 유형](#user-types)에 따라 SSH를 통해 명령줄에 로그인할 수 있습니다: `ssh -l <OS_USERNAME> -p 64295 <your.ip>`:

- 사용자: **[`<OS_USERNAME>`]**
- 비밀번호: **[password]**
<br><br>

## T-Pot 랜딩 페이지 
[사용자 유형](#user-types)에 따라 브라우저에서 `https://<your.ip>:64297`을 통해 T-Pot 랜딩 페이지를 열 수 있습니다:

- 사용자: **[`<WEB_USER>`]**
- 비밀번호: **[password]**

![T-Pot-WebUI](https://assets.kitploit.com/production/public/readmes/4462/7e70eb82c25026577169f745794728206ca655c2fac5155262c645bf0290158e.png)
<br><br>

## Kibana 대시보드
T-Pot 랜딩 페이지에서 `Kibana`를 클릭하면 Kibana로 이동합니다. T-Pot이 지원하는 허니팟에 맞춰진 다양한 대시보드와 시각화 중에서 선택할 수 있습니다.

![Dashbaord](https://assets.kitploit.com/production/public/readmes/4462/d363122f1d233abb0f1818c0e69ed6ac1f4a2f139d5d924bcf7d6fc2b0b7f8bc.png)
<br><br>

## Attack Map
T-Pot 랜딩 페이지에서 `Attack Map`을 클릭하면 Attack Map으로 이동합니다. Attack Map은 웹 소켓을 사용하므로 `<WEB_USER>` 자격 증명을 다시 입력해야 할 수 있습니다.

![AttackMap](https://assets.kitploit.com/production/public/readmes/4462/a9a8e7024bebe87b98b754ee1fcaf877dee35b0b35404525cfc7b4bcf63778b5.png)
<br><br>

## Cyberchef
T-Pot 랜딩 페이지에서 `Cyberchef`를 클릭하면 Cyberchef로 이동합니다.

![Cyberchef](https://assets.kitploit.com/production/public/readmes/4462/4e8c0b3e528dad69e932ee8fefc6c0367c93b144fc22b5cbfdfc21401a212540.png)
<br><br>

## Elasticvue
T-Pot 랜딩 페이지에서 `Elasticvue`를 클릭하면 Elasticvue로 이동합니다.

![Elasticvue](https://assets.kitploit.com/production/public/readmes/4462/0a40257ee96c7713158d952dd3eaeaaa65ef587883f3545592072793819d4a22.png)
<br><br>

## Spiderfoot
T-Pot 랜딩 페이지에서 `Spiderfoot`을 클릭하면 Spiderfoot으로 이동합니다.

![Spiderfoot](https://assets.kitploit.com/production/public/readmes/4462/018e445ac80bc3a63e3504e5f46335b67870f5afe102fe59b308f5b64886e79e.png)
<br><br>

# 설정

## T-Pot 설정 파일
T-Pot은 도커 서비스(허니팟 및 도구)뿐만 아니라 도커 컴포즈 환경을 위한 변수를 제공하는 설정 파일을 제공합니다. 설정 파일은 `~/tpoce/.env`에 숨겨져 있습니다. 기본 설정을 담고 있는 예제 파일(`env.example`)도 있습니다.<br>
첫 번째 시작 전에 `~/tpotce/genuser.sh`를 실행하거나 [여기](#add-users-to-nginx-t-pot-webui)에 설명된 대로 `WEB_USER`를 수동으로 설정하십시오. 

## T-Pot 허니팟 및 서비스 사용자 지정

`~/tpotce/compose`에서 T-Pot Standard / Hive 설치를 조정하는 데 필요한 모든 것을 찾을 수 있습니다:```
customizer.py
llm.yml
mac_win.yml
mini.yml
mobile.yml
sensor.yml
standard.yml
tarpit.yml
tpot_services.yml

## 알려진 문제
다음 문제들이 알려져 있으며, 설명된 단계를 따라 해결하시면 됩니다.
<br><br>

### Docker 이미지 다운로드 실패
얼마 전 Docker는 다운로드 [속도 제한](https://docs.docker.com/docker-hub/download-rate-limit/#:~:text=Docker%20Hub%20limits%20the%20number,pulls%20per%206%20hour%20period.)을 도입했습니다. 단일 또는 공유 IP를 통해 Docker 이미지를 자주 다운로드하는 경우, 해당 IP 주소가 Docker 다운로드 속도 제한을 소진했을 수 있습니다. Docker 계정에 로그인하여 속도 제한을 연장하세요.```
sudo su -
docker login

5. 이제 `~/tpotce/install.sh`를 실행할 수 있습니다.
<br><br>

## 컨테이너 및 이미지 보기
`dps` 또는 `dpsw [interval]`을 실행하여 T-Pot 관련 모든 컨테이너를 표시할 수 있습니다. `interval (s)`은 주기적으로 `dps`를 다시 실행합니다. `dim`을 사용하여 `CREATED` 열을 포함한 로컬에서 사용 가능한 Docker 이미지를 표시합니다.
<br><br>

## 블랙홀(Blackhole)
블랙홀은 공개적으로 알려진 스캐너의 영구적인 방문 없이 T-Pot을 일종의 스텔스 모드로 실행하여 노출 가능성을 줄입니다. 물론 이것은 항상 고양이와 쥐 게임이지만, 블랙홀 기능은 Suricata를 통해 이벤트를 계속 캐치하면서 [알려진 대량 스캐너](https://raw.githubusercontent.com/stamparm/maltrail/master/trails/static/mass_scanner.txt)의 모든 요청을 null 라우팅합니다.
<br>
이 기능은 `~/tpotce/.env`에서 `TPOT_BLACKHOLE=DISABLED`로 설정한 다음 `systemctl stop tpot`을 실행하고 `systemctl start tpot` 또는 `sudo reboot`을 실행하여 활성화됩니다.
<br>
이 기능을 활성화하면 공격자의 가시성이 크게 줄어들고 결과적으로 활동이 줄어듭니다. 그러나 이미 언급했듯이 완전히 스텔스 상태가 된다는 보장도 없으며 일부 허니팟 서비스의 지문 감지를 방지하지도 않습니다.
<br><br>

## Nginx(T-Pot WebUI)에 사용자 추가
Nginx(T-Pot WebUI)를 사용하면 [사용자 유형](#user-types)에 따라 원하는 만큼 `<WEB_USER>` 계정을 추가할 수 있습니다.<br>
새 사용자를 **추가**하려면 `~/tpotce/genuser.sh`를 실행하세요.<br>
사용자를 **제거**하려면 `~/tpotce/.env`를 열고 `WEB_USER`를 찾은 다음 해당 base64 문자열을 제거하세요(디코딩: `echo <base64_string> | base64 -d` 또는 CyberChef를 열고 "From Base64" 레시피 로드).<br>
변경 사항을 적용하려면 `systemctl stop tpot` 및 `systemctl start tpot` 또는 `sudo reboot`을 사용하여 T-Pot을 다시 시작해야 합니다.
<br><br>

## Kibana 개체 가져오기 및 내보내기
일부 T-Pot 업데이트에서는 Kibana 개체를 업데이트해야 합니다. 새로운 허니팟을 지원하거나 기존 대시보드 또는 시각화를 개선하기 위해서입니다. 조정 내용을 잃지 않도록 먼저 ***내보내기***를 하십시오.

### 내보내기
1. Kibana로 이동
2. "Stack Management" 클릭
3. "Saved Objects" 클릭
4. "<no.>개 개체 내보내기" 클릭
5. "모두 내보내기" 클릭
그러면 모든 개체가 포함된 NDJSON 파일이 내보내집니다. 모든 참조가 포함되도록 항상 전체 내보내기를 실행하십시오.

### 가져오기
1. [NDJSON 파일 다운로드](https://raw.githubusercontent.com/telekom-security/tpotce/refs/heads/master/docker/tpotinit/dist/etc/objects/kibana_export.ndjson.zip)하고 압축을 푸십시오.
2. Kibana로 이동
3. "Stack Management" 클릭
4. "Saved Objects" 클릭
5. "가져오기"를 클릭하고 Kibana 개체를 개인적으로 변경하지 않은 경우 기본값을 그대로 두십시오(기존 개체 확인 및 충돌 자동 덮어쓰기).
6. NDJSON 파일 찾아보기
묻는 메시지가 나타나면: "이미 존재하는 개체가 있으면 자동으로 덮어쓰시겠습니까?"라고 묻는 경우 "예, 모두 덮어쓰기"라고 답하십시오.
<br><br>

# 문제 해결
일반적으로 T-Pot은 지원에 대한 어떠한 약속 없이 ***있는 그대로*** 제공됩니다. 이슈와 토론을 열 수 있지만, 커뮤니티가 도울 수 있도록 기본적인 필요한 정보를 포함할 준비를 하십시오.
<br><br>

## 로그
* 컨테이너가 올바르게 실행 중인지 확인: `dps`
* 로컬에서 사용 가능한 Docker 이미지와 사용 기간 확인: `dim`
* 시스템 리소스가 고갈되지 않았는지 확인: `htop`, `docker stats`
* 포트 충돌이 있는지 확인:```
systemctl stop tpot
grc netstat -tulpen
mi ~/tpotce/docker-compose.yml
docker-compose -f ~/tpotce/docker-compose.yml up
CTRL+C
docker-compose -f ~/tpotce/docker-compose.yml down -v