honeyLambda

Armadilha Serverless

honeyλ - uma simples aplicação serverless projetada para criar e monitorar URL {honey}tokens, sobre AWS Lambda e Amazon API Gateway

• Notificações do Slack
• Alertas por e-mail e SMS
• Carregar configuração de arquivo local ou Amazon S3
• Personalizar a resposta HTTP para cada token
• Relatório de Inteligência de Ameaças (consulta de IP de origem)
  • Usando a API Cymon v2
• Baseado no framework Serverless
  • pague pelo que usar
  • agnóstico de provedor

Descrição

honeyλ permite criar e monitorar endpoints HTTP falsos automaticamente. Você pode então colocar esses honeytokens de URL, por exemplo, em sua caixa de entrada, documentos, histórico do navegador ou incorporá-los como links {ocultos} em suas páginas da web (Nota: honeybits pode ser usado para espalhar migalhas de pão pelos seus sistemas para atrair atacantes para suas armadilhas). Dependendo de como e onde você implementa honeytokens, você pode detectar atacantes humanos, insiders maliciosos, raspadores de conteúdo ou bots mal-intencionados.

Esta aplicação é baseada no framework Serverless e pode ser implantada em diferentes provedores de nuvem, como Amazon Web Services (AWS), Microsoft Azure, IBM OpenWhisk ou Google Cloud (Apenas testado na AWS; a função principal pode precisar de pequenas alterações para suportar outros provedores). Se seu provedor de nuvem for AWS, ele cria automaticamente endpoints HTTP usando Amazon API Gateway e então começa a monitorar os endpoints HTTP usando a função Lambda honeyλ.

Configuração

• Instalar o framework Serverless:
  • npm install -g serverless
• Instalar o honeyλ:
  • serverless install --url https://github.com/0x4d31/honeyLambda
• Editar serverless.yml e definir o caminho do endpoint HTTP (padrão: /v1/get-pass)
• Editar config.json e preencher sua URL de Webhook do Slack. Altere as configurações de trap/token conforme necessário
• Você pode personalizar a resposta HTTP para cada token
  • Por exemplo, você pode retornar uma imagem beacon de 1x1px na resposta e incorporar o token em seus documentos isca ou e-mail (pixel de rastreamento!)

Implantação

• Configurar suas Credenciais AWS
• Para implantar o honeyλ, execute:
  • serverless deploy

Output:

Serverless: Packaging service...
Serverless: Creating Stack...
Serverless: Checking Stack create progress...
.....
Serverless: Stack create finished...
Serverless: Uploading CloudFormation file to S3...
Serverless: Uploading artifacts...
Serverless: Uploading service .zip file to S3 (116.22 KB)...
Serverless: Validating template...
Serverless: Updating Stack...
Serverless: Checking Stack update progress...
.................................
Serverless: Stack update finished...
Service Information
service: honeyLambda
stage: dev
region: ap-southeast-2
api keys:
  None
endpoints:
  GET - https://rz1bEXAMPLE.execute-api.ap-southeast-2.amazonaws.com/dev/v1/get-pass
functions:
  honeylambda: honeyLambda-dev-honeylambda

• Nota: Se você quiser retornar binário na resposta HTTP (por exemplo, Content-Type: image/png), você precisa configurar manualmente o Suporte Binário usando o console do Amazon API Gateway (ainda não é possível definir tipos de mídia binários automaticamente usando serverless):

Abra o console do Amazon API Gateway, adicione o tipo de mídia binária */*, e salve.

Feito isso, você precisa reimplantar a API no estágio dev

Uso

Abra a URL/endpoint gerada em seu navegador para testar se funciona:

Alerta do Slack

TODO

• Config remota: carregar configuração do Amazon S3
• Imagem beacon / retornar imagem como resposta HTTP
• Personalizar a resposta HTTP para cada token
• Verificar o endereço IP de origem contra feeds de Inteligência de Ameaças (ex: API Cymon)
• Alerta por e-mail
• Alerta por SMS (Twilio)
• Fingerprinting de Cliente HTTP