dshield-isc/dshieldInstala e configura um sensor honeypot DShield em Raspberry Pi ou Ubuntu, executando honeypots Cowrie SSH e HTTP e encaminhando logs de firewall para o portal DShield.
Este é um conjunto de scripts para configurar um Sensor DShield.
Objetivos de design atuais e pré-requisitos para usar o procedimento de instalação automatizada:
A versão atual é testada apenas no Raspberry Pi OS (64-bit) e Ubuntu 24.04 LTS Server, não em outras distros, desculpe. Se houver necessidade de outras distros, "alguém" terá que verificar e manter o script de instalação.
Consulte os seguintes arquivos para instruções de instalação específicas do SO: Raspberry Pi OS (Recomendado), Ubuntu, openSUSE e AWS
install.shEste script irá:
Os logs são enviados duas vezes por hora para o portal dshield pelo cron job /etc/cron.d/dshield, isso pode ser verificado em 'My Account' -> 'My Reports'
Dê uma olhada na saída do script de status: /srv/dshield/status.sh
Se você receber erros estranhos relacionados a Python ou pip durante a instalação ou durante as atualizações, tente os seguintes comandos como root:
pip freeze --local | grep -v '^\-e' | cut -d = -f 1 | xargs -n1 pip install -U
Consulte nosso Guia de Solução de Problemas para ajuda na identificação de problemas.
Dentro do seu diretório "dshield" (o diretório criado acima quando você executa git clone), execute
cd install/dshield
sudo git pull
sudo bin/install.sh --update
O parâmetro "--update" usará automaticamente a configuração existente e não solicitará ao usuário nenhuma opção de configuração.
Parâmetros de configuração como sua API Key serão mantidos. Para editar a configuração, edite /etc/dshield.ini; para configurar o firewall, edite /etc/network/iptables (observação: a tabela nat também é usada).
Um novo recurso foi introduzido, especialmente para atualizações automáticas. Ao final da instalação, o script install.sh procurará o arquivo /root/bin/postinstall.sh e executará seu conteúdo, caso ele exista. Se você precisar de algumas alterações extras nos arquivos recém-instalados, este é o local para colocá-las. Este arquivo PRECISA de permissões de execução.
Certifique-se de manter atualizadas as configurações especiais de porta e rede (por exemplo, configure manualmente as portas telnet/web adicionadas recentemente na configuração do firewall), como configuração no-log, configuração no-honey, ... infelizmente, isso não pode ser feito automaticamente no momento. Em caso de dúvida, exclua as linhas respectivas em /etc/dshield.ini e execute novamente o script de instalação.
Este sensor e honeypot DShield destina-se apenas a analisar tráfego relacionado à Internet, ou seja, tráfego originado de endereços IP públicos:
Portanto, você deve posicionar o Pi em uma rede onde ele possa ser exposto à Internet (e não será conectado a partir das redes internas, exceto para tarefas administrativas). Para o máximo benefício do sensor, é desejável que o Pi seja exposto a todo o tráfego que a Internet roteia para um IP público (e não apenas a portas selecionadas).
Para usuários SoHo, normalmente há uma opção no roteador DSL ou a cabo para direcionar todo o tráfego do IP público que o roteador está usando (ou seja, atribuído pelo ISP) para um IP interno. Este deve ser o Pi. Esse recurso é chamado, por exemplo, de "exposed host", "DMZ" (aqui você pode precisar habilitar configurações adicionais para garantir que todo o tráfego seja roteado para o endereço IP interno do Pi e não apenas, por exemplo, a porta 80).
Para empresas, uma DMZ protegida seria um local adequado (protegida: se o sensor/honeypot for invadido, esse incidente fica contido e não afeta outros hosts na DMZ). Esteja ciente de que - se estiver usando IPs estáticos - você estará expondo ataques/scans ao seu IP para o projeto DShield e a comunidade, que podem ser rastreados via whois até sua empresa.
Para testar sua configuração, você pode usar um scanner de portas público e apontá-lo para o IP público do roteador (que é então encaminhado internamente para o Pi). Este scan de portas deve ser diretamente visível em /var/log/dshield.log e, posteriormente, no seu relatório online acessível via sua conta DShield. Use apenas para fins de teste rápido e limitado, por favor, para que os dados do DShield não sejam falsificados.
install.shstatus.sh) para a estrutura de diretórios /srvsitecopy.py copiará qualquer site e servirá o site usando o script web.py, basta usar:
python sitecopy.py http://www.yoursite.com
web.py - não é necessário executar o sitecopy, no entanto irá servir uma página muito básica que pode aceitar input e ficheiros. A fazer: