Log4Shell Honeypot

Honeypot dockerizado aprimorado para CVE-2021-44228 com recursos abrangentes de segurança, monitoramento e alertas.

Recursos

Detecção Aprimorada

• Correspondência Abrangente de Padrões: Detecta mais de 20 padrões de exploração Log4Shell, incluindo consultas JNDI, LDAP, RMI, DNS e variáveis de ambiente
• Detecção Multi-Fonte: Monitora cabeçalhos HTTP, dados de formulário e parâmetros de consulta
• Registro em Tempo Real: Registro estruturado em JSON com informações detalhadas de ataque

Segurança e Desempenho

• Limitação de Taxa: Limitação de taxa por IP configurável para evitar abuso
• Proxy Reverso: Configuração Nginx com cabeçalhos de segurança e terminação SSL
• Segurança do Contêiner: Usuário não-root, sistema de arquivos somente leitura, capabilities removidas
• Integração com fail2ban: Bloqueio automático de IP após tentativas repetidas

Monitoramento e Alertas

• Verificações de Integridade: Endpoint de health integrado para orquestração de contêineres
• Endpoint de Métricas: Estatísticas em tempo real sobre requisições e ataques
• Análise de Logs: Script Python para analisar padrões e tendências de ataques
• Monitoramento em Tempo Real: Acompanhamento de logs com saída formatada

Recursos Operacionais

• Rotação de Logs: Rotação automática de logs com limites de tamanho configuráveis
• Desligamento Gracioso: Tratamento adequado de sinais para paradas limpas de contêineres
• Configuração: Configuração baseada em variáveis de ambiente para todas as configurações
• Suporte SSL: Geração de certificados autoassinados para HTTPS

Início Rápido

Implantação Simples

# Generate SSL certificates
./generate-ssl.sh

# Start with docker-compose
docker-compose up -d

# Monitor logs
./monitor.py --tail

Implantação Completa (com fail2ban)

# Run as root for fail2ban setup
sudo ./deploy.sh

Execução Manual com Docker

# x86_64
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  -e LOG_FORMAT="json" \
  -e RATE_LIMIT_REQUESTS="100" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:latest

# ARM (e.g., Raspberry Pi)
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:arm-latest

Configuração

Variáveis de Ambiente

Usando Arquivo de Configuração

# Load from config file
docker-compose --env-file config.env up -d

Padrões de Detecção

O honeypot detecta os seguintes padrões Log4Shell:

• ${jndi: - consultas JNDI (vetor de ataque principal)
• ${ldap: - consultas de diretório LDAP
• ${rmi: - invocação remota de métodos RMI
• ${dns: - consultas DNS
• ${env: - acesso a variáveis de ambiente
• ${sys: - acesso a propriedades do sistema
• ${java: - informações do runtime Java
• E 15+ padrões adicionais

Monitoramento

Monitoramento em Tempo Real

# Tail logs with formatted output
./monitor.py --tail

# Analyze last 24 hours
./monitor.py --hours 24

# Analyze last hour
./monitor.py --hours 1

Verificação de Integridade

curl http://localhost/health

Métricas

curl http://localhost/metrics

Status do fail2ban

sudo fail2ban-client status log4shell-honeypot

Formato de Log

O formato JSON aprimorado de log inclui:

{
  "timestamp": "2024-01-15T10:30:45Z",
  "honeypot": "log4shell-honeypot",
  "event_type": "log4shell_attempt",
  "source_ip": "192.168.1.100",
  "real_ip": "10.0.0.5",
  "method": "POST",
  "url": "http://honeypot.local/",
  "user_agent": "Mozilla/5.0...",
  "detected_patterns": ["${jndi:", "${env:"],
  "detection_source": "form_field:username",
  "headers": {...},
  "form_data": {...},
  "query_params": {...},
  "content_length": 45
}

Recursos de Segurança

Segurança do Contêiner

• Execução com usuário não-root
• Sistema de arquivos raiz somente leitura
• Capabilities Linux removidas
• Sem novos privilégios
• Sistema de arquivos temporário para /tmp

Segurança de Rede

• Proxy reverso Nginx com cabeçalhos de segurança
• Limitação de taxa em múltiplos níveis
• Terminação SSL/TLS
• Integração com fail2ban para bloqueio de IP

Segurança de Registro

• Registro estruturado para integração com SIEM
• Rotação de logs para evitar esgotamento do disco
• Volumes de log separados
• Tratamento de erros para falhas de registro

Integração

Integração com SIEM

Os logs JSON estruturados podem ser facilmente ingeridos por:

• ELK Stack (Elasticsearch, Logstash, Kibana)
• Splunk
• Graylog
• Fluentd/Fluent Bit

Alertas

Configure alertas com base em:

• Limiares de frequência de ataques
• Novos padrões de ataque
• Anomalias geográficas
• Padrões de user agent

Compilar a partir do Código-Fonte

# Build container
docker build -t log4shell-honeypot:latest .

# Build with specific tag
docker build -t log4shell-honeypot:v2.0 .

Solução de Problemas

Verificar o Status do Contêiner

docker-compose ps
docker-compose logs log4shell-honeypot

Verificar a Integridade

curl -f http://localhost/health || echo "Health check failed"

Verificar fail2ban

sudo fail2ban-client status
sudo tail -f /var/log/fail2ban.log

Análise de Logs

# Check for recent attacks
./monitor.py --hours 1

# View raw logs
tail -f /var/log/log4shell-honeypot.log

Ajuste de Desempenho

Ambientes de Alto Tráfego

• Aumente RATE_LIMIT_REQUESTS para tráfego alto legítimo
• Ajuste MAX_LOG_SIZE e LOG_BACKUP_COUNT para retenção de logs
• Use agregação externa de logs para reduzir o armazenamento local

Limites de Recursos

# In docker-compose.yml
deploy:
  resources:
    limits:
      cpus: '0.5'
      memory: 256M
    reservations:
      cpus: '0.1'
      memory: 128M

Contribuindo

1. Faça um fork do repositório
2. Crie uma branch de funcionalidade
3. Faça suas alterações
4. Adicione testes se aplicável
5. Envie um pull request

Considerações de Segurança

• Implante atrás de um firewall com acesso restrito
• Monitore os logs regularmente para padrões de ataque
• Mantenha as imagens do contêiner atualizadas
• Use certificados SSL robustos em produção
• Implemente segmentação de rede
• Realize auditorias de segurança regulares da implantação

Agradecimentos

Este é um fork aprimorado de BinaryDefense/log4shell-honeypot-flask com melhorias significativas de segurança e operação.