honeyLambda

Serverless-ловушка

honeyλ - это простое бессерверное приложение, предназначенное для создания и мониторинга URL-{honey}tokens на базе AWS Lambda и Amazon API Gateway

• Уведомления в Slack
• Оповещения по email и SMS
• Загрузка конфигурации из локального файла или Amazon S3
• Настройка HTTP-ответа для каждого токена
• Отчет о разведке угроз (проверка IP-адреса источника)
  • С использованием Cymon API v2
• Основан на фреймворке Serverless
  • плати только за то, что используешь
  • независимость от провайдера

Описание

honeyλ позволяет автоматически создавать и отслеживать фиктивные HTTP-конечные точки. Затем вы можете размещать эти URL-приманки (honeytokens), например, в своем почтовом ящике, документах, истории браузера или встраивать их как {скрытые} ссылки на своих веб-страницах (Примечание: honeybits можно использовать для разбрасывания хлебных крошек по вашим системам, чтобы заманить атакующих в ваши ловушки). В зависимости от того, как и где вы используете honeytokens, вы можете обнаружить атакующих-людей, злоумышленников из числа инсайдеров, скреперов контента или вредоносных ботов.

Это приложение основано на фреймворке Serverless и может быть развернуто в различных облачных провайдерах, таких как Amazon Web Services (AWS), Microsoft Azure, IBM OpenWhisk или Google Cloud (тестировалось только на AWS; основная функция может потребовать небольших изменений для поддержки других провайдеров). Если ваш облачный провайдер - AWS, приложение автоматически создает HTTP-конечные точки с помощью Amazon API Gateway, а затем начинает отслеживать эти конечные точки с помощью функции Lambda honeyλ.

Настройка

• Установите фреймворк Serverless:
  • npm install -g serverless
• Установите honeyλ:
  • serverless install --url https://github.com/0x4d31/honeyLambda
• Отредактируйте serverless.yml и укажите путь к HTTP-конечной точке (по умолчанию: /v1/get-pass)
• Отредактируйте config.json и укажите URL вебхука Slack. Измените настройки ловушек/токенов по мере необходимости.
• Вы можете настроить HTTP-ответ для каждого токена
  • Например, вы можете вернуть изображение-маяк размером 1x1px в ответе и встроить токен в ваши фиктивные документы или письма (трекинг-пиксель!)

Развертывание

• Настройте свои учетные данные AWS
• Чтобы развернуть honeyλ, просто выполните:
  • serverless deploy

Output:

Serverless: Packaging service...
Serverless: Creating Stack...
Serverless: Checking Stack create progress...
.....
Serverless: Stack create finished...
Serverless: Uploading CloudFormation file to S3...
Serverless: Uploading artifacts...
Serverless: Uploading service .zip file to S3 (116.22 KB)...
Serverless: Validating template...
Serverless: Updating Stack...
Serverless: Checking Stack update progress...
.................................
Serverless: Stack update finished...
Service Information
service: honeyLambda
stage: dev
region: ap-southeast-2
api keys:
  None
endpoints:
  GET - https://rz1bEXAMPLE.execute-api.ap-southeast-2.amazonaws.com/dev/v1/get-pass
functions:
  honeylambda: honeyLambda-dev-honeylambda

• Примечание: Если вы хотите возвращать двоичные данные в HTTP-ответе (например, Content-Type: image/png), необходимо вручную настроить поддержку двоичных данных с помощью консоли Amazon API Gateway (пока невозможно автоматически устанавливать двоичные типы мультимедиа с помощью serverless):

Откройте консоль Amazon API Gateway, добавьте двоичный тип мультимедиа */*, и сохраните.

После этого необходимо повторно развернуть API на стадии dev

Использование

Откройте сгенерированный URL/конечную точку в браузере, чтобы проверить, работает ли он:

Оповещение в Slack

TODO

• Удаленная конфигурация: загрузка конфигурации из Amazon S3
• Изображение-маяк / возврат изображения в качестве HTTP-ответа
• Настройка HTTP-ответа для каждого токена
• Проверка IP-адреса источника по каналам Threat Intelligence (например, Cymon API)
• Оповещение по email
• SMS-оповещение (Twilio)
• Идентификация HTTP-клиента