HoneyWire

📋 Содержание

• Обзор
• Демонстрация
• Универсальный стандарт событий
• Возможности
• Архитектура
• Краткое руководство по началу работы
• Замечания по безопасности
• Технологический стек
• Дорожная карта и разработка
• Версионирование и справочник API

Обзор

HoneyWire — это легковесный распределённый конструктор систем раннего предупреждения о вторжениях с высоким сигналом, предназначенный для внутренних сетей. Благодаря своей архитектуре и UX он позволяет невероятно легко развернуть новый сервер Cyber Canary или установить HoneyWires на уже существующие. Используя технологию обмана (deception), он заменяет подход «увеличительного стекла» традиционных SIEM-систем, которые часто перегружают аналитиков ложными срабатываниями при мониторинге легитимного трафика, на модель High-Fidelity Tripwire.

Разместите датчик ровно там, где нужно. Если он сработает — у вас вторжение.

• Production Tripwires: Поднимают тревогу, когда активные сервисы «прощупывают» способами, которыми не должны. Разместив датчик на чувствительном файле, который никогда не должен читаться, или на порту сервиса, к которому никогда не должно быть доступа, вы выявляете злоумышленников по их отклонению от «разрешённого пути».
• Synthetic Deception: Разворачивайте приманки, такие как ICMP Canary или Network Scan Detector, в качестве ловушек. Поскольку эти датчики не несут легитимной бизнес-ценности, 100% их трафика — это действенная разведывательная информация.

Разверните несколько датчиков — и у вас появится довольно чёткая картина бокового перемещения злоумышленника. Никакой настройки, никакого шума — только мгновенная криминалистика. Если ваши легитимные автоматизированные сканеры безопасности вызывают срабатывание HoneyWires, просто добавьте их в белый список в настройках Hub.

Демонстрация

🔌 Универсальный стандарт событий (Bring Your Own Sensor)

Community Sensors

Примечание: Если вы создаёте свой датчик с использованием официальных HoneyWire SDK, форматирование JSON и доставка обрабатываются автоматически.

Настоящая мощь HoneyWire заключается в том, что Hub и Wizard полностью не зависят от типа датчиков. Вы не ограничены входящими в комплект официальными датчиками.

Следуя HoneyWire Event Standard V2.0, вы можете написать скрипт на любом языке (Bash, Go, Rust, Python) для мониторинга чего угодно, и интерфейс Sentinel будет динамически разбирать, подсвечивать синтаксис и отображать ваши криминалистические данные.

Будь то механизм Deep Packet Inspection (DPI), DNS sinkhole, Canary Token, встроенный в PDF, Email Honeypot или простой TCP Port Tripwire — просто отправьте JSON-нагрузку Universal Event Standard на Hub.

Полный контракт данных событий смотрите здесь

Возможности

• Интерфейс Sentinel Hub: Полностью адаптивная панель управления на Vue 3 с динамической проверкой криминалистических нагрузок, развёртыванием и управлением Nodes и Sensors, включая обновление датчиков, прямо из интерфейса.
  • Универсальные push-уведомления: Нативная интеграция без дополнительных зависимостей для маршрутизации критических оповещений в Discord, Slack, Ntfy и Gotify.
  • Интеграция с корпоративными SIEM: Нативная пересылка RFC5424 Syslog (TCP/UDP) для бесшовной передачи структурированной телеметрии в Splunk, Elastic, Wazuh или Vector.
• Мастер настройки (Setup Wizard): Инструмент автоматизации развёртывания и тестирования, разработанный специально так, чтобы не быть постоянно работающим агентом. Это просто TUI CLI-инструмент, который автоматизирует задачи оператора, такие как применение и согласование желаемого состояния Hub для конкретного Node, автоматически обрабатывая конфигурацию, развёртывание и откат при неудачных развёртываниях.
• Набор официальных HoneyWires: Включает нативные TCP Tarpit, Web Router Decoy, File Canary (FIM), ICMP Canary и Network Scan Detector.

Архитектура

HoneyWire разделён на четыре независимых микросервиса:

1. /Hub: Центральный мозг. Чистый Go-бинарник со встроенной базой данных SQLite и панелью управления Vue.js. Работает от непривилегированного пользователя внутри контейнера Distroless, безопасно монтируя данные в выделенный том.
2. /Sensors: Узлы-приманки. Статически слинкованные Go-бинарники, которые слушают уязвимые порты, ловят атакующих и безопасно отправляют данные о вторжениях обратно на Hub.
3. /SDKs: Официальные библиотеки (например, sdk-go), которые обеспечивают безопасную связь с Hub, чтобы разработчики сообщества могли легко создавать новые датчики.
4. /wizard: CLI-инструмент мастера настройки для автоматизации задач оператора, таких как обнаружение, развёртывание и тестирование HoneyWires.

Полная документация по архитектуре Руководство по эксплуатации

🚀 Краткое руководство по началу работы

Развёртывание HoneyWire Hub занимает менее 60 секунд с использованием наших готовых образов GitHub Container.

1. Разверните Hub

Создайте новую директорию на вашем сервере, создайте файл docker-compose.yml и вставьте следующее: