Beelzebub

Фреймворк обмана с открытым исходным кодом.

Развёртывайте реалистичные приманки. Наблюдайте за поведением атакующих. Превращайте взаимодействия в доказательства для безопасности.

Изучите платформу Beelzebub · Документация · Быстрый старт

Beelzebub даёт командам по безопасности настраиваемый способ изучать активность, направленную на приманки-сервисы. Определите окружение, с которым сталкивается атакующий, выберите, как оно реагирует, и зафиксируйте взаимодействие для расследования. Запускайте фреймворк независимо или подключайте его к платформе Beelzebub.

Зачем нужен Beelzebub

• Развёртывайте приманки, подходящие для вашего окружения. Определяйте сервисы, маршруты и правила ответов в YAML. Используйте статические обработчики для предсказуемого поведения или ответы на основе LLM для адаптивных взаимодействий. Расширяйте среду выполнения с помощью доверенных плагинов Go, когда требуется нестандартное поведение.
• Наблюдайте за тем, что происходит после контакта. Собирайте доказательства из взаимодействий с приманками, включая команды, детали HTTP-запросов и контекст сессии, в зависимости от протокола. Дайте аналитикам запись активности, направленной на сервис, для поддержки расследования.
• Встраивайте доказательства в свой рабочий процесс. Просматривайте журналы локально, публикуйте структурированные события в RabbitMQ или включите отчётность в платформу Beelzebub. Включите метрики Prometheus с помощью core.prometheus.enabled: true для мониторинга активности среды выполнения; по умолчанию слушатель метрик отключён и не занимает порт.

Посмотрите в действии

Посмотрите, как приманка на основе LLM отвечает на ввод атакующего. Демонстрация показывает, как сгенерированные ответы могут поддерживать взаимодействие за пределами фиксированного набора обработчиков команд.

Как это работает

Определите сервисы и правила в YAML, проверьте конфигурацию и запустите среду выполнения. Доверенные плагины Go компилируются в среду выполнения для расширения сервисов и ответов. Каждый сервис обрабатывает входящие взаимодействия и выдаёт доказательства через настроенный вывод событий. Ответы LLM требуют настроенного провайдера; статические обработчики могут работать без него.

Фреймворк поддерживает SSH, HTTP, TCP, TELNET и MCP. Приманки MCP предоставляют приманки-инструменты, которые делают подозрительные вызовы наблюдаемыми во время контролируемого тестирования агентов. Они могут предоставить доказательства попыток внедрения промптов; они не гарантируют обнаружение каждой попытки.

Варианты развёртывания включают локальный бинарный файл Go, Docker Compose и Kubernetes с Helm. См. руководство по архитектуре для описания поведения среды выполнения и границ расширения.

Изучите приманки

Начните с одной из 18 примеров конфигураций в configurations/services. Откройте YAML-файл, чтобы изучить его правила и адаптировать их к вашему окружению.

Категория	Примеры приманок
Удалённый доступ	SSH · SSH (LLM) · TELNET · RDP · VNC
Веб	WordPress (LLM fallback) · HTTP 401 · HTTP methods · Apache directory maze
Базы данных и кэши	MySQL · PostgreSQL (LLM) · SQL Server · Redis · Memcached
Сетевые сервисы	SMB · LDAP
IoT	MQTT
AI-агенты	MCP bait tools

Примеры варьируются от баннеров и отдельных ответов до интерактивных обменов. Примеры с LLM требуют настроенного провайдера; WordPress использует его для своего catch-all маршрута. Проверьте сопоставление портов вашего развёртывания при включении дополнительных примеров.

Начало работы

Вам понадобятся Git, оболочка и Docker Engine с Compose v2. Используйте изолированный лабораторный хост с авторизацией для всех настроенных слушателей: установщик запускает набор примеров сервисов, включая привилегированные порты. В Linux он может включить host networking; Docker не обеспечивает сетевую изоляцию в этом режиме.

Используйте синтетические учётные данные и ознакомьтесь с руководством по безопасности в production, прежде чем открывать сервисы в интернет.

git clone https://github.com/beelzebub-labs/beelzebub.git
cd beelzebub
./install.sh --docker

Отчётность платформы необязательна. Оставьте токен платформы пустым при запросе, чтобы запустить автономно. Среда выполнения проверяет свою конфигурацию перед запуском слушателей.