FMC-Trap

Низкоинтерактивный honeypot, который имитирует веб-интерфейс Cisco Secure Firewall Management Center (FMC) и перехватывает неаутентифицированный атакующий трафик в стиле Java-сериализации (зонды небезопасной десериализации в стиле CVE).

• Безопасно по замыслу: приложение не десериализует Java-объекты; оно обнаруживает \xac\xed\x00\x05 (а также Base64 rO0AB…) и извлекает строки shell-команд или URL с помощью регулярных выражений и эвристик.
• Без выполнения команд: URL второй стадии загружаются только с помощью Python requests в неисполняемый том загрузок.
• Ориентированный на production стек: Docker Compose с Gunicorn и опциональным Caddy (HTTPS, Let’s Encrypt).

Зачем это запускать?

Однострочные JSON-логи (совместимые с Splunk и ELK), опциональные уведомления в Telegram, хешированные артефакты второй стадии и не-root пользователь контейнера. Проект предназначен для исследователей, которым нужна узкоспециализированная ловушка в стиле FMC без дополнительного интеграционного кода.

Требования

Быстрый старт (примерно пять минут)

1. Клонирование

git clone https://github.com/Hassan-Pouladi/Cisco-FMC-honeypot
cd FMC-Trap

2. Настройка окружения

cp .env.example .env

Отредактируйте .env по мере необходимости (см. Переменные окружения). Для развёртываний за Caddy, входящим в комплект, установите TRUST_X_FORWARDED_FOR=1, чтобы IP-адреса клиентов в логах отражали исходного клиента.

3. Направьте Caddy на ваш домен

Отредактируйте Caddyfile: замените домены-заглушки на ваш домен (и www, если применимо):

example.com, www.example.com {
	reverse_proxy fmc-trap:5000
}

Опционально раскомментируйте глобальный блок email [email protected] в Caddyfile, чтобы получать уведомления об истечении сертификатов Let’s Encrypt.

4. DNS и межсетевой экран (HTTPS)

• Создайте записи A (и AAAA, если применимо): yourdomain.com → публичный IP вашего сервера, а также www, если используется.
• Разрешите входящие подключения к TCP 80 и TCP 443 на хосте (облачная группа безопасности и межсетевой экран хоста, например ufw allow 80,443/tcp).

5. Каталоги данных (обязательно)

Приложение работает внутри контейнера с UID 10001. Каталог ./data, смонтированный через bind, должен быть доступен для записи:

mkdir -p data/logs data/downloads
sudo chown -R 10001:10001 data/logs data/downloads

Без корректного владельца POST-запросы эксплойтов могут возвращать 500 (Permission denied при записи логов или сырых blob-данных).

6. Запуск

docker compose up -d --build

7. Проверка

docker compose ps
curl -sI https://yourdomain.com/

Ожидайте HTTP/2 200 (или 301 или 302) и заголовок Via: Caddy. В браузере по адресу https://yourdomain.com/ должна отображаться имитированная страница входа FMC.

О том, где читать события, полезные нагрузки и вывод Docker, см. Поиск логов, загрузок и вывода сервисов и Типовые операции.

Поиск логов, загрузок и вывода сервисов

Всё указанное ниже отсчитывается от каталога вашего проекта (папки, содержащей docker-compose.yml, обычно FMC-Trap после клонирования). Пути указаны на хосте; Docker монтирует их в контейнер через bind.

Когда что-то появляется в файле журнала: fmc-trap.json получает по одному JSON-объекту на строку, когда запрос соответствует поведению зонда десериализации (магические байты в POST). Обычные GET-запросы к поддельной странице входа по умолчанию не записываются в этот файл.

Когда в папке загрузок есть файлы: записи появляются только если конвейер извлекает URL из зонда и harvester успешно загружает разрешённый удалённый контент в пределах MAX_DOWNLOAD_MB. Если каталог остаётся пустым, возможно, подходящих URL пока нет либо загрузки блокируются политикой приложения.

Красивое форматирование JSON (опционально): для отдельной строки пропустите её через python -m json.tool или используйте jq, если он установлен.

Типовые операции

Архитектура

Internet :443/:80 → Caddy (TLS, Let’s Encrypt) → fmc-trap:5000 (Gunicorn/Flask)
                              ↓
                    ./data/logs, ./data/downloads (bind mounts)

• Только Caddy публикует наружу порты 80 и 443; контейнер приложения напрямую не экспонируется (см. expose: "5000" в Compose).
• Caddy использует публичные DNS-резолверы (1.1.1.1, 8.8.8.8) внутри контейнера, чтобы Let’s Encrypt срабатывал на хостах, где резолвер VPS недоступен из Docker (распространённое ограничение у некоторых облачных провайдеров).

Переменные окружения

Compose передаёт эти переменные в сервис fmc-trap; подробности см. в docker-compose.yml.

Поля JSON-логов (справочно)

Каждая строка в data/logs/fmc-trap.json — это один JSON-объект. Часто встречающиеся ключи: timestamp, event_type, src_ip, headers, raw_payload_hash, extracted_commands, а также downloaded_file_hash, если файл был сохранён. Сохранённые blob-данные в data/downloads/ имеют режим 0400 (только чтение для владельца).

Устранение неполадок

Опционально: публикация приложения на localhost (отладка)

Чтобы обращаться к Gunicorn напрямую без Caddy, добавьте следующее в секцию fmc-trap в docker-compose.yml:

ports:
  - "127.0.0.1:5000:5000"

Не привязывайте приложение к 0.0.0.0 в production, когда TLS завершается на Caddy.

Безопасность

• Разворачивайте на выделенном VPS или в изолированной сети. Сервис обрабатывает вредоносный трафик и может загружать вредоносное ПО для анализа.
• Храните Telegram-токены и другие секреты только в .env на хосте (никогда не коммитьте .env).
• Ограничьте межсетевой экран минимально необходимыми портами (80 и 443 для HTTPS).

Правовое и этическое использование

Разворачивайте только на системах, которыми вы владеете или на которых вам явно разрешено устанавливать инструментарий. Honeypot-системы могут собирать атакующий трафик и вредоносное ПО; соблюдайте применимое законодательство и политику организации. Это программное обеспечение предназначено для исследований в области безопасности.