Ханипот Log4Shell

Улучшенный ханипот в Docker для CVE-2021-44228 с комплексными функциями безопасности, мониторинга и оповещения.

Возможности

Улучшенное обнаружение

• Комплексное сопоставление шаблонов: Обнаруживает 20+ шаблонов эксплойтов Log4Shell, включая JNDI, LDAP, RMI, DNS и поиск переменных окружения
• Многостороннее обнаружение: Мониторинг HTTP-заголовков, данных форм и параметров запроса
• Логирование в реальном времени: Структурированное JSON-логирование с подробной информацией об атаке

Безопасность и производительность

• Ограничение скорости: Настраиваемое ограничение скорости по IP для предотвращения злоупотреблений
• Обратный прокси: Конфигурация Nginx с заголовками безопасности и завершением SSL
• Безопасность контейнера: Запуск от непривилегированного пользователя, файловая система только для чтения, отброшенные возможности
• Интеграция с fail2ban: Автоматическая блокировка IP после повторных попыток

Мониторинг и оповещение

• Проверки здоровья: Встроенная конечная точка health для оркестрации контейнеров
• Конечная точка метрик: Статистика в реальном времени по запросам и атакам
• Анализ логов: Python-скрипт для анализа шаблонов атак и тенденций
• Мониторинг в реальном времени: Просмотр логов в хвостовом режиме с форматированным выводом

Эксплуатационные возможности

• Ротация логов: Автоматическая ротация логов с настраиваемыми ограничениями по размеру
• Корректное завершение: Правильная обработка сигналов для чистого останова контейнеров
• Конфигурация: Настройка на основе переменных окружения для всех параметров
• Поддержка SSL: Генерация самоподписанных сертификатов для HTTPS

Быстрый старт

Простое развертывание

# Generate SSL certificates
./generate-ssl.sh

# Start with docker-compose
docker-compose up -d

# Monitor logs
./monitor.py --tail

Полное развертывание (с fail2ban)

# Run as root for fail2ban setup
sudo ./deploy.sh

Запуск вручную через Docker

# x86_64
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  -e LOG_FORMAT="json" \
  -e RATE_LIMIT_REQUESTS="100" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:latest

# ARM (e.g., Raspberry Pi)
docker run -d -p 8080:8080 \
  -e HONEYPOT_NAME="log4shell-honeypot" \
  --name="log4shell-honeypot" \
  msanford/log4shell-honeypot:arm-latest

Конфигурация

Переменные окружения

Использование файла конфигурации

# Load from config file
docker-compose --env-file config.env up -d

Шаблоны обнаружения

Ханипот обнаруживает следующие шаблоны Log4Shell:

• ${jndi: - JNDI-запросы (основной вектор атаки)
• ${ldap: - LDAP-запросы каталогов
• ${rmi: - RMI-удалённый вызов методов
• ${dns: - DNS-запросы
• ${env: - Доступ к переменным окружения
• ${sys: - Доступ к системным свойствам
• ${java: - Информация о среде выполнения Java
• И ещё 15+ дополнительных шаблонов

Мониторинг

Мониторинг в реальном времени

# Tail logs with formatted output
./monitor.py --tail

# Analyze last 24 hours
./monitor.py --hours 24

# Analyze last hour
./monitor.py --hours 1

Проверка здоровья

curl http://localhost/health

Метрики

curl http://localhost/metrics

Статус fail2ban

sudo fail2ban-client status log4shell-honeypot

Формат логов

Улучшенный формат JSON-логов включает:

{
  "timestamp": "2024-01-15T10:30:45Z",
  "honeypot": "log4shell-honeypot",
  "event_type": "log4shell_attempt",
  "source_ip": "192.168.1.100",
  "real_ip": "10.0.0.5",
  "method": "POST",
  "url": "http://honeypot.local/",
  "user_agent": "Mozilla/5.0...",
  "detected_patterns": ["${jndi:", "${env:"],
  "detection_source": "form_field:username",
  "headers": {...},
  "form_data": {...},
  "query_params": {...},
  "content_length": 45
}

Функции безопасности

Безопасность контейнера

• Запуск от непривилегированного пользователя
• Корневая файловая система только для чтения
• Отброшенные возможности Linux
• Без новых привилегий
• Временная файловая система для /tmp

Сетевая безопасность

• Nginx обратный прокси с заголовками безопасности
• Ограничение скорости на нескольких уровнях
• Завершение SSL/TLS
• Интеграция с fail2ban для блокировки IP

Безопасность журналирования

• Структурированное логирование для интеграции с SIEM
• Ротация логов для предотвращения исчерпания диска
• Отдельные тома для логов
• Обработка ошибок при сбоях логирования

Интеграция

Интеграция с SIEM

Структурированные JSON-логи легко могут быть приняты:

• ELK Stack (Elasticsearch, Logstash, Kibana)
• Splunk
• Graylog
• Fluentd/Fluent Bit

Оповещение

Настройте оповещения на основе:

• Порогов частоты атак
• Новых шаблонов атак
• Географических аномалий
• Шаблонов User-Agent

Сборка из исходного кода

# Build container
docker build -t log4shell-honeypot:latest .

# Build with specific tag
docker build -t log4shell-honeypot:v2.0 .

Устранение неполадок

Проверка статуса контейнера

docker-compose ps
docker-compose logs log4shell-honeypot

Проверка здоровья

curl -f http://localhost/health || echo "Health check failed"

Проверка fail2ban

sudo fail2ban-client status
sudo tail -f /var/log/fail2ban.log

Анализ логов

# Check for recent attacks
./monitor.py --hours 1

# View raw logs
tail -f /var/log/log4shell-honeypot.log

Настройка производительности

Среды с высоким трафиком

• Увеличьте RATE_LIMIT_REQUESTS для легитимного высокого трафика
• Настройте MAX_LOG_SIZE и LOG_BACKUP_COUNT для хранения логов
• Используйте внешнюю агрегацию логов для уменьшения локального хранилища

Ограничения ресурсов

# In docker-compose.yml
deploy:
  resources:
    limits:
      cpus: '0.5'
      memory: 256M
    reservations:
      cpus: '0.1'
      memory: 128M

Участие в разработке

1. Сделайте форк репозитория
2. Создайте ветку для функции
3. Внесите изменения
4. Добавьте тесты, если применимо
5. Отправьте pull request

Рекомендации по безопасности

• Разворачивайте за брандмауэром с ограниченным доступом
• Регулярно мониторьте логи на предмет шаблонов атак
• Обновляйте образы контейнеров
• Используйте надёжные SSL-сертификаты в производственной среде
• Внедряйте сегментацию сети
• Регулярно проводите аудит безопасности развёртывания

Благодарности

Это улучшенный форк BinaryDefense/log4shell-honeypot-flask со значительными улучшениями безопасности и эксплуатации.