こんにちは、 @satsuki2200 です。
大学の授業でアドカレをやるというので、何かいいネタがないかと考えているうちに、無料でハニーポットを運用してみたくなったので、実験的にやってみようと思います。

なお、今回は学生の権利を利用して、基本無料で運用します。

本記事はハニーポットの構築のみを扱います。ハニーポット運用後の結果は別記事にて公開予定です。

本記事の内容は学習・検証目的で提供するものです。
本記事を参考にして発生したいかなる損害についても、筆者は一切の責任を負いません。
必ず自己責任のもと、実施してください。

やりたいこと

無料でクラウド上にハニーポットを設置、運用してみたい
無料の範囲内で何日間運用できるか実験したい
運用結果を記事に載せたい

準備物

18歳以上かつ学生である権利
教育機関のメールアドレス

出費を厭わない方は、上記準備物は必要ありません。

今回使用する環境

Microsoft Azure
T-Pot
- https://github.com/telekom-security/tpotce

今回はデプロイ先としてMicrosoft Azureを利用します。Azure for Studentsの無料利用枠$100相当を利用するためです。

そもそもハニーポットってなに？

記事の本題に入る前にハニーポットについておさらいしておきます。
ハニーポットは知っている、おさらいする必要はないという人はAzure無料利用枠を手にいれるへスキップしてください。

ハニーポットとは、あえて攻撃させて侵入方法や攻撃手法を分析するためのシステムのことをいいます。
はちみつを撒いて虫をおびき寄せるように、攻撃者をおびき寄せるためのいわば「おとり」として設置されることから、ハニーポットと呼ばれているそうです。

Azure無料利用枠を手にいれる

まずはデプロイ前にAzureの無料利用枠を手に入れましょう。
Microsoft Azure の学生無料利用枠申し込みページにアクセスします。

遷移先のAzureのページはこんな感じです。

無料で始めるをクリックしてMicrosoftアカウントにサインインしましょう。

私の通っている大学の場合、大学のメールアドレスを紐付けたGitHubアカウントでログインしようとすると、大学が配布しているMicrosoft Office用の別のアドレスでログインするよう求められました。
他大学の場合はわかりかねますが、大学によっては上記のような事象が起こりうるかもしれません。

サインイン後、名前や所属している教育機関の情報を入力して教育機関情報のチェックをします。チェックが終わると、名前や通知用メールアドレス、電話番号などの情報を入力してサインアップを完了しましょう。

サインアップが完了してダッシュボードに利用可能なクレジットが表示されていたら無料利用枠ゲットです！

下準備

この後VMを作成する際に[高速ネットワークを有効にする]という項目を選びます。ただし、この項目はあらかじめ設定を行っておく必要があるので、VM作成前に行っておきます。

Azure Portalの一番上にある検索ボックスで"サブスクリプション"と検索して、検索結果に出てきた[サブスクリプション]、[Azure for Students]の順に選択してください。

サブスクリプションの概要ページに移ったら、左側のパネルから[設定]→[リソースプロバイダー]を選び、リソースプロバイダーページ内の検索ボックスに"Microsoft.Network"と入力して出てきた[Microsoft.Network]を選択して登録しましょう。

VM作成前に必要な設定はこれで終わりですが、もしAzureアプリを使用予定かつAzureアプリで通知を受け取る場合は[microsoft.insights]もオンにしてください。

microsoft.insightsは任意です。設定しなくてもハニーポットは構築できます。

Azureのリソース作成

Azure無料枠を手に入れたので、デプロイに向けてハニーポットの準備をしていきます。

まずはAzureでリソースを作成・起動します。
今回使用するAzureリソースの詳細は以下です。

リージョン
- Japan East
VM
- Standard D4s_v3
OS
- Ubuntu Server 24.04 LTS
SSD
- Standard SSD 64GB
IP
- Standard SKU

筆者はこれまでAzureを触ったことがなかったので、VMの選定はCopilotやChatGPTに頼っています。もしかしたらもっといい構成があるかもしれません。
リージョンについては、日本国内でT-potを運用してみたいという筆者のエゴでJapan Eastにしました。もうちょっと安いリージョンにしてもいいかもしれませんが、設置している国によって結果が異なる可能性を考慮する必要があるかもしれません。

ではVMを作成していきます。左上のハンバーガーメニューを開いて[リソースの作成]→[仮想マシン]の順にクリックしてください。

次に作成するVMの詳細を入力していきます。VMの設定はこんな感じになりました。（項目が多いのでトグルにしまってあります）

基本

サブスクリプション
- Azure for Students
リソースグループ
- (新規) t-pot
仮想マシン名
- tpot
リージョン
- (Asia Pacific) Japan East
可用性オプション
- インフラストラクチャ冗長は必要ありません
セキュリティの種類
- Standard
イメージ
- Ubuntu Server 24.04 LTS - x64 Gen2
VMアーキテクチャ
- x64
サイズ
- Standard_D2s_v3 - 2 vcpu 数、8GiB のメモリ ($94.17/月)
認証の種類
- SSH公開キー
ユーザー名
- tpotadmin
SSH公開キーのソース
- 新しいキーの組の生成
SSHキーの種類
- Ed25519 SSH 形式
キーの組名
- tpot_key
パブリック受信ポート
- 選択したポートを許可する
受信ポートを選択
- SSH (22)

ディスク

OSディスクサイズ
- 64GiB（E6）
OSディスクの種類
- Standard SSH (ローカル冗長ストレージ)
VMと共に削除
- チェックあり
キーの管理
- プラットフォームマネージドキー

ネットワーク

仮想ネットワーク
- (新規) vnet-japaneast (tpot)
サブネット
- (新規) snet-japaneast-1
パブリックIP
- (新規) tpot-ip
NICネットワークセキュリティグループ
- Basic
パブリック受信ポート
- 選択したポートを許可する
受信ポートを選択
- SSH (22)
VMが削除されたときにパブリックIPとNICを削除する
- チェックあり
高速ネットワークを有効にする
- チェックあり
- Microsoft.Networkをregisterdにしておかないとオンにできない
負荷分散のオプション
- なし

管理

無料のBasicプランを有効にする
- チェックあり
パッチオーケストレーションオプション
- イメージの規定値

監視

何も選択せず、追加等も行わずにスルーしました

詳細

何も選択せず、追加等も行わずにスルーしました

タグ

プロジェクト名のみ入れました

名前
- project
値
- tpot

確認および作成

スクショを載せておきます。

VMの構成が設定できたら作成してしまいましょう。作成後、必ずSSH用の鍵ファイルをダウンロードしてください。ダウンロードした鍵ファイルはchmod 600 <ファイルパス>で権限の変更を行ってください。また、~/.sshなどに置いておくと良いかと思います。

Azure側のポート設定をする

ハニーポットをデプロイする前に、ハニーポットで使用するポートの解放を行っておきます。AzureはNetwork Security Group(NSG)という機構でポートの制限を管理しているので、NSGのルールセットを追加していきます。
必要ポートは以下になります。（ T-PotのGitHubリポジトリより抜粋）

TCP

21, 22, 23, 25, 42, 80, 102, 110, 135, 143, 389, 443, 445, 502, 631, 993, 995, 1025, 1080, 1433, 1521, 1723, 1883, 2404, 2575, 3000, 3306, 3389, 5060, 5432, 5555, 5900, 6379, 6667, 8080, 8081, 8090, 8443, 9100, 9200, 10001, 11112, 11211, 25565, 44818, 47808, 50100, 64294, 64295, 64297

UDP

19, 53, 69, 123, 161, 623, 1900, 5000, 5060

まずはAzure Portal一番上の検索ボックスで"NSG"と入力して、検索結果に出てきた[ネットワークセキュリティグループ]→[tpot-nsg]をクリックします。tpot-nsgの概要ページが開けたら、[設定]→[受信セキュリティ規則]からルールを追加します。
ルールはTCPとUDPそれぞれで作成してください。宛先ポートには、上記の値をコピペすればOKです。プロトコルの箇所をAnyからTCPもしくはUDPに変更してください。必要事項を入力したら、必ず[追加]を押してください。

本当は上記のポートのみを解放するだけでもいいのかもしれませんが、もし上記以外からの攻撃が来た場合を想定して、今回は全てのポートを解放してみようと思います。セキュリティの観点から、全てのポートを解放する方法については本記事では扱いません。

全てのポートを解放することは危険が伴います。個人の判断で実施してください。

T-Potをデプロイする

VMのデプロイが完了したらハニーポットをデプロイしていきます。

ハニーポットはさまざまな種類のものがOSSなどで公開されているのですが、今回はT-Potというハニーポットを使用します。
T-Potは20以上のハニーポットやElasticなどの分析ツールが一つにまとまった便利なツールです。ハニーポットで調べたら上位に出てきたことと、どのような種類の攻撃が届いたのかをWeb上でリアルタイムに観測することができること、過去に参加したイベント第4回セキュリティ若手の会でT-Potについて聞いたこともあったので採用しました。

まずはVMにsshで入りましょう。

 ssh -i tpot_key.pem tpotadmin@<your_public_ip>

sshできたら、T-Potインストール前に一応実行しておきます。

sudo apt update && sudo apt upgrade -y
sudo reboot # カーネルアップグレードのため
ssh -i tpot_key.pem tpotadmin@<your_public_ip>

サーバーなのでsshd_configもいじっておきたいところですが、sshd_configの設定は長くなりそうなので割愛します。ご自身で調べてやってみてください。T-Potインストール完了後にSSHのポートが変わるので、Port 22はコメントアウトしておくと良いと思います。

早速T-Potをインストールします。T-PotのREADME.mdに倣って、ワンライナーでいきます。

env bash -c "$(curl -sL https://github.com/telekom-security/tpotce/raw/master/install.sh)"

 _____     ____       _      ___           _        _ _
|_   _|   |  _ \ ___ | |_   |_ _|_ __  ___| |_ __ _| | | ___ _ __
  | |_____| |_) / _ \| __|   | || '_ \/ __| __/ _` | | |/ _ \ '__|
  | |_____|  __/ (_) | |_    | || | | \__ \ || (_| | | |  __/ |
  |_|     |_|   \___/ \__|  |___|_| |_|___/\__\__,_|_|_|\___|_|


### This script will now install T-Pot and all of its dependencies.

### Install? (y/n)

全部インストールしていいか聞かれてますね。インストールするのでyで回答します。すると大量のインストールが始まります。少し待つと、以下の質問が来ました。

### Choose your T-Pot type:
### (H)ive   - T-Pot Standard / HIVE installation.
###            Includes also everything you need for a distributed setup with sensors.
### (S)ensor - T-Pot Sensor installation.
###            Optimized for a distributed installation, without WebUI, Elasticsearch and Kibana.
### (L)LM    - T-Pot LLM installation.
###            Uses LLM based honeypots Beelzebub & Galah.
###            Requires Ollama (recommended) or ChatGPT subscription.
### M(i)ni   - T-Pot Mini installation.
###            Run 30+ honeypots with just a couple of honeypot daemons.
### (M)obile - T-Pot Mobile installation.
###            Includes everything to run T-Pot Mobile (available separately).
### (T)arpit - T-Pot Tarpit installation.
###            Feed data endlessly to attackers, bots and scanners.
###            Also runs a Denial of Service Honeypot (ddospot).

### Install Type? (h/s/l/i/m/t)

どうやらT-Potには色々な種類があるみたいですが、今回はHiveでやってみます。質問にはhで回答します。

### Install Type? (h/s/l/i/m/t) h

### Installing T-Pot Standard / HIVE.

### T-Pot User Configuration ...

### Enter your web user name:

今度はweb userの名前を入力しないといけないみたいです。読者の皆様におかれましては、お好きな名前を命名ください。私はいい名前が思いつかなかったのでCopilotとChatGPTに案を出してもらい、どちらを採用するかGeminiに決めてもらった結果、honeywardenになりました。

次にweb user passwordも聞かれますので、パスワードを決めて入力してください。パスワード入力後、Dockerイメージのインストールが始まります。

### Please review for possible honeypot port conflicts.
### While SSH is taken care of, other services such as
### SMTP, HTTP, etc. might prevent T-Pot from starting.

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       User       Inode      PID/Program name
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      0          7055       1020/sshd: /usr/sbi
tcp        0      0 0.0.0.0:64295           0.0.0.0:*               LISTEN      0          31135      5881/sshd: /usr/sbi
tcp6       0      0 :::22                   :::*                    LISTEN      0          7057       1020/sshd: /usr/sbi
tcp6       0      0 :::64295                :::*                    LISTEN      0          31137      5881/sshd: /usr/sbi
udp        0      0 172.16.0.4:68           0.0.0.0:*                           998        7949       716/systemd-network
udp        0      0 127.0.0.1:323           0.0.0.0:*                           0          9367       846/chronyd
udp6       0      0 ::1:323                 :::*                                0          9368       846/chronyd

### Done. Please reboot and re-connect via SSH on tcp/64295.

すべてのインストールが完了すると上記のようなメッセージが出力されました。再起動してもう一回SSH接続してと書いてあるので、言われた通り再起動してSSH接続しましょう。

sudo reboot
ssh -i tpot_key.pem -p 64295 tpotadmin@<your_public_ip>

SSH接続に成功したら、試しにKibanaの画面を出してみます。ブラウザでhttps://<your_public_ip>:64297/ にアクセスします。アクセスする際にログインを求められるので、T-Potインストール時に入力したユーザー名/パスワードを入力します。

Kibanaを選ぶとこんな感じです。すでに5件のAttackが来ているみたいですね

これでT-Potの構築は終了です！ここからは運用するフェーズになりますが、今回はアドカレ用に構築したので、12/1からAzure for Studentsの無料利用枠が尽きるまで運用します。

おわりに

本記事ではハニーポットの構築を扱いました。運用結果は後日別の記事で公開予定ですので、楽しみにお待ちください！

もし間違えているところがあれば、チャットで教えて頂けると嬉しいです。
読んでいただきありがとうございました。

参考文献

https://group.gmo/security/cybersecurity/penetration-testing/blog/honeypot/
https://azure.microsoft.com/ja-jp/free/students
https://github.com/telekom-security/tpotce
https://knowledge.sakura.ad.jp/35289
https://tech-lab.sios.jp/archives/26325