#はじめに
これまでに多くのハニーポッターが記事として残していますが、Honeytrapを含めた記事が余りなかったので、せっかくなので記事にしてみました。
これをきっかけにハニーポットに興味を持ってもらえば、嬉しいです。
#注意事項
こちらの環境で動かし、確認しながら構築していますが、作成は自己責任でお願いします。
また、ハニーポットは多少なりともリスクがありますのでしっかりと日々監視を行い、何かあったら止められるように準備しておきましょう。
前提
SSHを有効化にした上で作業することをおすすめします。
#構築環境
今回、VPS上で以下のスペックでの動作を確認しています。
OS：Ubuntu 18.04 amd64
メモリ：512MB
SSD：25GB
#Docker および Docker Compose のインストール
DockerおよびDocker Composeをインストールします。
インストールの方法はGoogleで検索すれば、多数出てくると思いますのでお好きな方法でインストールをしてください。
今回は、以下のサイトを参考にしてインストールを行いました。
https://qiita.com/tkyonezu/items/0f6da57eb2d823d2611d
$ sudo apt-get update
$ sudo apt-get install -y \
apt-transport-https \
ca-certificates \
curl \
vim \
software-properties-common
$ curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
$ sudo add-apt-repository \
"deb [arch=amd64] https://download.docker.com/linux/ubuntu \
$(lsb_release -cs) \
stable"
$ sudo apt-get update
$ sudo apt-get install -y docker-ce
$ sudo usermod -aG docker ubuntu
$ curl -L https://github.com/docker/compose/releases/download/1.25.3/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose
$ sudo chmod +x /usr/local/bin/docker-compose
次にWOWHoneypotおよびHoneytrapのDocker環境を構築します。
今回はホームディレクトリの直下にDockerフォルダを作成し、そこに必要なファイルを作成していきます。
まずは、各ハニーポットのフォルダを作成します。
$ mkdir ~/docker
$ mkdir ~/docker/wowhoneypot
$ mkdir ~/docker/wowhoneypotssl
$ mkdir ~/docker/honeytrap
#WOWHoneypotのDocker構築
WOWHoneypotのDocker構築に必要なファイルをダウンロードしていきます。
$ git clone https://github.com/morihisa/WOWHoneypot.git ~/docker/wowhoneypot
wowhoneypot配下に以下のDockerfileを作成します。
今回は以下のブログを参考にしています。
https://qiita.com/ohhara_shiojiri/items/069b8fc95cad799e86dc
~/docker/wowhoneypot/Dockerfile
FROM ubuntu:latest
ADD ./ /opt/wowhoneypot
RUN apt-get update \
&& apt-get install -y git python3 \
&& apt-get clean \
&& rm -rf /var/lib/apt/lists/*
WORKDIR /opt/wowhoneypot/
CMD ["python3", "wowhoneypot.py"]
#WOWHoneypot(SSL)のDocker構築
HTTPSに対応したWOWHoneypotの構築をしていきます。
今回は以下をブログを参考にさせて頂きました。
https://graneed.hatenablog.com/entry/2018/06/14/231740
まずは作成したWOWHoneypotの中身をコピーします。
cp -r ~/docker/wowhoneypot/* ~/docker/wowhoneypotssl/
次にwowhoneypot.pyを編集します。
以下に変更点を乗せておきます。
diff -u ~/docker/wowhoneypot/wowhoneypot.py ~/docker/wowhoneypotssl/wowhoneypot.py
--- /home/ubuntu/docker/wowhoneypot/wowhoneypot.py 2020-01-26 21:28:37.942184258 +0900
+++ /home/ubuntu/docker/wowhoneypotssl/wowhoneypot.py 2020-01-26 21:49:32.186195416 +0900
@@ -17,6 +17,7 @@
import socket
import select
import urllib.parse
+import ssl
from http.server import HTTPServer, BaseHTTPRequestHandler
from mrr_checker import parse_mrr
from datetime import datetime, timedelta, timezone
@@ -43,6 +44,9 @@
blacklist = {}
separator = " "
ipmasking = False
+ssl_enable = False
+certfilepath = ""
+hostport = 80
class WOWHoneypotHTTPServer(HTTPServer):
def server_bind(self):
@@ -191,8 +195,10 @@
hostname = self.headers["host"].split(" ")[0]
if hostname.find(":") == -1:
hostname = hostname + ":80"
+ hostname = hostname + ":" + hostport
else:
hostname = "blank:80"
+ hostname = "blank:" + hostport
request_all = self.requestline + "\n" + str(self.headers) + body
logging_access("[{time}]{s}{clientip}{s}{hostname}{s}\"{requestline}\"{s}{status_code}{s}{match_result}{s}{requestall}\n".format(
@@ -326,6 +332,13 @@
ipmasking = True
else:
ipmasking = False
+ if line.startswith("certfilepath"):
+ global ssl_enable,certfilepath
+ ssl_enable = True
+ certfilepath = line.split('=')[1].strip()
+ if line.startswith("hostport"):
+ global hostport
+ hostport = line.split('=')[1].strip()
global accesslogfile
accesslogfile = os.path.join(logpath, accesslogfile_name)
@@ -425,11 +438,15 @@
logging_system("WOWHoneypot(version {0}) start. {1}:{2} at {3}".format(WOWHONEYPOT_VERSION, ip, port, get_time()), False, False)
logging_system("Hunting: {0}".format(hunt_enable), False, False)
logging_system("IP Masking: {0}".format(ipmasking), False, False)
+ logging_system("SSL Enable: {0}".format(ssl_enable), False, False)
myServer = WOWHoneypotHTTPServer((ip, port), WOWHoneypotRequestHandler)
myServer.timeout = timeout
+ if ssl_enable:
+ myServer.socket = ssl.wrap_socket(myServer.socket, certfile=certfilepath, server_side=True)
try:
myServer.serve_forever()
except KeyboardInterrupt:
pass
myServer.server_close()
+
config.txtを以下のように修正します。
~docker/wowhoneypotssl/config.txt
# default port: 8080
port=44333
# default server header: Apache
serverheader=Apache
# art directory path
artpath=./art/
# WOWHoneypot logfile path
logpath=./log/
# Access logfile path
accesslog=access_log
# Access log separator
separator=" "
# WOWHoneypot logfile name
wowhoneypotlog=wowhoneypot.log
# Syslog (Output facility: local0(16), priority: info, only tcp protocol)
syslog_enable=False
syslogserver=127.0.0.1
syslogport=514
# Hunting
hunt_enable=False
huntlog=hunting.log
# for GDPR(True: replace source ip address with 0.0.0.0)
ipmasking=False
# SSL certfile path
certfilepath=./server.pem
# default host header port: 80
hostport = 443
次に証明書ファイルを作成します。
$ openssl req -new -x509 -keyout ~/docker/wowhoneypotssl/server.pem -out ~/docker/wowhoneypotssl/server.pem -days 365 -nodes
これで、WOWHoneypot系のDockerの設定は完了です。
HoneytrapのDocker構築
コンフィグファイルの格納先であるディレクトリを作成します。
$ mkdir ~/docker/honeytrap/dist
作成したフォルダ内にコンフィグファイルを作成します。
~/docker/honeytrap/dist/honeytrap.conf
/*
* honeytrap 1.0.1 configuration file template -- please adjust
* (c) Tillmann Werner <tillmann.werner@gmx.de>
*/
// log to this file
logfile = "/opt/honeytrap/var/log/honeytrap.log"
// store process ID in this file
pidfile = "/var/run/honeytrap.pid"
/* where to look for default responses
* these are sent for connections handled in "normal mode" */
response_dir = "/opt/honeytrap/etc/honeytrap/responses"
// replace rfc1918 IP addresses with attacking IP address
replace_private_ips = "no"
// bind dynamic servers to a specific address
//bind_address = "127.0.0.1"
/* put network interface into promiscuous mode
* (only availabel when compiled with --with-stream-mon=pcap) */
//promisc = "on"
/* the user and group under which honeytrap should run
* should be set to non-root */
user = "honeytrap"
group = "honeytrap"
// do not read more than 20 MB - used to prevent DoS attacks
read_limit = "20971520"
/* ----- plugin stuff below ----- */
/* where to look for plugins
needs to be set before loading plugins */
plugin_dir = "/opt/honeytrap/etc/honeytrap/plugins"
// include a plugin via plugin-[ModuleName] = ""
// plugin-magicPE = ""
plugin-ftpDownload = ""
plugin-tftpDownload = ""
plugin-b64Decode = ""
plugin-deUnicode = ""
plugin-vncDownload = ""
// store attacks on disk
plugin-SaveFile = {
attacks_dir = "/opt/honeytrap/var/attacks"
downloads_dir = "/opt/honeytrap/var/downloads"
}
// plugin for shellcode detection and emulation
/*
plugin-cpuEmu = {
execute_shellcode = "no"
createprocess_cmd = "/bin/sh -c \"cd /opt/honeytrap-libemu/.wine/drive_c/windows/system32; WINEPREFIX='/opt/honeytrap-libemu/.wine/' WINEDEBUG='-all' wine 'c:\\windows\\system32\\cmd_orig.exe'\""
}
*/
// scan downloaded samples with ClamAV engine
/*
plugin-ClamAV = {
temp_dir = "/tmp"
clamdb_path = "/var/lib/clamav"
}
*/
// calculate locality sensitive hashes
/*
plugin-SpamSum = {
md5sum_sigfile = "/opt/honeytrap/md5sum.sigs"
spamsum_sigfile = "/opt/honeytrap/spamsum.sigs"
}
*/
plugin-logAttacker = { logfile = "/opt/honeytrap/var/log/attacker.log" }
// log attack details in JSON format
plugin-logJSON = { logfile = "/opt/honeytrap/var/log/attackers.json" }
// store attacks in PostgeSQL database
/*
plugin-SavePostgres = {
db_host = "localhost"
db_name = "some_db"
db_user = "some_user"
db_pass = "some_pass"
// db_port = "some_port" // defaults to 5432/tcp if not set
}
*/
// invoke an external program (f.e. wget) to download files via http
/*
plugin-httpDownload = {
http_program = "/usr/bin/wget"
http_options = "-q -t1 -T1 -O-"
}
*/
// submit downloaded malware samples to the mwcollect alliance
/*
plugin-submitMWserv = {
mwserv_url = "https://submission-url/"
guid = "your-guid"
maintainer = "your-maintainer"
secret = "your-secret"
timeout = "120"
}
*/
/* ----- port mode configuration below ----- */
// default port configuration (ignore, normal or mirror)
// ignore: just ignore connection attempts
// normal: send a default response
// mirror: mirror connections back to the initiator (use with caution!)
portconf_default = "normal"
// explicit port configuration
/* portconf = {
// ignore connection requests on these ports
ignore = {
protocol = "tcp"
port = "22"
}
}
*/
// include a file
//include = "ports.conf"
次に、以下のDockerfileを作成します。
~/docker/honeytrap/Dockerfile
FROM debian:stretch-slim
ENV DEBIAN_FRONTEND noninteractive
#
# Include dist
ADD dist/ /root/dist/
#
# Setup apt
RUN apt-get update -y && \
apt-get dist-upgrade -y && \
#
# Install packages
apt-get install -y autoconf \
build-essential \
git \
iptables \
libcap2 \
libcap2-bin \
libnetfilter-queue1 \
libnetfilter-queue-dev \
libjson-c-dev \
libtool \
libpq5 \
libpq-dev \
netbase \
procps \
wget && \
#
# Install honeytrap from source
cd /root/ && \
git clone https://github.com/armedpot/honeytrap && \
cd /root/honeytrap/ && \
autoreconf -vfi && \
./configure \
--with-stream-mon=nfq \
--with-logattacker \
--with-logjson \
--prefix=/opt/honeytrap && \
make && \
make install && \
make clean && \
#
# Setup user, groups and configs
addgroup --gid 2000 honeytrap && \
adduser --system --no-create-home --shell /bin/bash --uid 2000 --disabled-password --disabled-login --gid 2000 honeytrap && \
mkdir -p /opt/honeytrap/etc/honeytrap/ /opt/honeytrap/var/attacks /opt/honeytrap/var/downloads /opt/honeytrap/var/log && \
# touch /opt/honeytrap/var/log/honeytrap.log && \
# chmod -R 755 /opt/honeytrap/ && \
# chown -R honeytrap:honeytrap /opt/honeytrap/ && \
mv /root/dist/honeytrap.conf /opt/honeytrap/etc/honeytrap/ && \
setcap cap_net_admin=+ep /opt/honeytrap/sbin/honeytrap && \
#
# Clean up
rm -rf /root/* && \
apt-get purge -y autoconf \
build-essential \
git \
libnetfilter-queue-dev \
libpq-dev && \
apt-get autoremove -y --purge && \
apt-get clean && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*
#
# Start honeytrap
USER root:root
CMD ["/opt/honeytrap/sbin/honeytrap", "-D", "-C", "/opt/honeytrap/etc/honeytrap/honeytrap.conf", "-P", "/tmp/honeytrap/honeytrap.pid", "-t", "5", "-u", "root", "-g", "root"]
これでDockerに必要なファイルは作成終了です。
docker-composeの実行
まずはlogファイルを格納するフォルダを作成します。
$ mkdir ~/docker/log
次にdocker-compose.ymlを作成します。
~/docker/docker-compose.yml
version: '2.3'
services:
# Honeytrap service
honeytrap:
build: ./honeytrap/
container_name: honeytrap
restart: always
tmpfs:
- /tmp/honeytrap:uid=2000,gid=2000
network_mode: "host"
cap_add:
- NET_ADMIN
image: "honeytrap:1.0"
read_only: true
volumes:
- ./log/honeytrap/attacks:/opt/honeytrap/var/attacks
- ./log/honeytrap/downloads:/opt/honeytrap/var/downloads
- ./log/honeytrap/log:/opt/honeytrap/var/log
wowhoneypot:
build: ./wowhoneypot/
container_name: wowhoneypot
restart: always
image: "wowhoneypot:1.0"
ports:
- 80:8080
volumes:
- ./log/wowhoneypot:/opt/wowhoneypot/log
wowhoneypotssl:
build: ./wowhoneypotssl/
container_name: wowhoneypotssl
restart: always
image: "wowhoneypotssl:1.0"
ports:
- 443:44333
volumes:
- ./log/wowhoneypotssl:/opt/wowhoneypot/log
iptablesの設定
Honeypotに必要なiptableの設定をしていきます。
今回は例としてSSHを22ポートにしていますが、こちらは自分で設定したSSHのポート番号に設定してください。
iptables
$ sudo iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
$ sudo iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
$ sudo iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT
$ sudo iptables -A INPUT -p tcp --syn -m state --state NEW -j NFQUEUE
次にiptablesの設定を保存ため、iptables-persistent をインストールします。
$ sudo apt install -y iptables-persistent
Honeypotの起動
最後にDocker用に準備したハニーポットを動かします。
権限を有効にするため、一度 rebootを行います。
$ sudo reboot
念の為、iptablesの設定が有効であるか確認します。
$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:http
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:https
NFQUEUE tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/SYN state NEW NFQUEUE num 0
iptablesに問題がなければ、Dockerを起動させます。
$ cd ~/docker/
$ docker-compose build
$ docker-compose up
docker-compose up コマンドで特にエラーがないか確認し、問題がなければ、Ctrl+Cで終了します。
次に各ログが正常に動いているか確認します。
ログに何かしらの書き込みがあれば、正常に動いています。
$ less ~/docker/log/honeytrap/log/attackers.json
$ less ~/docker/log/wowhoneypot/access_log
$ less ~/docker/log/wowhoneypotssl/access_log
最後に docker-compose をバックグラウンドで実行します。
$ docker-compose up -d
これにて、ハニーポットの構築完了です。
#補足
死活監視ですが、ハニーポットから以下のサイトを教えてもらいました。ハニーポットはよく落ちたりするので登録しておくと便利です。
https://uptimerobot.com/
以上となります。