honeypot-foundry

אודות הפרויקט

Honeypot Foundry היא ערכת כלים מקיפה ומוכנה לייצור, שנועדה לפריסה ולניהול מחזור חיים של honeypots בסביבות ארגוניות ו-enterprise. honeypot, ב-cybersecurity, הוא מערכת או שירות שנחשף במכוון ומחקה תשתית אמיתית כדי לפתות תוקפים. כאשר תוקף יוצר אינטראקציה עם honeypot, כל פעולה נרשמת ומנותחת, ומספקת מודיעין איומים יקר ערך מבלי לסכן מערכות ייצור אמיתיות. ערכת הכלים הזו מאפשרת לצוותי אבטחה לפרוס סוגים מרובים של honeypots — מחיישני low-interaction המדמים שירותים בסיסיים (SSH, HTTP, FTP, SMB) ועד מלכודות high-interaction המדמות מערכות הפעלה שלמות. כל מופע של honeypot ניתן להגדרה מלאה באמצעות קבצי תצורה מבוססי YAML, מה שמאפשר לצוותים להתאים אילו שירותים נחשפים, איזו רמת אינטראקציה מותרת, וכיצד נוצרות התראות. הפלטפורמה משתלבת באופן מקורי עם Elasticsearch לצורך איגום וניתוח לוגים, ומאפשרת לאנליסטי אבטחה לקשר פעילות honeypot עם אירועי אבטחה אחרים ב-SIEM שלהם. לוחות מחוונים בזמן אמת מספקים נראות לדפוסי התקפה, גאולוקציה של כתובות IP מקור, טכניקות התקפה (ממופות ל-MITRE ATT&CK), ומגמות לאורך זמן. תכונות מרכזיות כוללות פריסה אוטומטית באמצעות קונטיינרים של Docker, ניהול מרכזי של מופעי honeypot מרובים, ספי התראה ניתנים להגדרה, אינטגרציה עם פידים של threat intelligence להעשרת מוניטין IP, והפקת דוחות אוטומטית עבור תאימות ותיעוד תגובה לאירועים.

למה זה חשוב

Honeypots מייצגים אחת האסטרטגיות החזקות ביותר, אך גם מהפחות מנוצלות, ב-cybersecurity הגנתית. בניגוד לבקרות אבטחה מסורתיות שהן תגובתיות (חומות אש, אנטי-וירוס), honeypots הם מנגנוני זיהוי יזומים — כל אינטראקציה איתם היא חשודה מטבעה, שכן אף משתמש או מערכת לגיטימיים לא אמורים לגשת אליהם. זה מפחית באופן דרמטי false positives, אתגר מתמשך בפעילות אבטחה. בנוף האיומים המודרני, שבו תוקפים עוקפים שגרה הגנות היקפיות, honeypots משמשים כמערכת התרעה מוקדמת עמוק בתוך הרשת. הם מזהים lateral movement של insiders ושל advanced persistent threats ‏(APTs) שכבר פרצו את ההגנות הראשוניות. עבור ארגונים הכפופים לתאימות רגולטורית (PCI-DSS, HIPAA, SOC 2), honeypots מספקים ראיות ליכולת יזומה לזיהוי איומים. פרויקט זה ממלא פער קריטי באקוסיסטם open-source באמצעות אספקת פלטפורמת honeypot ברמת enterprise שקל לפרוס, להגדיר ולשלב עם תשתית האבטחה הקיימת — יכולות שבעבר היו זמינות רק דרך פתרונות מסחריים יקרים.

מדריך שלב-אחר-שלב

1. שכפלו את המאגר והתקינו את כל התלויות באמצעות סקריפט ההתקנה שסופק. ערכת הכלים דורשת Docker ו-Python 3.8+ כתנאי מקדים. הריצו 'pip install -r requirements.txt' כדי להתקין את תלויות Python.
2. הגדירו את פריסת ה-honeypot שלכם על ידי עריכת הקובץ honeypot.config.yaml. הגדירו אילו שירותים לדמות (SSH, HTTP, FTP, SMB, MySQL וכו'), קבעו את ממשקי הרשת והפורטיים, הגדירו את רמת הפרטנות של הלוגים וציינו יעדי התראות (email, Slack, webhook).
3. פרסו את ה-honeypots שלכם באמצעות הפקודה 'foundry deploy --profile production'. פעולה זו תעלה קונטיינרים של Docker עבור כל שירות מוגדר, תגדיר איסוף לוגים ותאתחל את לוח הניטור. השתמשו ב-'--profile staging' לבדיקה לפני פריסה לייצור.
4. נטרו התראות נכנסות דרך לוח Kibana המשולב, המספק ויזואליזציה בזמן אמת של פעילות התקפה, מפות חום גאוגרפיות של מקורות התוקפים, וקורלציה אוטומטית עם אינדיקטורים מוכרים של threat intelligence. ייצאו נתונים ל-SIEM הקיים שלכם לניתוח מרכזי.

טכנולוגיות בשימוש