honeypot-foundry

关于项目

Honeypot Foundry 是一个全面、可直接投入生产的工具包，专为企业和组织环境中的 honeypot 部署与生命周期管理而设计。honeypot 在 cybersecurity 中是一个故意暴露的系统或服务，它模拟真实基础设施来引诱攻击者。当攻击者与 honeypot 交互时，所有操作都会被记录和分析，在不危及真实生产系统的情况下提供极具价值的威胁情报。 该工具包使安全团队能够部署多种类型的 honeypot——从模拟基本服务（SSH、HTTP、FTP、SMB）的低交互传感器，到模拟完整操作系统的高交互陷阱。每个 honeypot 实例都可通过基于 YAML 的配置文件进行完全配置，使团队能够自定义暴露哪些服务、允许何种交互级别，以及如何生成告警。 该平台与 Elasticsearch 原生集成，用于日志聚合与分析，使安全分析师能够将 honeypot 活动与 SIEM 中的其他安全事件进行关联。实时仪表板可展示攻击模式、攻击源 IP 地理位置、攻击技术（映射到 MITRE ATT&CK 框架）以及时间趋势。 主要功能包括通过 Docker 容器自动部署、集中管理多个 honeypot 实例、可配置的告警阈值、与威胁情报源集成以增强 IP 信誉信息，以及用于合规和事件响应文档的自动报告生成。

为什么这很重要

Honeypot 是防御性 cybersecurity 中最强大却又最少被利用的策略之一。与传统安全控制（防火墙、杀毒软件）不同，honeypot 是主动检测机制——对它们的任何交互都天然可疑，因为没有合法用户或系统应该访问它们。这显著减少了误报，而误报一直是安全运营中的持续性挑战。 在当今攻击者经常绕过边界防御的威胁环境中，honeypot 可作为网络深处的早期预警系统。它们能够检测内部人员和高级持续性威胁（APT）的横向移动，这些威胁往往已经突破了初始防线。对于受监管合规要求约束的组织（PCI-DSS、HIPAA、SOC 2），honeypot 可以提供主动威胁检测能力的证据。 本项目通过提供一个易于部署、配置并可与现有安全基础设施集成的企业级 honeypot 平台，填补了开源生态中的关键空白——这些能力此前通常只有昂贵的商业解决方案才提供。

分步指南

1. 克隆仓库，并使用提供的安装脚本安装所有依赖。该工具包要求 Docker 和 Python 3.8+ 作为先决条件。运行 'pip install -r requirements.txt' 安装 Python 依赖。
2. 通过编辑 honeypot.config.yaml 文件来配置 honeypot 部署。定义要模拟的服务（SSH、HTTP、FTP、SMB、MySQL 等）、设置网络接口和端口、配置日志详细级别，并指定告警目标（email、Slack、webhook）。
3. 使用命令 'foundry deploy --profile production' 部署 honeypot。这将为每个已配置服务启动 Docker 容器、设置日志收集并初始化监控仪表板。在生产部署前，使用 '--profile staging' 进行测试。
4. 通过集成的 Kibana 仪表板监控传入告警，该仪表板提供攻击活动的实时可视化、攻击者来源的地理热图，以及与已知威胁情报指标的自动关联。将数据导出到现有 SIEM 以进行集中分析。

使用的技术