SSH蜜罐cowrie实战

背景

最近有一批服务器被黑，而且数量较多，影响也很大。我们的服务器基本上都是做了防火墙策略，同时密码也比较复杂的，目前还没有特别好的思路去排查（因为我们之前都没有做好相关的日志收集或者预先准备好手段，导致出问题后能够做的东西不多，而且被黑的机器基本都被替换了系统命令，能做的就更加少了）。

在梳理被黑的服务器时发现，有一台服务器的防火墙是关了的（也许是被黑后关的，也许是一直都是关了人为疏忽）。既然没有特别好的思路，那我们目前就先设定这台服务器是最先被黑的，因为他防火墙关了，然后被作为跳板陆续黑了其他机器，如果这个假设成立的话，那就是说我们常用的密码已经被外界所收录，为了证明这一个假设，我们需要一些工具。SSH蜜罐就是最好的证明手段，SSH蜜罐有很多，考察了一番后，最终选择了cowrie，其实也不是说它就是同类产品最好的，就是看了一下GitHub发现都有保持更新，而其他类型的有的对上一次更新已经是几年前的了。

cowrie介绍

http://www.cowrie.org/ 官网，说真的这个网页做得真不行，能看的东西很少或者做得很隐蔽我没能找到吧。
https://github.com/cowrie/cowrie 这个是代码托管GitHub地址，内容还算可以。
总体来讲，我们这次所需要用的是一个SSH蜜罐，何谓SSH蜜罐，通俗的讲，就是用程序模拟一个SSH端口服务，让黑客以为是真的SSH服务连接上来，然后收集相关信息比如：IP、登录所用的账号、登录上来之后做了什么操作等等。
cowrie做得比较丰富，它可以跟mysql、elk等对接，可以做详细的