蜜罐(Honeypot)是一种安全机制,其主要作用是诱骗攻击者,从而保护真正的信息系统。以下是蜜罐的一些主要作用:
-
诱捕攻击者:蜜罐模仿真实的系统或服务,吸引攻击者的注意力,使他们将时间和资源投入到这些假目标上,从而保护真实系统。
-
收集情报:通过观察攻击者在蜜罐中的行为,可以收集关于攻击方法、工具、意图和攻击者特征的情报。
-
早期预警:蜜罐可以用来检测新的攻击方法和病毒,从而为真实系统提供早期预警。
-
研究与学习:安全研究人员可以通过蜜罐来研究攻击者的行为,了解最新的攻击趋势和技术。
-
延迟攻击:蜜罐可以延缓攻击者的攻击进度,为真实系统争取响应和防御的时间。
-
法律追溯:在一些情况下,蜜罐可以帮助追踪攻击者的来源,为法律追溯提供证据。
-
提高安全意识:蜜罐可以帮助组织认识到网络安全的威胁,提高员工的安全意识。
-
测试防御措施:蜜罐可以作为测试网络安全防御措施有效性的工具。
以下是蜜罐的一些类型:
- 低交互蜜罐:提供有限的服务和响应,模拟的攻击面较小,对攻击者的欺骗程度较低。
- 高交互蜜罐:提供完整的服务和响应,模拟真实的系统环境,可以更深入地观察攻击者的行为,但风险也相对较高。
- 中等交互蜜罐:介于低交互和高交互之间,提供部分真实服务。
需要注意的是,蜜罐的使用需要谨慎,因为它可能会吸引攻击者,并可能涉及法律和伦理问题。此外,蜜罐的管理和维护也需要专业的知识和技能。
1.单独一台虚拟机部署docker-ce
yum install docker-ce
启动docker
systemctl enable --now docker
2.拉取对应镜像
可能需要外网访问hub仓库
docker pull threatbook/hfish-server:latest
3.启动镜像
docker run -itd --name hfish -v /usr/share/hfish:/usr/share/hfish --network host --privileged=true threatbook/hfish-server:latest
docker run -d --name watchtower --restart unless-stopped -v /var/run/docker.sock:/var/run/docker.sock --label=com.centurylinklabs.watchtower.enable=false --privileged=true harbor.cecdsc.com/containrrr/watchtower --cleanup hfish --interval 3600
4.页面管理访问
默认账号:admin
默认密码:HFish2021
5.告警处理
平台管理->系统配置->通知配置
配置告警策略和通知配置即可
注意:如果虚拟机ssh的22端口会被使用,改成其他端口,蜜罐的ssh功能才能正常使用。
6.效果展示