使用hfish2搭建蜜罐代理捕获恶意业务行为

一、hfish简介

HFish是一款社区型免费蜜罐，侧重企业安全场景，从内网失陷检测、外网威胁感知、威胁情报生产三个场景出发，为用户提供可独立操作且实用的功能，通过安全、敏捷、可靠的中低交互蜜罐增加用户在失陷感知和威胁情报领域的能力。

HFish具有超过40种蜜罐环境、提供免费的云蜜网、可高度自定义的蜜饵能力、一键部署、跨平台多架构、国产操作系统和CPU支持、极低的性能要求、邮件/syslog/webhook/企业微信/钉钉/飞书告警等多项特性，帮助用户降低运维成本，提升运营效率。

二、hfish2搭建

环境：CentOS Linux release 7.9.2009

2.1 安装docker

yum install docker

2.2 安装hfish2 docker环境

docker run -itd --name hfish \
-v /usr/share/hfish:/usr/share/hfish \
--network host \
--privileged=true \
threatbook/hfish-server:latest

2.3 安装hfish2自动升级服务(可忽略)

docker run -d    \
 --name watchtower \
 --restart unless-stopped \
  -v /var/run/docker.sock:/var/run/docker.sock  \
  --label=com.centurylinklabs.watchtower.enable=false \
--privileged=true \
  containrrr/watchtower  \
  --cleanup  \
  hfish \
  --interval 3600

安装完成后，访问https://yourip:4433/web 。默认的用户名密码为：admin HFish2021 ，记得改掉默认密码设定。

三、配置打开http代理蜜罐

 进入环境管理 -》  节点管理菜单，配置http代理蜜罐为常用的代理端口，例如8080.

 很快你就会收到来自互联网机器流量的关爱。例如下图可以看出，临沂的IP正在利用代理向YY发送请求 。看URL内容 ，应该为机器刷关注主播的请求。

有意思的是，此类请求一般会带上账号的登陆token，所以可以使用蜜罐来抓取这些僵尸账号。

互联网企业也可以通过多点部署此类蜜罐，来主动诱捕针对自己业务的恶意攻击。