HTTP honeypot Glastopf na Raspberry Pi

Glastopf je open-source honeypot pro webové aplikace – konkrétně simulace webového serveru či web-aplikace „lákače“ pro útočníky.
Hlavní myšlenka: místo toho, abyste nahrazovali konkrétní zranitelnost, Glastopf emuluje typy zranitelností (např. LFI, RFI, XSS) a tím dokáže zachytit různé automatizované útoky a skripty.
Použití:

sledování a analýza útoků směrovaných na webové aplikace,
získávání dat o modus operandi útočníků, logování útoků,
využití v bezpečnostních laboratořích, domácích sítích, výzkumu bezpečnosti.

Proč ho nainstalovat na Raspberry Pi 5

Raspberry Pi nabízí nízkou spotřebu a malou velikost – vhodné jako „honeypot“ zařízení vždy online.
Můžete jej oddělit od produkčních systémů, minimalizovat riziko – honeypot by měl být izolován.
Raspberry Pi 5 má dostatečný výkon pro nízko-interakční honeypot, jako je Glastopf.

Instalace a základní konfigurace na Raspberry Pi 5

Níže je orientační postup instalace na Raspbian / Debian-based systému. Upravte podle konkrétního OS a verzí.

Příprava systému:

sudo apt update && sudo apt upgrade -y
sudo apt install git python3 python3-pip python3-dev build-essential -y

Stažení Glastopf:

cd /opt
sudo git clone https://github.com/mushorg/glastopf.git
cd glastopf
sudo pip3 install .

Základní konfigurace

Přepněte do adresáře instalace a najděte konfigurační soubor, typicky glastopf.cfg nebo glastopf.conf.

Upravte základní parametry, například port, IP adresa honeypotu, logování, databázi.

Příklad:

[honeypot]
host = 0.0.0.0
port = 80

[logging]
logfile = log/glastopf.log

Doporučeno: vytvořte adresář pro data a logy:

sudo mkdir -p /opt/glastopf/log
sudo mkdir -p /opt/glastopf/data
sudo chown -R pi:pi /opt/glastopf

Spuštění Glastopf

cd /opt/glastopf
python3 glastopf/run.py

Po spuštění by se měly v logu objevovat informace o spuštění honeypotu a naslouchání na zvoleném portu.

Doporučená bezpečnostní opatření

Ujistěte se, že honeypot nemá neveřejný přístup k citlivým částem vaší sítě. Ideálně ho dejte do samostatného VLAN či DMZ.
Pravidelně sledujte logy a útočné pokusy.
Pokud plánujete vystavit zařízení z internetu, nastavte přesměrování portu a sledujte provoz routeru.

Rozšířená konfigurace / integrace

Pro integraci se systémy typu HPFeeds/log server můžete upravit glastopf.cfg, např. nastavit server pro odesílání událostí.
Můžete zvolit také variantu běhu v Dockeru, pokud preferujete kontejnerizaci.