T-Pot
منصة متكاملة للمصائد الأنية (Honeypots) تدعم بروتوكولات متعددة، توفر رؤية شاملة لهجمات الإنترنت عبر لوحات تحكم تفاعلية.
T-Pot — الدليل الشامل للمنصة السيبرانية
تُعد منصة T-Pot (مشروع Honeypot الخاص بـ Deutsche Telekom) منصة متكاملة للأفخاخ الخداعية (Honeypots) تعتمد على تقنية Docker. تجمع المنصة ما يقرب من 20 نوعاً من الأفخاخ الخداعية (مثل Cowrie، Dionaea، Honeytrap، Conpot، ElasticPot، MaiLoney، Glastopf، Snare، Tanner، Adbhoney، إلخ) بالإضافة إلى حزمة ELK كاملة لتمثيل البيانات بصرياً. يمكن نشر المنصة في غضون ساعة، والبدء في تلقي بيانات القياس (Telemetry) الخاصة بالمهاجمين في دقائق.
التثبيت (Install)
تتطلب منصة T-Pot جهازاً مستقلاً بمواصفات دنيا: ذاكرة عشوائية (RAM) لا تقل عن 8 جيجابايت، مساحة قرص 128 جيجابايت، بطاقة شبكة مخصصة، وواجهة متصلة مباشرة بالإنترنت.
بعد التثبيت، يمكن الوصول إلى واجهة الويب عبر المنفذ 64297؛ بينما تستمع الأفخاخ الخداعية على المنافذ القياسية (22, 23, 80, 443, 21, 25, 3306, 102, 502, 5060, ...).
أوضاع التشغيل (Profiles)
| الوضع (Profile) | الأفخاخ المتضمنة | الاستخدام |
|---|---|---|
| Standard | Cowrie, Honeytrap, Heralding, Dionaea, ElasticPot, Snare/Tanner, Glastopf, MaiLoney, Adbhoney, Ciscoasa, Citrixhoneypot, ConPot | متعدد الأغراض |
| Hive | يضيف ميزات إضافية لوضع الحساسات الكامل | حساسات موزعة ترسل البيانات إلى خلية مركزية |
| Industrial | Conpot, MaiLoney, Cowrie, Heralding | مخصص لأنظمة التشغيل الصناعية (OT) |
| Tarpit | أفخاخ لإبطاء استجابة الشبكة | تضليل وإرباك برمجيات البوت (Bots) |
| Lite | مجموعة مصغرة من الأفخاخ | للأجهزة ذات الموارد المحدودة |
الأفخاخ المتضمنة في الحزمة
| الفخ (Honeypot) | الخدمة المحاكات |
|---|---|
| Cowrie | محاكاة كاملة لخدمات SSH / Telnet، واجهة سطر أوامر وهمية، والتقاط الملفات المرفوعة |
| Dionaea | محاكاة SMB / FTP / TFTP / HTTP / MQTT وغيرها؛ لالتقاط البرمجيات الخبيثة (Malware) |
| Honeytrap | فخ عام لالتقاط كافة أنواع الاتصالات |
| Heralding | التقاط بيانات الاعتماد (Credentials) عبر بروتوكولات متعددة |
| Conpot | أنظمة التحكم الصناعية (ICS / SCADA) مثل Modbus، S7Comm، BACnet، IPMI |
| MaiLoney | فخ لخدمة البريد الإلكتروني SMTP |
| Glastopf / Snare / Tanner | أفخاخ مخصصة لتطبيقات الويب |
| ElasticPot | محاكاة وهمية لمحرك البحث Elasticsearch |
| Adbhoney | محاكاة لواجهة تصحيح أخطاء أندرويد (Android Debug Bridge) |
| CitrixHoneypot | محاكاة لثغرات NetScaler / Citrix |
| CiscoASA | صفحات تسجيل دخول Cisco ASA وهمية |
| Dicompot | محاكاة لبروتوكول التصوير الطبي DICOM |
| Ddospot | مراقبة محاولات تضخيم هجمات الحرمان من الخدمة (DDoS-amplification) |
| HoneyPy | فخ مرن مبني على لغة بايثون |
| RedisHoneyPot | محاكاة لخدمة Redis |
واجهة الويب (Web UI)
عبر الرابط https://<tpot-ip>:64297 — تتوفر لوحة تحكم Kibana مع نماذج جاهزة:
- نظرة عامة (Overview): تظهر كبار المهاجمين، الدول المصدرة للهجمات، وخريطة حرارية للهجمات.
- Cowrie: تعرض أسماء المستخدمين وكلمات المرور المستخدمة في هجمات SSH، الأوامر المنفذة، والملفات المرفوعة (مع بصمات التجزئة Hashes الخاصة بها).
- ConPot: مراقبة محاولات فحص بروتوكولات أنظمة التحكم الصناعي (ICS).
- Heralding: عرض أزواج بيانات الاعتماد المسروقة حسب الخدمة.
- Dionaea: إحصائيات حول عائلات البرمجيات الخبيثة المكتشفة.
تتضمن المنصة أيضاً أدوات مدمجة مثل Cyberchef، ElasticVue، Spiderfoot، واجهة NGINX، Suricata، وFatt (لبصمات TLS).
سير العمل (Workflow)
1. النشر والإتاحة (Deploy & expose)
قم بفتح منافذ الخدمات القياسية في مجموعات الأمان السحابية (Security Group)؛ واقصر الوصول إلى منفذ الإدارة 64297 على عنوان IP الخاص بك فقط.
2. بيانات اليوم الأول
خلال ساعات قليلة، ستلاحظ:
- آلاف المحاولات من هجمات القوة الغاشمة (Brute-force) عبر SSH (أكثر أسماء المستخدمين شيوعاً:
root,admin,pi,ubuntu). - مئات من محاولات فحص HTTP للبحث عن ملفات الحساسة مثل
/.envو/.git/configومسارات أجهزة الراوتر الشائعة. - سيبدأ فخ Conpot في تسجيل محاولات قراءة Modbus / S7 الناتجة عن عمليات المسح البحثية (Shadowserver, censys, shodan، بالإضافة إلى جهات أقل ودية).
3. التحليل (Analyze)
من خلال لوحة تحكم Kibana ← Cowrie dashboard ← "Top Cowrie Username/Password" — تحقق مما إذا كانت أي من بيانات الاعتماد الحقيقية الضعيفة تظهر هناك؛ وقم بتغييرها فوراً.
4. استخراج الأدلة الرقمية (Pull artifacts)
يقوم فخ Cowrie بحفظ البرمجيات الخبيثة المرفوعة في المسار /data/cowrie/dl/. قم بإرسال بصمات التجزئة (Hashes) إلى منصات مثل MalwareBazaar أو VirusTotal؛ وقم ببناء قواعد YARA أو Sigma بناءً على السلاسل النصية (Strings) المستخرجة.
5. استخبارات التهديدات (Threat intel)
تتكامل T-Pot مع منصة Sicherheitstacho (مشاركة معلومات التهديدات الخاصة بـ Telekom). يمكنك اختيار مشاركة بياناتك مع المجتمع السيبراني.
تشخيص الأخطاء والإصلاح (Bad output / fixes)
| العرض (Symptom) | الإصلاح (Fix) |
|---|---|
| توقف الأفخاخ عن استقبال الاتصالات | امتلاء القرص بسبب السجلات — استخدم docker system prune -a وتدوير السجلات |
| بطء في واجهة Kibana | مساحة ES heap الافتراضية صغيرة؛ قم بزيادتها في ملف compose |
| فيضان في قائمة بيانات اعتماد Cowrie | استخدم تمثيل "الأزواج الفريدة" (unique pairs)؛ وتجاهل الرسائل غير المرغوب فيها |
| رصد محاولة دخول بكلمة مرور حقيقية لأحد الموظفين | تغيير كلمة المرور فوراً؛ والبدء في تحقيق أمني شامل |
منظور الدفاع واستخبارات التهديدات (Defender / TI perspective)
تعتبر T-Pot أصلاً مخصصاً لـ البحث واستخبارات التهديدات (Research / Threat Intel)، وليست أداة دفاعية للبيئات الإنتاجية. حالات الاستخدام:
- جمع عينات للبحث في البرمجيات الخبيثة.
- تحليل الاتجاهات (Trend analysis): "ما هي الخدمات التي يتم فحصها حالياً".
- معايرة تنبيهات الأنظمة الدفاعية (Edge alerting) بناءً على حركة المرور المسجلة.
- جذب انتباه شبكات البوت (Botnets) بعيداً عن الخدمات الحقيقية (فائدة محدودة).
الأمن العملياتي للمدافعين (OPSEC)
- تسريب بيانات الفخ (Honeypot leaks): تأكد من أن المضيف لا يكشف عن خدمات حقيقية عن طريق الخطأ. استخدم جهازاً افتراضياً (VM) جديداً ومحصناً لهذا الغرض حصراً.
- لا تقم أبداً بنشر المنصة في نفس شبكة البيئة الإنتاجية؛ فالفخاخ الخداعية هي أهداف مغرية جداً.
- منصة T-Pot نفسها قد تحتوي على ثغرات (CVEs)؛ لذا حافظ على تحديث الإصدارات باستمرار.
أدوات ذات صلة
| الأداة | التخصص |
|---|---|
| HoneyPy | فخ خفيف الوزن يعتمد على البرمجة النصية |
| Cowrie standalone | فخ SSH/Telnet مستقل |
| Conpot standalone | فخ أنظمة التحكم الصناعي (ICS) مستقل |
| DShield | حساسات مع تغذيات بيانات مجتمعية |
| Sicherheitstacho | تغذية استخبارات تهديدات منسقة من قِبل Telekom |
| Modern Honey Network (MHN) | إدارة مركزية للأفخاخ الخداعية |