Este es el comando labrea que se puede ejecutar en el proveedor de alojamiento gratuito de OnWorks utilizando una de nuestras múltiples estaciones de trabajo en línea gratuitas, como Ubuntu Online, Fedora Online, emulador en línea de Windows o emulador en línea de MAC OS.
PROGRAMA:
NOMBRE
labrea - Honeypot para intentos de conexión IP entrantes
SINOPSIS
lábrea [-i --dispositivo INTERFAZ] [-n --la red nnn.nnn.nnn.nnn [/ nn]] [-m --máscara
nnn.nnn.nnn.nnn] [-t - tamaño del acelerador BYTES] [-p --máxima calificación TARIFA ] [-R - reinicio suave] [-r
--arp-tiempo de espera TARIFA] [-s - seguro para interruptores] [-h - captura dura] [-x --deshabilitar-capturar] [-X
--excluir-ips-resolubles] [-P --persistir-modo-solo] [-a --sin-resp-synack] [-H
--auto-hard-captura] [-f --no-resp-excluidos-puertos] [--barrido sin arp] [--init-archivo ARCHIVO] [-F
- archivo bpf ARCHIVO] [-T - corrida en seco] [-d --primer plano] [-o --log-to-stdout] [-O
--log-timestamp-epoch] [-l --log-a-syslog] [-b --ancho de banda de registro] [-v --verboso] [-q
--tranquilo] [-z --no-regaño] [-? --uso --ayuda ] [-V --versión] [-I --ip-dirección nnn.nnn.nnn.nnn]
[-E --mi-dirección-mac xx: xx: xx: xx: xx: xx] [-D --lista-interfaces] [-j --winpcap-dev nn]
[--syslog-servidor nnn.nnn.nnn.nnn] [--syslog-puerto nnn]
[BPF Filtrar]
DESCRIPCIÓN
lábrea crea máquinas virtuales para direcciones IP no utilizadas en el bloque de IP especificado
direcciones. LaBrea se sienta y escucha las solicitudes de ARP "quién tiene".
Cuando una solicitud de ARP para una IP en particular queda sin respuesta por más tiempo que su configuración de "tasa"
(predeterminado: 3 segundos), labrea crea una respuesta ARP que enruta todo el tráfico destinado al
IP a una dirección MAC "falsa". labrea rastrea el tráfico TCP / IP enviado a esa dirección MAC
y luego responde a cualquier paquete SYN con un paquete SYN / ACK que crea.
OPCIONES
lábrea acepta las siguientes opciones:
-i --dispositivo interfaz.
Por defecto, labrea usa la primera interfaz ethernet. Esto obliga a labrea a utilizar el
interfaz especificada.
-n --la red xxx.xxx.xxx.xxx [/ nn]
labrea normalmente extrae información sobre el bloque de red de la información de IP
asignado a la interfaz. Si labrea se ejecuta en una interfaz no configurada (una
sin una dirección IP asignada), luego use esta opción para especificar la subred que se
capturado
xxx.xxx.xxx.xxx es la dirección de red. / nn es la máscara de subred en notación CIDR.
Si la máscara de subred no se especifica aquí, debe incluir el parámetro -m.
-m --máscara xxx.xxx.xxx.xxx
Otra forma de especificar la máscara de red para el bloque de red de captura. Si este parámetro
se especifica, entonces también se debe especificar el parámetro -n.
-t - tamaño del acelerador nn
Establece el anuncio de la ventana TCP para limitar la cantidad de datos enviados a labrea. los
el número de bytes de datos que se deben permitir por paquete es nn bytes
-p --máxima calificación y
Los intentos de conexión se capturarán permanentemente al forzar la conexión en un
estado "persistente" (cerrando la ventana TCP). En este estado, la conexión no
se acabó el tiempo. labrea capturará permanentemente los intentos de conexión hasta el ancho de banda máximo
y bytes. Si se excede el ancho de banda especificado, labrea todavía mantendrá el
conexión entrante (es decir, responder SYN / ACK a SYN entrante).
-R - reinicio suave
Las nuevas capturas se retrasarán durante 5 minutos para permitir que avancen los cálculos de ancho de banda.
Si se produce un escaneo importante justo después del inicio, esto evita que labrea capture también
muchas conexiones.
-r --arp-tiempo de espera y
Esperar y segundos después de ver las solicitudes de arp entrantes antes de capturar una IP
dirección.
-s - seguro para interruptores
Cuando hay una solicitud de ARP entrante, especifica que labrea debe enviar un ARP
solicitud propia para la misma dirección IP. Esto es necesario para un funcionamiento seguro en
un entorno conmutado donde un host no ve necesariamente todo el tráfico en
el interruptor.
-h - captura dura
Una vez que se ha capturado una dirección IP, no espere un tiempo de espera "-r" para
siguiente solicitud ARP entrante.
-x --deshabilitar-capturar
No capture direcciones IP.
-X --excluir-ips-resolubles
En el inicio, intente la resolución de DNS en todas las IP dentro del bloque de red de captura.
Excluya automáticamente cualquier IP que tenga una entrada correspondiente en el DNS. Ten cuidado
porque esto puede generar muchas búsquedas de DNS si la subred de captura es grande.
-P --persistir-modo-solo
Intente limitar el uso del ancho de banda haciendo solo captura persistente. Nota: este parámetro
tiene utilidad limitada ya que por debajo del máximo de blanco y negro, el mismo intercambio que lleva a persistir
la captura también tiene el efecto secundario de tarpitting.
-a --sin-resp-synack
De forma predeterminada, los hosts virtuales de LaBrea responden a SYN / ACK con RST y responden a Pings.
Deshabilita este comportamiento.
-H --auto-hard-captura
Marque todas las direcciones IP no excluidas y no restringidas como capturadas de forma definitiva. Ver
labrea.conf(5) para más información. Este parámetro debe usarse con precaución.
-f --no-resp-excluidos-puertos
Descarte las conexiones entrantes a los puertos excluidos. El comportamiento predeterminado normal es volver
un RST. Hace que el escaneo estilo nmap sea mucho más lento.
--barrido sin arp
En el inicio, labrea barre la subred de captura con ráfagas de solicitudes ARP en un
Intente localizar todas las máquinas activas. Este parámetro desactiva el barrido.
--init-archivo presentar
Leer la configuración de la especificada presentar en lugar de la predeterminada
ubicación.
-F - archivo bpf presentar
Designa el nombre de un archivo que contiene un filtro BPF que apunta a máquinas / puertos a
ser tarpited. Al igual que con el filtro BPF de línea de comando, estas conexiones DEBEN ser
cortafuegos al tráfico entrante DROP.
-T - corrida en seco
Realice la inicialización de labrea, incluidas las exclusiones de Dns, el análisis del archivo de configuración,
abrir la interfaz de red, etc. Imprima la información de diagnóstico y salga.
-d --primer plano
No separe el proceso. (Solo sistemas Unix)
-o --log-to-stdout
Envíe la información de registro a stdout en lugar de a syslog. Esta opción también implica y
establece la opción -d (es decir, no desconectar el proceso).
-O --log-timestamp-epoch
Igual que la opción "-o", pero con salida de tiempo en segundos desde la época para hacerlo
más fácil para los programas de análisis de archivos de registro.
-l --log-a-syslog
Envíe mensajes de registro a syslog.
-b --ancho de banda de registro
Registre un mensaje cada minuto detallando el consumo actual de ancho de banda del -p
opción (persistir captura).
-v --verboso
Aumente la verbosidad de los mensajes de registro. Úselo dos veces para obtener más efecto.
-q --tranquilo
No informe solicitudes arp para IP que no estén en la subred de captura.
-z --no-regaño
Apaga el mensaje molesto. Antes de hacer esto, lea la advertencia básica en las Notas
sección justo debajo.
-? --uso --ayuda
Imprima un mensaje de ayuda y luego salga.
-V --versión
Imprime la información de la versión y sal.
-I --ip-dirección nnn.nnn.nnn.nnn
Especifique manualmente la dirección IP del servidor de labrea.
-E --mi-dirección-mac xx: xx: xx: xx: xx: xx
Especifique manualmente la dirección MAC de la NIC del servidor labrea.
-D --lista-interfaces
En sistemas Windows, imprima la lista de dispositivos WinPcap, seguida de la lista de
interfaces libdnet. Tenga en cuenta que cada API tiene una nomenclatura diferente para el
NIC subyacente.
-j --winpcap-dev nn
En sistemas Windows, seleccione el enésimo dispositivo winpcap de la lista.
NOTAS
Basic advertencia del use of lábrea
You deben entiendes modo: De forma predeterminada, LaBrea captura direcciones IP creando un
"máquina virtual" que se encuentra en cualquier dirección IP NO UTILIZADA que ve. labrea ha sido
cuidadosamente escrito y probado para operar de manera transparente y pacífica en la producción normal
entornos pero ...
Hay is a potencial. for problemas si alguien decide empezar a usar una de las IP
direcciones que labrea ha reclamado, o si labrea decide erróneamente que una IP
La dirección es libre cuando en realidad ya existe una máquina real.
Incorporado protecciones
labrea se esfuerza por NUNCA capturar una IP que tenga una máquina en vivo.
Se proporcionan los siguientes mecanismos automáticos:
· Si labrea ve un ARP gratuito que indica la llegada de una nueva máquina,
marca la dirección IP correspondiente como excluida. ("nuevos niños en el bloque"
lógica)
· Se anota cada respuesta ARP y la dirección IP correspondiente se marca como
excluido
· Al inicio, se realiza un barrido sistemático de toda la subred de captura (siempre que
ya que la subred no es demasiado grande). Todas las direcciones IP que responden están marcadas como
excluido
Luego hay formas de especificar manualmente la exclusión de ciertas direcciones, y
de lo contrario, garantizar un funcionamiento seguro:
· El stmt de configuración EXC permite que las direcciones IP especificadas se excluyan manualmente
desde la captura.
· El stmt de configuración de IPI genera paquetes con las direcciones de origen IP especificadas
para ser ignorado.
· -S - el parámetro de seguridad del conmutador provoca la duplicación de las solicitudes ARP en un conmutador
entorno
· -X --exclude-resolvable-ips dice que se excluyan todas las IP que tengan una
correspondiente entrada Dns
Traffic reencaminamiento: A pesar de todo esto, si labrea de alguna manera recibe tráfico cuya IP
dirección de destino pertenece a una máquina en vivo, labrea redirigirá ese tráfico a la
máquina real.
Tamaño of los capturar subred
Es mejor limitar la subred de captura a la real los libros físicos segmento (VLAN, concentrador) donde
labrea se está ejecutando.
En algunas configuraciones, donde se usa proxy arp para determinar el enrutamiento, la interfaz
Las máscaras de subred pueden ser bastante grandes. (es decir, "toda" la red está "directamente" adjunta a la
segmento físico).
En este caso, si labrea recoge la máscara de subred de la interfaz, entonces labrea
Observa ineficazmente direcciones que no tiene esperanzas de capturar. Deberías usar -m / -n
parámetros para limitar manualmente el tamaño de la subred de captura.
Otro personal reconoce
Las máquinas virtuales de labrea usan una dirección MAC falsa de 0: 0: f: ff: ff: ff
En ciertos sistemas Windows más antiguos, puede ser necesario especificar manualmente la captura
subred
En sistemas Unix, KILL -USR1 activará y desactivará el cierre de sesión.
En sistemas Unix, KILL -HUP hará que labrea se reinicialice (y por lo tanto libere las IP capturadas).
Si la subred de captura es demasiado grande (más de 1024 direcciones), labrea no funcionará
un barrido arp.
Use labrea en línea usando los servicios de onworks.net
