labrea - Online nel cloud

PROGRAMMA:

NOME

labrea - Honeypot per i tentativi di connessione IP in entrata

SINOSSI

labra [-i --dispositivo INTERFACCIA] [-n --Rete nnn.nnn.nnn.nnn[/nn]] [-m --maschera
nnn.nnn.nnn.nnn] [-t --dimensione dell'acceleratore BYTE] [-p --tasso massimo RATE ] [-R --riavvio graduale] [-r
--arp-timeout RATE] [-s --interruttore sicuro] [-h --hard-cattura] [-x --disabilita-cattura] [-X
--exclude-risolvable-ips] [-P --modalità-persistente] [-a --no-resp-synack] [-H
--auto-hard-cattura] [-f --no-resp-porte escluse] [--no-arp-sweep] [--file-init RISORSE] [-F
--bpf-file RISORSE] [-T --funzionamento a secco] [-d --primo piano] [-o --log-to-stdout] [-O
--log-timestamp-epoca] [-l --log-a-syslog] [-b --larghezza di banda log] [-v --verboso] [-q
--silenzioso] [-z --no-fastidioso] [-? --uso --Aiuto ] [-V --versione] [-I --indirizzo-ip nnn.nnn.nnn.nnn]
[-E --mio-indirizzo-mac xx:xx:xx:xx:xx:xx] [-D --list-interfacce] [-j --winpcap-dev nn]
[--syslog-server nnn.nnn.nnn.nnn] [--syslog-porta nnn]

[BPF Filtro]

DESCRIZIONE

labra crea macchine virtuali per indirizzi IP inutilizzati nel blocco di IP specificato
indirizzi. LaBrea si siede e ascolta le richieste ARP "chi ha".

Quando una richiesta ARP per un particolare IP rimane senza risposta per un periodo più lungo della sua impostazione "rate"
(predefinito: 3 secondi), labrea crea una risposta ARP che instrada tutto il traffico destinato al
IP a un indirizzo MAC "falso". labrea rileva il traffico TCP/IP inviato a quell'indirizzo MAC
e quindi risponde a qualsiasi pacchetto SYN con un pacchetto SYN/ACK che crea.

VERSIONI

labra accetta le seguenti opzioni:

-i --dispositivo interfaccia
Per impostazione predefinita, labrea utilizza la prima interfaccia ethernet. Questo costringe labrea a usare il
interfaccia specificata.

-n --Rete xxx.xxx.xxx.xxx[/nn]
labrea normalmente estrae le informazioni sul netblock dalle informazioni IP
assegnato all'interfaccia. Se labrea viene eseguito su un'interfaccia non configurata (uno
senza un indirizzo IP assegnato), quindi utilizzare questa opzione per specificare la sottorete da
catturato.

xxx.xxx.xxx.xxx è l'indirizzo di rete. /nn è la subnet mask nella notazione CIDR.
Se la subnet mask non è specificata qui, è necessario includere il parametro -m.

-m --maschera xxx.xxx.xxx.xxx
Un altro modo per specificare la maschera di rete per il netblock di cattura. Se questo parametro
è specificato, allora deve essere specificato anche il parametro -n.

-t --dimensione dell'acceleratore nn
Imposta l'annuncio della finestra TCP per limitare la quantità di dati inviati a labrea. Il
il numero di byte di dati da consentire per pacchetto è nn byte.

-p --tasso massimo tasso
I tentativi di connessione verranno catturati in modo permanente forzando la connessione in a
stato "persistente" (chiudendo la finestra TCP). In questo stato, la connessione non sarà
tempo scaduto. labrea catturerà permanentemente i tentativi di connessione fino alla larghezza di banda massima
tasso byte. Se la larghezza di banda specificata viene superata, labrea continuerà a tarpit il
connessione in entrata (ovvero rispondere SYN/ACK a SYN in entrata).

-R --riavvio graduale
Le nuove acquisizioni verranno sospese per 5 minuti per consentire l'avanzamento dei calcoli della larghezza di banda.
Se si verifica una scansione importante subito dopo l'avvio, ciò impedisce anche a labrea di acquisire
molte connessioni.

-r --arp-timeout tasso
Aspetta! tasso secondi dopo aver visto le richieste arp in arrivo prima di acquisire un IP
indirizzo.

-s --interruttore sicuro
Quando c'è una richiesta ARP in entrata, specifica che labrea deve inviare un ARP
propria richiesta per lo stesso indirizzo IP. Ciò è necessario per un funzionamento sicuro in
un ambiente commutato in cui un host non vede necessariamente tutto il traffico su
l'interruttore.

-h --hard-cattura
Una volta che un indirizzo IP è stato catturato, non aspettare un timeout "-r" per il
successiva richiesta ARP in arrivo.

-x --disabilita-cattura
Non acquisire IP.

-X --exclude-risolvable-ips
All'avvio, tentare la risoluzione DNS su tutti gli IP all'interno del netblock di acquisizione.
Escludi automaticamente qualsiasi IP che abbia una voce corrispondente nel DNS. Stai attento
perché questo può generare molte ricerche DNS se la sottorete di acquisizione è grande.

-P --modalità-persistente
Prova a limitare l'utilizzo della larghezza di banda eseguendo solo l'acquisizione persistente. Nota: questo parametro
ha un'utilità limitata in quanto sotto max b/n, lo stesso scambio che porta a persistere
la cattura ha anche l'effetto collaterale del tarpitting.

-a --no-resp-synack
Per impostazione predefinita, gli host virtuali LaBrea rispondono a SYN/ACK con RST e rispondono ai Ping.
Disabilita questo comportamento.

-H --auto-hard-cattura
Contrassegna tutti gli IP non esclusi e tutti gli IP non esclusi come acquisiti in modo definitivo. Vedere
labrea.conf(5) per maggiori informazioni. Questo parametro dovrebbe essere usato con attenzione.

-f --no-resp-porte escluse
Elimina le connessioni in entrata alle porte escluse. Il normale comportamento predefinito è tornare
un RST. Rende la scansione in stile nmap molto più lenta.

--no-arp-sweep
All'avvio, labrea spazza la sottorete di acquisizione con raffiche di richieste ARP in an
tentare di individuare tutte le macchine attive. Questo parametro disabilita lo sweep.

--file-init filetto
Leggere la configurazione dal specificato filetto invece che dall'impostazione predefinita
posizione.

-F --bpf-file filetto
Designa il nome di un file contenente un filtro BPF che punta a macchine/porte a
essere tartassato. Come con il filtro BPF della riga di comando, queste connessioni DEVONO essere
firewalled per DROP il traffico in entrata.

-T --funzionamento a secco
Eseguire l'inizializzazione di labrea, incluse le esclusioni Dns, l'analisi del file di configurazione,
apertura dell'interfaccia di rete, ecc. Stampare le informazioni di diagnostica, quindi uscire.

-d --primo piano
Non staccare il processo. (Solo sistemi Unix)

-o --log-to-stdout
Invia le informazioni di registro a stdout anziché a syslog. Questa opzione implica anche e
imposta l'opzione -d (cioè non scollegare il processo).

-O --log-timestamp-epoca
Uguale all'opzione "-o", ma con l'output del tempo in secondi dall'epoca per farlo
più facile per i programmi di analisi dei file di registro.

-l --log-a-syslog
Invia messaggi di registro a syslog.

-b --larghezza di banda log
Registra un messaggio ogni minuto che dettaglia l'attuale consumo di larghezza di banda del -p
opzione (continua acquisizione).

-v --verboso
Aumenta la verbosità dei messaggi di registro. Utilizzare due volte per più effetto.

-q --silenzioso
Non segnalare richieste arp per IP che non si trovano nella subnet di acquisizione.

-z --no-fastidioso
Disattiva il messaggio nag. Prima di farlo, leggi l'avviso di base nelle Note
sezione appena sotto.

-? --uso --Aiuto
Stampa un messaggio di aiuto e poi esci.

-V --versione
Stampa le informazioni sulla versione ed esci.

-I --indirizzo-ip nnn.nnn.nnn.nnn
Specificare manualmente l'indirizzo IP per il server labrea.

-E --mio-indirizzo-mac xx:xx:xx:xx:xx:xx
Specificare manualmente l'indirizzo MAC della NIC del server labrea.

-D --list-interfacce
Sui sistemi Windows, stampare l'elenco dei dispositivi WinPcap, seguito dall'elenco dei
interfacce libdnet. Nota che ogni API ha una nomenclatura diversa per il
NIC sottostante.

-j --winpcap-dev nn
Sui sistemi Windows, seleziona l'ennesimo dispositivo winpcap nell'elenco.

NOTE

Basic Avvertenza circa uso of labra
sentirti devono obbligatoriamente: capire Questo: Per impostazione predefinita, LaBrea acquisisce gli indirizzi IP creando un
"macchina virtuale" che si trova su qualsiasi indirizzo IP NON UTILIZZATO che vede. labrea è stata
accuratamente scritto e testato per operare in modo trasparente e pacifico nella normale produzione
ambienti ma...

Ci is a potenziale per problemi se qualcuno decide di iniziare a utilizzare uno degli IP
indirizzi che labrea ha rivendicato o se labrea decide erroneamente che un IP
l'indirizzo è libero quando in realtà è già presente una macchina reale.

Built-in protezioni
labrea si sforza di non catturare MAI un IP su cui è presente una macchina live.

Sono previsti i seguenti meccanismi automatici:

· Se labrea vede un ARP gratuito che segnala l'arrivo di una nuova macchina,
contrassegna l'indirizzo IP corrispondente come escluso. ("i nuovi bambini arrivati ​​nei paraggi"
logica)

· Ogni risposta ARP è annotata e l'indirizzo IP corrispondente è contrassegnato come
escluso.

· All'avvio, viene eseguita una scansione sistematica dell'intera sottorete di acquisizione (purché
poiché la sottorete non è troppo grande). Tutti gli indirizzi IP che rispondono sono contrassegnati come
escluso.

Esistono poi modi per specificare manualmente l'esclusione di determinati indirizzi e
altrimenti garantendo un funzionamento sicuro:

· La configurazione EXC stmt consente di escludere manualmente gli indirizzi IP specificati
dalla cattura.

· Lo stmt di configurazione IPI causa i pacchetti con gli indirizzi IP di origine specificati
essere ignorato.

· Il parametro -s --switch-safe causa il mirroring delle richieste ARP in uno switch
Industria XNUMX

· -X --exclude-resolvable-ips dice di escludere tutti gli IP che hanno a
voce DNS corrispondente

Traffico reindirizzamento: Nonostante tutto questo, se labrea riceve in qualche modo traffico il cui IP
l'indirizzo di destinazione appartiene a una macchina attiva, labrea reindirizzerà quel traffico al
macchina reale.

Taglia of , il catturare sottorete
È meglio limitare la sottorete di acquisizione a presenti Fisico segmento (VLAN, hub) dove
labrea è in esecuzione.

In alcune configurazioni, in cui viene utilizzato proxy arp per determinare il routing, interfaccia
le subnet mask possono essere piuttosto grandi. (cioè l'"intera" rete è "direttamente" collegata al
segmento fisico).

In questo caso, se labrea preleva la subnet mask dall'interfaccia, labrea lo farà
guarda in modo inefficiente gli indirizzi che non ha alcuna speranza di catturare. Dovresti usare -m / -n
parametri per limitare manualmente la dimensione della sottorete di acquisizione.

Altri uso note
Le macchine virtuali Labrea utilizzano un indirizzo MAC fasullo di 0:0:f:ff:ff:ff

Su alcuni vecchi sistemi Windows, potrebbe essere necessario specificare manualmente l'acquisizione
sottorete.

Sui sistemi unix, KILL -USR1 attiverà e disattiverà la disconnessione.

Sui sistemi unix, KILL -HUP farà reinizializzare labrea (e quindi libererà gli IP catturati).

Se la sottorete di acquisizione è troppo grande (maggiore di 1024 indirizzi), labrea non funzionerà
un'arp sweep.

Usa labrea online utilizzando i servizi onworks.net