labrea - En ligne dans le Cloud

PROGRAMME:

Nom

labrea - Honeypot pour les tentatives de connexion IP entrantes

SYNOPSIS

labrée [-i --dispositif INTERFACE] [-n --réseau nnn.nnn.nnn.nnn[/nn]] [-m --masque
nnn.nnn.nnn.nnn] [-t --taille-de-l'accélérateur OCTETS] [-p --taux-max EN PLUSIEURS FOIS ] [-R --redémarrage progressif] [-r
--arp-timeout EN PLUSIEURS FOIS] [-s --interrupteur-sûr] [-h --capture dure] [-x --désactiver-capture] [-X
--exclude-ips-résolvables] [-P --mode persistant uniquement] [-a --no-resp-synack] [-H
--capture automatique et dure] [-f --aucun-port-resp-exclu-] [--pas-arp-balayage] [--init-fichier DOSSIER] [-F
--fichier-bpf DOSSIER] [-T - à sec] [-d --premier plan] [-o --log-to-stdout] [-O
--log-timestamp-époque] [-l --log-vers-syslog] [-b --log-bande passante] [-v --verbeux] [-q
--silencieux] [-z --pas de harcèlement] [-? --usage --Aidez-moi ] [-V --version] [-I --adresse-ip nnn.nnn.nnn.nnn]
[-E --mon-adresse-mac xx:xx:xx:xx:xx:xx] [-D --list-interfaces] [-j --winpcap-dev nn]
[--serveur-syslog nnn.nnn.nnn.nnn] [--syslog-port nnn]

[FPB Filtre]

DESCRIPTION

labrée crée des machines virtuelles pour les adresses IP inutilisées dans le bloc d'IP spécifié
adresses. LaBrea s'assoit et écoute les requêtes ARP « qui a ».

Lorsqu'une requête ARP pour une adresse IP particulière reste sans réponse pendant une durée supérieure à son paramètre « taux »
(par défaut : 3 secondes), labrea crée une réponse ARP qui achemine tout le trafic destiné au
IP vers une adresse MAC « fausse ». Labrea détecte le trafic TCP/IP envoyé à cette adresse MAC.
et répond ensuite à tout paquet SYN avec un paquet SYN/ACK qu'il crée.

OPTIONS

labrée accepte les options suivantes :

-i --dispositif interface
Par défaut, Labrea utilise la première interface Ethernet. Cela force Labrea à utiliser
interface spécifiée.

-n --réseau xxx.xxx.xxx.xxx[/nn]
labrea extrait normalement des informations sur le bloc réseau à partir des informations IP
assigné à l'interface. Si labrea est exécuté sur une interface non configurée (une
sans adresse IP attribuée), utilisez ensuite cette option pour spécifier le sous-réseau à
capturé.

xxx.xxx.xxx.xxx est l'adresse réseau. /nn est le masque de sous-réseau en notation CIDR.
Si le masque de sous-réseau n'est pas spécifié ici, vous devez inclure le paramètre -m.

-m --masque xxx.xxx.xxx.xxx
Une autre façon de spécifier le masque réseau pour le bloc réseau de capture. Si ce paramètre
est spécifié, alors le paramètre -n doit également être spécifié.

-t --taille-de-l'accélérateur nn
Définit la fenêtre TCP pour limiter la quantité de données envoyées à Labrea.
le nombre d'octets de données à autoriser par paquet est nn octets.

-p --taux-max taux
Les tentatives de connexion seront définitivement capturées en forçant la connexion dans un
État « persistant » (en fermant la fenêtre TCP). Dans cet état, la connexion ne sera pas établie.
délai d'attente. labrea capturera en permanence les tentatives de connexion jusqu'à la bande passante maximale
taux octets. Si la bande passante spécifiée est dépassée, Labrea continuera à tarpiter le
connexion entrante (c'est-à-dire répondre SYN/ACK au SYN entrant).

-R --redémarrage progressif
Les nouvelles captures seront suspendues pendant 5 minutes pour permettre aux calculs de bande passante de progresser.
Si une analyse majeure se produit juste après le démarrage, cela empêche Labrea de capturer trop
de nombreuses connexions.

-r --arp-timeout taux
Attendez taux secondes après avoir vu les requêtes ARP entrantes avant de capturer une IP
adresse.

-s --interrupteur-sûr
Lorsqu'une requête ARP entrante est reçue, spécifie que labrea doit envoyer un ARP
demande de sa propre adresse IP. Ceci est nécessaire pour un fonctionnement sûr dans
un environnement commuté où un hôte ne voit pas nécessairement tout le trafic sur
l'interrupteur.

-h --capture dure
Une fois qu'une adresse IP a été capturée, n'attendez pas un délai d'attente « -r » pour le
prochaine requête ARP entrante.

-x --désactiver-capture
Ne capturez pas les adresses IP.

-X --exclude-ips-résolvables
Au démarrage, essayez la résolution DNS sur toutes les adresses IP du bloc réseau de capture.
Exclure automatiquement toute adresse IP associée à une entrée DNS. Attention !
car cela peut générer de nombreuses recherches DNS si le sous-réseau de capture est volumineux.

-P --mode persistant uniquement
Essayez de limiter l'utilisation de la bande passante en effectuant uniquement la capture persistante. Remarque : ce paramètre
a une utilité limitée car en dessous du maximum b/w, le même échange qui conduit à persister
la capture a également pour effet secondaire de provoquer des goudrons.

-a --no-resp-synack
Par défaut, les hôtes virtuels LaBrea répondent à SYN/ACK avec RST et répondent aux pings.
Désactive ce comportement.

-H --capture automatique et dure
Marquer toutes les adresses IP non exclues et non exclues définitivement comme étant capturées définitivement. Voir
labrea.conf(5) Pour plus d'informations, ce paramètre doit être utilisé. avec mise en garde.

-f --aucun-port-resp-exclu-
Interrompre les connexions entrantes vers les ports exclus. Le comportement par défaut est de revenir.
un RST. Ralentit considérablement l'analyse de type nmap.

--pas-arp-balayage
Au démarrage, labrea balaie le sous-réseau de capture avec des rafales de requêtes ARP dans un
Tenter de localiser toutes les machines actives. Ce paramètre désactive le balayage.

--init-fichier filet
Lire la configuration à partir du spécifié filet au lieu de la valeur par défaut
emplacement.

-F --fichier-bpf filet
Désigne le nom d'un fichier contenant un filtre BPF pointant vers des machines/ports vers
être piratées. Comme pour le filtre BPF en ligne de commande, ces connexions DOIVENT être
pare-feu pour abandonner le trafic entrant.

-T - à sec
Effectuer l'initialisation de Labrea, y compris les exclusions DNS, l'analyse du fichier de configuration,
ouverture de l'interface réseau, etc. Imprimez les informations de diagnostic, puis quittez.

-d --premier plan
Ne pas déconnecter le processus. (Systèmes Unix uniquement)

-o --log-to-stdout
Envoyer les informations de journalisation vers la sortie standard (stdout) plutôt que vers le journal système (syslog). Cette option implique également et
définit l'option -d (c'est-à-dire ne pas détacher le processus).

-O --log-timestamp-époque
Identique à l'option « -o », mais avec une sortie horaire en secondes depuis l'époque pour la rendre
plus facile pour les programmes d'analyse de fichiers journaux.

-l --log-vers-syslog
Envoyer des messages de journal à syslog.

-b --log-bande passante
Enregistrez un message toutes les minutes détaillant la consommation actuelle de bande passante du -p
option (persistance de la capture).

-v --verbeux
Augmentez la verbosité des messages de journal. Utilisez-la deux fois pour plus d'efficacité.

-q --silencieux
Ne signalez pas les requêtes ARP pour les adresses IP qui ne se trouvent pas dans le sous-réseau de capture.

-z --pas de harcèlement
Désactivez le message de rappel. Avant de procéder, lisez l'avertissement de base dans les notes.
section juste en dessous.

-? --usage --Aidez-moi
Imprimez un message d’aide, puis quittez.

-V --version
Imprimer les informations sur la version et quitter.

-I --adresse-ip nnn.nnn.nnn.nnn
Spécifiez manuellement l'adresse IP du serveur labrea.

-E --mon-adresse-mac xx:xx:xx:xx:xx:xx
Spécifiez manuellement l'adresse MAC de la carte réseau du serveur labrea.

-D --list-interfaces
Sur les systèmes Windows, imprimez la liste des périphériques WinPcap, suivie de la liste des
Interfaces libdnet. Notez que chaque API possède une nomenclature différente pour
carte réseau sous-jacente.

-j --winpcap-dev nn
Sur les systèmes Windows, sélectionnez le nième périphérique winpcap dans la liste.

NOTES

Basic Avertissement à propos utilisé of labrée
Vous doit comprendre ce: Par défaut, LaBrea capture les adresses IP en créant un
« machine virtuelle » qui se trouve sur n'importe quelle adresse IP INUTILISÉE qu'elle voit. labrea a été
soigneusement rédigé et testé pour fonctionner de manière transparente et pacifique dans une production normale
environnements mais ...

Là is a défaillances pour d'ouvrabilité si quelqu'un décide de commencer à utiliser l'une des adresses IP
adresses que Labrea a revendiquées, ou si Labrea décide à tort qu'une adresse IP
l'adresse est libre alors qu'en fait une vraie machine est déjà là.

Encastré protections
labrea s'efforce de ne JAMAIS capturer une adresse IP sur laquelle se trouve une machine en direct.

Les mécanismes automatiques suivants sont prévus :

· Si labrea voit un ARP gratuit signalant l'arrivée d'une nouvelle machine, il
marque l'adresse IP correspondante comme exclue. (« nouveaux arrivants »)
logique)

· Chaque réponse ARP est notée et l'adresse IP correspondante est marquée comme
exclu.

· Au démarrage, un balayage systématique est effectué sur l'ensemble du sous-réseau de capture (tant que
car le sous-réseau n'est pas trop grand). Toutes les adresses IP qui répondent sont marquées comme
exclu.

Il existe ensuite des moyens de spécifier manuellement l’exclusion de certaines adresses, et
sinon, assurer un fonctionnement sûr :

· L'état de configuration EXC permet d'exclure manuellement les adresses IP spécifiées
de la capture.

· L'instruction de configuration IPI génère des paquets avec les adresses source IP spécifiées
à ignorer.

· Le paramètre -s --switch-safe provoque la mise en miroir des requêtes ARP dans un réseau commuté
convivial

· -X --exclude-resolvable-ips indique d'exclure toutes les adresses IP qui ont un
entrée DNS correspondante

Traffic déroutement: Malgré tout cela, si Labrea reçoit d'une manière ou d'une autre du trafic dont l'IP
l'adresse de destination appartient à une machine en direct, labrea redirigera ce trafic vers le
vraie machine.

Format of le capturer sous-réseau
Il est préférable de limiter le sous-réseau de capture au présenter Physique clignotant (VLAN, hub) où
labrea court.

Dans certaines configurations, où le proxy ARP est utilisé pour déterminer le routage, l'interface
Les masques de sous-réseau peuvent être assez grands. (c'est-à-dire que le réseau « entier » est « directement » attaché au
segment physique).

Dans ce cas, si Labrea récupère le masque de sous-réseau de l'interface, alors Labrea
Surveille inefficacement les adresses qu'il n'a aucun espoir de capturer. Vous devriez utiliser l'option -m / -n.
paramètres pour limiter manuellement la taille du sous-réseau de capture.

Autres usage note
Les machines virtuelles labrea utilisent une fausse adresse MAC de 0:0:f:ff:ff:ff

Sur certains anciens systèmes Windows, il peut être nécessaire de spécifier manuellement la capture
sous-réseau.

Sur les systèmes Unix, KILL -USR1 activera et désactivera la déconnexion.

Sur les systèmes Unix, KILL -HUP provoquera la réinitialisation de labrea (et donc la libération des IP capturées).

Si le sous-réseau de capture est trop grand (supérieur à 1024 adresses), alors labrea ne fonctionnera pas
un balayage arp.

Utilisez Labrea en ligne via les services onworks.net