当前位置：首页 > news >正文

T-POT蜜罐初体验：除了抓攻击，它的Cockpit和ELK面板怎么玩？

news 2026/4/16 13:12:40

T-POT蜜罐实战指南：从攻击捕获到威胁分析的进阶玩法

第一次登录T-POT的Web界面时，我被满屏跳动的攻击事件震惊了——这个看似简单的系统正在实时捕获来自全球的恶意流量。但很快发现，大多数用户只停留在"看热闹"阶段，而忽略了它作为完整威胁分析平台的潜力。本文将带你解锁那些被低估的高级功能。

1. Cockpit：不只是服务器监控面板

大多数人把Cockpit当作简单的系统状态查看器，实际上它能做的远不止显示CPU和内存占用率。通过64294端口访问的Cockpit界面，是管理整个T-POT生态的中枢神经。

1.1 实时容器管理技巧

在Cockpit的Podman容器模块（原Docker管理），可以直接对蜜罐容器进行精细控制：

# 查看特定容器的详细日志（在Cockpit的终端模块执行） podman logs -f cowrie # 实时查看Cowrie蜜罐的交互日志

关键操作场景：

当某个蜜罐异常繁忙时，直接调整其资源限制
快速重启特定服务而不影响其他组件
实时查看容器内进程树

注意：修改容器配置后，建议通过systemctl restart tpot使变更持久化

1.2 性能基准测试方法

利用Cockpit的历史数据功能，可以建立蜜罐的性能基线：

指标	正常范围	告警阈值	测量方法
事件处理延迟	<200ms	>500ms	ELK->Grafana仪表板
网络吞吐量	10-50Mbps	>100Mbps	Cockpit网络历史图表
容器内存占用	每个<500MB	>1GB	容器详情页内存统计

2. ELK Stack：让攻击日志开口说话

访问64297端口进入的Kibana界面，藏着比预置仪表板更强大的分析能力。经过三个月的实战，我总结出这些高效用法：

2.1 自定义可视化策略

官方仪表板只展示了基础数据，通过以下步骤创建更有价值的视图：

进入Discover，筛选tags:"attack"的事件
添加这些关键字段到表格视图：
- geoip.country_name
- event.action
- source.ip
- network.protocol

// 保存为"攻击者地图"可视化 { "title": "攻击源地理分布", "visState": { "type": "tile_map", "params": { "colorSchema": "Green to Red", "mapType": "Scaled Circle Markers" } } }

2.2 威胁情报提取实战

通过组合查询，可以识别出潜在的协同攻击：

event.action: "login attempt" AND source.ip: /192\.168\.*/ AND NOT destination.port: 22

典型攻击模式分析：

攻击类型	特征字段	常见来源国家
SSH暴力破解	`event.action: "login" AND ssh.method: "password"`	巴西、越南
物联网扫描	`network.protocol: "telnet" AND device.model: *`	中国、美国
Web漏洞探测	`http.request.method: "POST" AND url.path: "/wp-admin"`	俄罗斯、乌克兰

3. 工具链协同作战方案

T-POT真正的威力在于组件间的联动，这是我验证过的几种高效组合：

3.1 从告警到取证的完整流程

Suricata检测到异常流量（如ET EXPLOIT CVE-2021-44228）
通过Spiderfoot查询该IP的历史情报

使用CyberChef解码捕获的payload：

From Base64 -> Remove null bytes -> Extract URLs

最终在ELK中标记为确认攻击

3.2 数据持久化配置优化

默认30天的日志保留期可能不够，修改/opt/tpot/etc/logrotate/logrotate.conf：

# 调整为90天保留且增加压缩比 /data/log/*.log { daily rotate 90 compress delaycompress missingok notifempty }

提示：修改后需执行logrotate -f /opt/tpot/etc/logrotate/logrotate.conf立即生效

4. 防御者实战技巧汇编

这些经验来自处理超过50万次攻击事件的实战总结：

4.1 蜜罐伪装艺术

Cowrie配置建议：

# /opt/tpot/etc/cowrie/cowrie.cfg [honeypot] hostname = "prod-db01" fake_addr = "192.168.10.100" # 伪装成内网IP

网络指纹修改技巧：

# 更改默认SSH横幅 echo "SSH-2.0-OpenSSH_7.9p1" > /opt/tpot/etc/cowrie/ssh_banner

4.2 攻击者画像方法

通过ELK的Painless脚本实现自动化标记：

// 在Kibana中创建脚本字段"attacker_level" if (doc['event.duration'].value > 3600) { return "persistent"; } else if (doc['source.ip'].value.length() > 0) { return "scanner"; } else { return "opportunistic"; }

行为模式对照表：