honeypot-foundry

Informazioni sul progetto

Honeypot Foundry è un toolkit completo e pronto per la produzione, progettato per la distribuzione e la gestione dell’intero ciclo di vita degli honeypot in ambienti aziendali. Nella cybersicurezza, un honeypot è un sistema o servizio deliberatamente esposto che imita un’infrastruttura reale per attirare gli aggressori. Quando un aggressore interagisce con un honeypot, ogni azione viene registrata e analizzata, fornendo informazioni preziose sulle minacce senza mettere a rischio i sistemi di produzione reali. Questo toolkit permette ai team di sicurezza di distribuire diversi tipi di honeypot — dai sensori a bassa interazione che emulano servizi di base (SSH, HTTP, FTP, SMB) alle esche ad alta interazione che simulano interi sistemi operativi. Ogni istanza è completamente configurabile tramite file YAML: è possibile scegliere quali servizi esporre, il livello di interazione consentito e la modalità di generazione degli avvisi. La piattaforma si integra nativamente con Elasticsearch per aggregare e analizzare i log, consentendo agli analisti di correlare l’attività degli honeypot con altri eventi di sicurezza nel SIEM. Le dashboard in tempo reale mostrano schemi di attacco, geolocalizzazione degli IP di origine, tecniche di attacco (mappate sul framework MITRE ATT&CK) e tendenze nel tempo.

Perché è importante

Gli honeypot sono una delle strategie più efficaci e meno utilizzate nella cybersicurezza difensiva. A differenza dei controlli di sicurezza tradizionali, che sono reattivi (firewall, antivirus), gli honeypot sono meccanismi di rilevamento proattivo: ogni interazione con essi è di per sé sospetta, perché nessun utente o sistema legittimo dovrebbe accedervi. Questo riduce drasticamente i falsi positivi, una difficoltà persistente nelle operazioni di sicurezza. Nell’attuale panorama delle minacce, in cui gli aggressori aggirano abitualmente le difese perimetrali, gli honeypot fungono da sistema di allerta precoce all’interno della rete. Rilevano i movimenti laterali degli insider e delle minacce persistenti avanzate (APT) che hanno già superato le difese iniziali.

Guida passo passo

1. Clona il repository e installa tutte le dipendenze con lo script di configurazione fornito. Il toolkit richiede Docker e Python 3.8+ come prerequisiti. Esegui 'pip install -r requirements.txt' per installare le dipendenze Python.
2. Configura la distribuzione modificando il file honeypot.config.yaml. Definisci quali servizi simulare (SSH, HTTP, FTP, SMB, MySQL, ecc.), configura le interfacce di rete e le porte, regola il livello di dettaglio dei log e specifica le destinazioni degli avvisi (email, Slack, webhook).
3. Distribuisci gli honeypot con il comando 'foundry deploy --profile production'. Verranno avviati i container Docker per ogni servizio configurato, impostata la raccolta dei log e inizializzata la dashboard di monitoraggio. Usa '--profile staging' per eseguire i test prima della distribuzione in produzione.
4. Monitora gli avvisi tramite la dashboard Kibana integrata, che offre una vista in tempo reale dell’attività degli attacchi, mappe di calore geografiche delle origini degli aggressori e correlazione automatica con indicatori di intelligence sulle minacce noti.

Tecnologie utilizzate