HFish蜜罐的介绍和简单测试（三）

在学习蜜罐时，HFish是个不错的选择。首先是免费使用，其次易于安装管理，然后文档支持比较丰富，最后还有更多扩展功能。第三篇的话作为本系列的最终篇章进行总结，具体是看到哪里写到哪里。

0、HFish平台管理

0.1、报告管理

一般管理员不重视设备的报告功能，其实作为规范化的管理制度下，报告是不可或缺的安全管理过程资料。

Hfish可以手动或自动生成报告，给管理员作为参考和工作支撑。

生成报告后可以在线预览，也可以下载，结果为word格式。生成的报告还是比较正规和有实用性的。

0.2、系统配置

在系统配置中有其他设置用于方便管理和发挥HFish更丰富功能的配置。

情报配置

这里需要在微步在线注册账号，免费账户有有限查询数量的权限。账户权限可扩张，要不充钱，职业认证也可扩大一部分权限。

在这里给微步在线做个广告，在我进行职业认证的时候发现微步推出一个新产品。

ThreatBook 用户登录微步在线https://x.threatbook.com/v5/graphSearch

Graph 威胁猎手的狙击镜。我测试了一下，挺好用，类似在线版的maltego。

maltego缺点是需要下载安装，还需要注册登录，还需要FQ，不然登录失败。

通知配置

支持syslog、邮件通知、微信、钉钉、飞书通知，这里我测试钉钉通知。

token来自自己钉钉登录后的群机器人。

具体内容参考钉钉配置文档。

在通知配置中完成配置以后，需要在告警策略中进行对应配置。

确定后可以在钉钉中看到告警信息。

告警信息后来收不到了，通过测试webhook配置看到报错信息：

发送太多原因。每分钟超过20条会发送失败。

登录配置

可以对用户权限进行配置，管理员和业务操作员权限不一样，对于一般的管理，业务操作员即可完成。

1、管理员：可以浏览任意页面，进行页面允许的任意操作；

2、业务操作员：尽可以浏览首页、攻击列表、扫描感知、攻击来源、账号资产 、失陷感知六个页面；

NTP时间同步

在攻防对抗中，时间是比较重要的，时间的准确性也是很重要的。所以最好配置NTP服务。

溯源配置

溯源，一般是在攻防中，用于挖掘攻击者身份，通过资产面，回溯等判断攻击者身份。

在近几年攻防演练中，更加特指了解对方的身份信息。

HFish作为蜜罐软件，提供被攻击时候的正常防卫需求。当攻击者扫描、攻击或者恶意连接HFish的蜜罐时，HFish提供包括但不限于：通过现有攻击工具漏洞，在合理范围内对攻击者进行信息提取、溯源等必要的攻击防御信息收集手段。

溯源技术层面：

HFish共支持三种溯源手段。

Mysql反制（支持内网，能够对攻击者机器做任意文件读取）

厂商vpn蜜罐反制（支持内网，能够获得windows机器登陆的微信号信息与桌面截图）

web型蜜罐溯源（不支持内网）这种溯源方式，在溯源时，会自动获取攻击者的出口IP进行标记。

重点贴出来Web型蜜罐溯源官方说明：

HFish所有的web页面蜜罐，包括自定义蜜罐，都可以在该情况下进行溯源。

对扫描器、webshell管理器、java反序列化反制。该部分反制数据会显示攻击者的出口IP。

可以拿到包括机器架构，微信账号、QQ账号、QQ音乐账号、百度云账号，浏览器浏览记录、history、whoami等信息

⚠️注意：处于对产品技术保密的原因。我们不会公开可以对扫描器、webshell管理器能够进行溯源反制，也不会提供相关的应用教程。

1、蜜铒配置

1.1、什么是诱饵

诱饵泛指任意伪造的高价值文件（例如运维手册、邮件、配置文件等），用于引诱和转移攻击者视线，最终达到牵引攻击者离开真实的高价值资产并进入陷阱的目的。

1.2、蜜铒使用场景

HFish的蜜饵在牵引攻击者的功能上增加了 精确定位失陷 能力，即每个蜜饵都是 唯一的，攻击者入侵用户主机后，如果盗取蜜饵文件中的数据并从任意主机发起攻击，防守者仍能知道失陷源头在哪里。

举个例子：

攻击者侵入企业内部某台服务器，在其目录中找到一个payment_config.ini文件，文件中包含数据库主机IP地址和账号密码，
攻击者为隐藏自己真实入侵路径，通过第三台主机访问数据库主机……

在以上场景中，payment_config.ini为蜜饵，所谓的数据库主机是另外一台位于安全区域的蜜罐，而攻击者得到的所谓账号密码也是虚假且唯一的，防守者可以根据其得到攻击者真实的横向移动路径。

由于蜜饵只是静态文件，所以蜜饵适合部署在任何主机和场景中，例如作为附件通过邮件发送（检测邮件是否被盗）、在攻防演练期间上传到百度网盘或github上混淆攻击者视线、压缩改名成backup.zip放置在Web目录下守株待兔等待攻击者扫描器上钩……

1.3、蜜标使用场景

HFish的蜜标为excel或者word文件的格式，一个蜜标可以下发到多个主机。攻击者入侵用户主机后，只要尝试打开蜜标，那么蜜标就会给节点发出告警信息。我们最终可以在管理端看到整体的蜜标失陷告警。

因此特别注意：蜜标在多个机器部署的时候，蜜标部署位置一定要跟生成蜜标的节点是可联通的

HFish诱饵的模式

HFish的诱饵模块由定制、分发接口 和 告警信息 三部分组成，

诱饵定制

HFish提供完整的诱饵定制，您可以通过在「失陷感知」-「蜜饵管理」中定制新增您自己的诱饵

在蜜饵内容中，$username$、$password$和$honeypot$分别代表账号、密码和蜜罐变量，以上为必填变量，必须进行引用，才能让蜜饵功能生效。三个变量，按照文件想呈现给攻击者的效果进行引用。 $username$变量如果未填写账号字典，则默认用root作为所有蜜饵的账号名。 $password$变量按照选取的位数，自动生成蜜饵的密码。 $honeypot$变量按照蜜饵下拉节点的部署服务，自动生成IP和端口。