T-Pot Adbhoney Docker镜像文档

1. 镜像概述与主要用途

T-Pot Adbhoney Docker镜像是T-Pot一站式多蜜罐平台的核心组件之一，专注提供Adbhoney蜜罐服务。该镜像通过模拟Android Debug Bridge（ADB）协议接口，捕获针对Android设备的攻击尝试，支持安全团队监测、记录和分析ADB服务相关的恶意活动。

2. 核心功能与特性

2.1 核心功能

• ADB协议模拟：完整模拟ADB v1.0协议交互逻辑，支持标准ADB命令响应；
• 攻击行为捕获：记录攻击者IP地址、连接时间、操作命令序列及 payload 数据；
• 会话跟踪：维持攻击者会话状态，模拟真实设备的认证与交互流程；
• 日志生成：输出结构化攻击日志，包含时间戳、行为特征及网络元数据。

2.2 主要特性

• 轻量级架构：基于精简基础镜像构建，内存占用<50MB，适合边缘节点部署；
• T-Pot原生集成：无缝对接T-Pot平台的日志聚合与可视化模块；
• 可定制响应：支持配置模拟设备属性（型号、系统版本、硬件信息）；
• 协议兼容性：兼容主流ADB客户端（Android Studio、adb.exe、Python-ADB等）。

3. 使用场景与适用范围

3.1 使用场景

• 威胁情报收集：捕获针对Android设备的定向攻击样本与战术特征；
• 安全研究：分析ADB攻击手法（如未授权访问、命令注入、文件传输）；
• 网络边界监测：部署于DMZ区域，监测针对移动设备管理接口的探测行为；
• 攻防演练：作为红队评估目标，验证企业对移动设备攻击的检测能力。

3.2 使用范围

• 企业安全运营中心（SOC）
• 移动安全研究机构
• 教育机构网络安全实验室
• 物联网（IoT）设备安全监测场景

4. 使用方法与配置说明

4.1 部署方式

该镜像需作为T-Pot平台组件运行，或独立部署于Docker环境。以下为独立部署示例：

4.1.1 Docker Run 命令

docker run -d \
  --name tpot-adbhoney \
  --restart=always \
  -p 5037:5037 \  # ADB默认监听端口
  -v /opt/tpot/adbhoney/logs:/var/log/adbhoney \  # 日志持久化
  -v /opt/tpot/adbhoney/config:/etc/adbhoney \     # 配置文件挂载
  -e ADB_LISTEN_PORT=5037 \
  -e LOG_LEVEL=info \
  -e DEVICE_MODEL="Samsung Galaxy S23" \
  telekomsecurity/tpot-adbhoney:latest

4.1.2 Docker Compose 配置

version: '3.8'
services:
  adbhoney:
    image: telekomsecurity/tpot-adbhoney:latest
    container_name: tpot-adbhoney
    restart: unless-stopped
    ports:
      - "5037:5037/tcp"  # ADB协议端口
    volumes:
      - adbhoney_logs:/var/log/adbhoney
      - adbhoney_config:/etc/adbhoney
    environment:
      - ADB_LISTEN_PORT=5037
      - LOG_LEVEL=debug
      - LOG_FORMAT=json
      - DEVICE_MODEL="Google Pixel 8"
      - ANDROID_VERSION="14"
      - MANUFACTURER="Google"
      - MAX_SESSION_DURATION=300  # 会话超时时间(秒)

volumes:
  adbhoney_logs:
    driver: local
    driver_opts:
      type: none
      device: /opt/tpot/adbhoney/logs
      o: bind
  adbhoney_config:
    driver: local
    driver_opts:
      type: none
      device: /opt/tpot/adbhoney/config
      o: bind

4.2 配置参数详解

4.2.1 环境变量配置

4.2.2 配置文件参数

通过挂载config.yaml至/etc/adbhoney/config.yaml实现高级配置：

# 设备模拟配置
device:
  model: "Google Pixel 7 Pro"
  android_version: "14"
  manufacturer: "Google"
  serial: "HT8A1XXXXX"
  build_prop:
    ro.build.version.sdk: "34"
    ro.product.name: "cheetah"

# 响应行为配置
response:
  enable_shell: false  # 禁用模拟shell响应
  fake_filesystem:
    - path: "/system/bin/adb"
      size: 10240
    - path: "/data/local/tmp/"
      is_dir: true

# 日志配置
logging:
  max_file_size: 10485760  # 10MB
  backup_count: 5

5. 日志与数据管理

• 日志路径：容器内日志默认存储于/var/log/adbhoney/adbhoney.log，建议通过数据卷挂载至宿主机/opt/tpot/adbhoney/logs；
• 日志格式：默认文本格式（示例：2024-05-20T10:15:30Z [INFO] ***er 192.168.1.100:54321 connected, sent command: "adb devices"）；JSON格式可通过LOG_FORMAT=json启用；
• 数据留存：配合日志轮转工具（如logrotate）设置保留策略，避免磁盘空间耗尽。

6. 安全注意事项

• 网络隔离：蜜罐服务应部署于独立网段，禁止与生产网络直接通信；
• 资源限制：通过--memory和--cpus参数限制容器资源，防止DoS攻击导致的资源耗尽；
• 镜像验证：使用官方源获取镜像，通过GPG签名验证完整性；
• 合规要求：确保日志数据处理符合当地数据保护法规（如GDPR）。