T-Pot Cowrie 镜像文档

镜像概述和主要用途

T-Pot Cowrie是T-Pot - 一站式多蜜罐平台的核心组件之一，专为模拟SSH和Telnet服务的蜜罐设计。它通过提供看似易受攻击的远程访问接口，吸引攻击者进行连接尝试，详细记录其登录行为、命令执行序列、文件传输操作等活动，为安全研究、威胁情报收集和网络攻击模式分析提供关键数据支持。

核心功能和特性

• SSH/Telnet服务模拟：精确模拟真实SSH（22端口）和Telnet（23端口）服务的响应行为，包括登录提示、命令行交互和错误反馈
• 全面活动记录：记录所有登录尝试（含用户名/密码组合）、命令执行历史、网络会话元数据（IP、端口、时间戳）
• 文件传输捕获：拦截并保存攻击者上传至蜜罐或从蜜罐下载的文件，支持分析恶意软件样本和攻击工具
• 会话环境模拟：提供有限的伪shell环境，模拟常见系统命令响应，延长攻击者交互时间以收集更多数据
• T-Pot生态集成：无缝对接T-Pot平台的日志聚合、ELK Stack（Elasticsearch, Logstash, Kibana）可视化和告警系统

使用场景和适用范围

• 安全研究机构：分析针对SSH/Telnet服务的攻击趋势、新型漏洞利用手法和恶意软件传播路径
• 企业安全团队：部署于DMZ或内部网络边界，监控未授权访问尝试，评估网络暴露风险
• 教育与培训：构建攻击演示环境，展示真实攻击场景，提升安全人员对威胁的认知能力
• 威胁情报运营：收集攻击者IP、凭证组合、攻击工具特征等情报，丰富威胁情报库

使用方法和配置说明

部署前提

• 已安装Docker Engine（20.10+）和Docker Compose（2.0+）
• 建议通过T-Pot官方部署流程安装，以确保与其他组件（如日志系统、可视化工具）的兼容性

典型部署方式（T-Pot平台集成）

通过T-Pot官方脚本完成整体部署，Cowrie将自动配置并启动：

# 克隆T-Pot仓库
git clone [***]
cd tpotce

# 运行交互式安装脚本（根据提示选择包含Cowrie的配置）
sudo ./install.sh

独立测试部署

如需单独运行Cowrie容器进行测试（非生产环境）：

docker run -d \
  --name tpot-cowrie \
  --restart unless-stopped \
  -p 22:2222 \  # 将主机22端口映射到容器SSH服务端口
  -p 23:23 \    # 映射Telnet服务端口
  -v cowrie_logs:/data/cowrie/logs \  # 持久化日志
  -v cowrie_dl:/data/cowrie/dl \      # 持久化文件传输数据
  -e COWRIE_SSH_PORT=2222 \
  -e LOG_LEVEL=INFO \
  telekomsecurity/tpot-cowrie

核心配置参数

环境变量

数据卷挂载

日志与数据访问

查看实时日志

# 通过Docker查看容器日志
docker logs -f tpot-cowrie

# 或直接访问日志文件
tail -f /path/to/cowrie_logs/cowrie.log

T-Pot平台集成访问

在T-Pot部署环境中，可通过Kibana界面（默认地址https://<tpot-ip>:64297）查询Cowrie日志，使用索引模式cowrie-*筛选相关数据。

注意事项

• 生产环境部署需配置防火墙规则，限制管理IP访问T-Pot管理界面
• 长期运行建议定期清理日志和捕获文件，避免存储空间耗尽
• 请勿将蜜罐部署在未授权网络区域，遵守当地法律法规和网络安全政策