T-Pot Dionaea Docker镜像文档

镜像概述和主要用途

该Docker镜像是T-Pot - 一体化多蜜罐平台的组成部分，基于Dionaea蜜罐技术构建。Dionaea是一款开源低交互蜜罐，旨在通过模拟多种常见网络服务（如HTTP、FTP、SMB、MySQL等）吸引攻击者，捕获攻击流量、恶意软件样本及攻击行为数据，为网络安全研究、威胁情报收集提供支持。

核心功能和特性

• 多服务模拟：支持模拟多种网络服务，包括但不限于HTTP、FTP、SMB、Telnet、MySQL、TFTP等，覆盖常见攻击目标服务类型。
• 攻击流量捕获：记录攻击者与模拟服务的交互流量（TCP/UDP数据包），包含源IP、端口、协议、 payload等详细信息。
• 恶意样本捕获：自动捕获攻击者上传的恶意软件样本（如病毒、木马、勒索软件等），存储至指定目录。
• 日志与监控集成：生成标准化攻击日志（支持JSON格式），可集成至ELK Stack、Splunk等日志分析平台，便于攻击行为可视化与分析。
• 轻量级部署：基于Docker容器化设计，依赖少、部署快速，支持跨平台运行（Linux、Windows、macOS）。

使用场景和适用范围

• 网络安全研究：安全研究员可通过该镜像搭建蜜罐环境，分析最新攻击手法、恶意软件传播路径及漏洞利用方式。
• 威胁情报收集：企业安全团队可部署蜜罐捕获目标网络内的攻击活动，提取威胁情报（如IOCs、攻击IP、恶意样本哈希），提升防御能力。
• 安全培训与教育：高校、培训机构可利用蜜罐模拟真实攻击场景，帮助学员理解网络攻击流程与防御机制。
• 红队/蓝队演练：在攻防演练中，红队可通过攻击蜜罐测试检测规则有效性，蓝队可通过蜜罐日志评估防御体系漏洞。

详细的使用方法和配置说明

前置依赖

• Docker Engine 20.10+
• Docker Compose 2.0+（如需编排部署）
• 宿主机需开放蜜罐模拟服务对应的端口（如80、21、445等，具体取决于配置的服务）。

Docker Run 命令示例

以下命令启动Dionaea蜜罐容器，模拟HTTP（80）、FTP（21）、SMB（445）服务，并将日志和恶意样本持久化至宿主机目录：

docker run -d \
  --name tpot-dionaea \
  --restart always \
  -p 80:80 \    # HTTP服务端口
  -p 21:21 \    # FTP服务端口
  -p 445:445 \  # SMB服务端口
  -v /opt/tpot-dionaea/logs:/var/log/dionaea \  # 攻击日志持久化
  -v /opt/tpot-dionaea/malware:/var/lib/dionaea/binaries \  # 恶意样本持久化
  -e SERVICES="http,ftp,smb" \  # 启用的服务列表（逗号分隔）
  -e LOG_LEVEL="info" \  # 日志级别（debug/info/warn/error）
  telekomsecurity/tpot-dionaea:latest

Docker Compose 配置示例

创建docker-compose.yml文件，定义蜜罐服务及日志存储配置：

version: '3.8'
services:
  dionaea:
    image: telekomsecurity/tpot-dionaea:latest
    container_name: tpot-dionaea
    restart: always
    ports:
      - "80:80"   # HTTP
      - "21:21"   # FTP
      - "445:445" # SMB
      - "3306:3306" # MySQL（如需模拟数据库服务）
    volumes:
      - ./logs:/var/log/dionaea
      - ./malware:/var/lib/dionaea/binaries
    environment:
      - SERVICES="http,ftp,smb,mysql"  # 启用多服务
      - LOG_FORMAT="json"  # 日志格式（json/plaintext）
      - MAX_SAMPLE_SIZE="10MB"  # 单个恶意样本最大存储大小
    networks:
      - tpot-network  # 自定义网络（可选，用于隔离蜜罐流量）

networks:
  tpot-network:
    driver: bridge

启动服务：

docker-compose up -d

环境变量配置

容器支持通过环境变量自定义配置，常用参数如下：

日志与样本查看

• 攻击日志：宿主机挂载目录/opt/tpot-dionaea/logs下，文件格式为dionaea.log（按日期滚动），包含攻击源IP、时间、协议、payload等信息。
• 恶意样本：宿主机挂载目录/opt/tpot-dionaea/malware下，样本按捕获时间戳命名，可通过 VirusTotal、Hybrid Analysis 等平台分析样本属性。

注意事项

1. 网络隔离：建议将蜜罐部署在独立网段（如DMZ），避免攻击者通过蜜罐渗透至内部网络。
2. 资源限制：通过--memory、--cpus参数限制容器资源（如--memory 1G --cpus 0.5），防止蜜罐被DDoS攻击耗尽主机资源。
3. 定期更新：定期拉取最新镜像（docker pull telekomsecurity/tpot-dionaea:latest），修复蜜罐自身漏洞。
4. 合规性：捕获的恶意样本需符合当地法律法规，禁止用于未授权攻击或传播。