T-Pot Heralding Docker镜像文档

镜像概述和主要用途

T-Pot Heralding Docker镜像是T-Pot（一体化多蜜罐平台）的核心组件之一。T-Pot整合多种蜜罐技术，提供全方位攻击捕获与分析能力，而Heralding专注于模拟常见网络服务（如SSH、Telnet、FTP等），引诱攻击者连接并记录其行为，为安全研究、威胁情报收集提供数据支持。

核心功能和特性

• 多服务模拟：支持模拟SSH、Telnet、FTP、HTTP等多种网络服务，覆盖主流攻击面。
• 攻击行为记录：详细记录攻击者的连接尝试、凭证（用户名/密码）、命令执行等行为，生成原始日志数据。
• T-Pot生态集成：与T-Pot平台其他组件（日志分析工具、可视化平台）无缝协同，实现攻击数据集中处理与展示。
• 可配置性：支持通过配置文件调整服务类型、端口、响应行为等参数，适应不同捕获场景需求。

使用场景和适用范围

• 安全研究：分析网络攻击趋势、新型攻击手段及攻击者行为模式。
• 威胁情报收集：捕获真实攻击数据，丰富企业威胁情报库，提升防御针对性。
• 防御有效性测试：评估网络边界或内部防御体系的漏洞与盲点。
• 安全培训：作为教学工具展示攻击过程，帮助理解攻击原理与防御机制。

使用方法和配置说明

前置条件

• 已安装Docker及Docker Compose（推荐通过T-Pot官方部署流程安装，确保组件兼容性）。
• 开放蜜罐服务所需端口（根据配置的模拟服务确定，如22/SSH、23/Telnet等）。

部署方式

T-Pot通常通过官方脚本或Docker Compose整体部署，Heralding作为组件自动启动。独立运行示例（非推荐，可能影响协同性）：

docker run -d \
  --name tpot-heralding \
  --network tpot_network \  # 加入T-Pot专用网络
  -v /path/to/tpot/config:/etc/tpot \  # 挂载配置目录
  -v /path/to/logs:/var/log/heralding \  # 挂载日志目录
  telekomsecurity/tpot-heralding  # 镜像名称以T-Pot官方为准

配置说明

配置通过T-Pot平台统一管理，配置文件路径通常为/etc/tpot/heralding.conf，主要配置项：

• services：启用的服务列表，如["ssh", "telnet", "ftp"]
• ports：服务监听端口，如{"ssh": 22, "telnet": 23}
• log_level：日志级别（DEBUG/INFO/WARNING/ERROR）
• response_delay：服务响应延迟（增强欺骗性）

日志与数据查看

攻击日志存储于T-Pot集中日志目录（通常/var/log/tpot/子目录），可通过T-Pot Web界面或直接查看日志文件分析。

注意事项

• 仅限授权环境部署，遵守法律法规。
• 建议按T-Pot官方文档完整部署，确保组件协同工作。