T-Pot Kibana Docker镜像文档

1. 镜像概述和主要用途

T-Pot Kibana Docker镜像是T-Pot - 一体化多蜜罐平台的核心组件之一。该镜像基于Kibana构建，专门用于对T-Pot蜜罐平台捕获的攻击流量、恶意代码、日志等安全事件数据进行可视化分析与集中管理，帮助安全人员高效洞察威胁态势。

2. 核心功能与特性

2.1 安全事件数据可视化

• 提供预配置的T-Pot专属仪表板，支持对蜜罐捕获的攻击IP、攻击类型、 payload特征、攻击频率等关键指标进行图表化展示（如柱状图、折线图、地图分布等）。
• 支持自定义可视化面板，满足个性化分析需求。

2.2 日志与事件分析

• 集成T-Pot蜜罐日志解析能力，支持对SSH、RDP、HTTP等多种协议的攻击日志进行结构化查询与分析。
• 提供全文检索功能，可快速定位特定攻击事件或IOC（Indicator of Compromise）。

2.3 时间序列数据分析

• 基于时间维度展示攻击趋势，支持按分钟、小时、天、月等粒度分析威胁活动规律。
• 结合Kibana Timelion工具，实现攻击数据的时间序列建模与预测。

2.4 与T-Pot生态深度集成

• 无缝对接T-Pot平台的Elasticsearch组件，自动同步蜜罐捕获的原始数据与结构化事件。
• 支持T-Pot告警规则联动，可将异常事件通过仪表板实时高亮展示。

3. 使用场景与适用范围

3.1 安全研究与威胁分析

• 安全研究人员通过可视化仪表板分析攻击手法、恶意IP分布、漏洞利用趋势，生成威胁情报。

3.2 企业安全态势监控

• 企业安全团队部署T-Pot蜜罐网络后，通过Kibana实时监控内部/外部网络面临的攻击类型与频率，评估安全防护效果。

3.3 安全运营中心（SOC）支持

• 作为SOC的辅助工具，帮助运营人员快速定位高风险攻击事件，缩短响应时间。

3.4 安全培训与教育

• 高校或培训机构用于展示真实攻击场景，帮助学员理解网络攻击模式与防御思路。

4. 使用方法与配置说明

4.1 前置条件

• 已部署T-Pot平台核心组件（含Elasticsearch服务，Kibana需与其通信以获取数据）。
• Docker环境已安装（推荐Docker 20.10+，Docker Compose 2.0+）。
• 开放Kibana服务端口（默认5601）及与Elasticsearch通信端口（默认9200）。

4.2 快速启动（docker run）

作为T-Pot平台组件，通常通过T-Pot官方部署脚本启动，若需独立调试，可使用以下命令：

docker run -d \
  --name tpot-kibana \
  --network tpot_network  # 需与T-Pot Elasticsearch在同一网络
  -p 5601:5601 \
  -e ELASTICSEARCH_HOSTS=[***] \  # 指向T-Pot Elasticsearch服务
  -e SERVER_HOST=0.0.0.0 \  # 允许外部访问
  -v /path/to/kibana/config:/usr/share/kibana/config \  # 挂载自定义配置文件（可选）
  -v tpot-kibana-data:/usr/share/kibana/data \  # 持久化Kibana数据（仪表板、索引模式等）
  telekomsecurity/tpot-kibana:latest

4.3 Docker Compose配置示例

推荐结合T-Pot平台使用Docker Compose管理，示例配置片段如下：

version: '3.8'
services:
  kibana:
    image: telekomsecurity/tpot-kibana:latest
    container_name: tpot-kibana
    restart: unless-stopped
    networks:
      - tpot_network
    ports:
      - "5601:5601"
    environment:
      - ELASTICSEARCH_HOSTS=[***]  # T-Pot Elasticsearch服务地址
      - SERVER_PORT=5601
      - SERVER_HOST=0.0.0.0
      - LOG_LEVEL=info  # 日志级别：debug/info/warn/error
    volumes:
      - kibana_config:/usr/share/kibana/config  # 自定义配置（如kibana.yml）
      - kibana_data:/usr/share/kibana/data  # 持久化数据
    depends_on:
      - elasticsearch  # 依赖Elasticsearch启动

volumes:
  kibana_config:
  kibana_data:

networks:
  tpot_network:
    external: true  # 引用T-Pot现有网络

4.4 核心配置参数说明

4.4.1 环境变量配置

4.4.2 配置文件自定义

通过挂载kibana.yml配置文件覆盖默认设置（挂载路径：/usr/share/kibana/config/kibana.yml），常用配置项：

# 连接Elasticsearch
elasticsearch.hosts: ["[***]"]
# 服务配置
server.port: 5601
server.host: "0.0.0.0"
# 索引模式配置（T-Pot默认索引前缀为`tpot-*`）
kibana.index: ".kibana"
# 时间字段配置（用于时间序列分析）
timefield: "@timestamp"

5. 注意事项

• 依赖Elasticsearch：Kibana无法独立运行，必须确保T-Pot Elasticsearch服务正常且网络可达，否则会提示“无法连接Elasticsearch”错误。
• 数据持久化：通过kibana_data卷持久化仪表板、索引模式等配置，避免容器重启后丢失自定义设置。
• 安全加固：生产环境需启用Elasticsearch/Kibana认证（如X-Pack或Basic Auth），并限制5601端口访问来源（仅允许授权IP访问）。
• 版本兼容性：需与T-Pot平台版本匹配（参考T-Pot官方文档的版本矩阵），避免因版本不兼容导致数据解析异常。