T-Pot *** Map Docker镜像文档

1. 镜像概述和主要用途

T-Pot *** Map 是 T-Pot - 一体化多蜜罐平台 的组成部分。该镜像提供攻击数据可视化功能，通过地图界面实时展示针对T-Pot蜜罐系统的网络攻击来源、类型及分布情况，帮助安全人员直观监控和分析网络威胁活动。

2. 核心功能和特性

2.1 核心功能

• 攻击数据可视化：将蜜罐捕获的攻击事件以地理分布图形式呈现
• 实时监控：动态更新攻击来源位置、时间及攻击类型
• 攻击详情展示：支持点击地图节点查看具体攻击参数（如IP、端口、协议等）

2.2 主要特性

• 实时数据同步：与T-Pot平台核心组件联动，自动同步攻击事件数据
• 交互式地图界面：支持缩放、平移及区域筛选操作
• 攻击类型分类：按攻击方法（如SSH暴力破解、SQL注入等）对事件进行颜色标注
• 历史数据回溯：支持查询指定时间范围内的攻击记录

3. 使用场景和适用范围

3.1 典型使用场景

• 网络安全监控中心：实时展示组织网络面临的外部攻击态势
• 安全研究与分析：辅助安全研究员追踪全球攻击趋势及恶意IP分布
• 教学与演示：在网络安全培训中直观展示蜜罐捕获的攻击行为

3.2 适用范围

• 已部署T-Pot蜜罐平台的环境
• 需要可视化网络攻击数据的安全运营团队
• 网络安全研究机构或教育单位

4. 使用方法和配置说明

4.1 前置条件

• 已安装Docker Engine（20.10+）
• 已部署T-Pot核心平台并正常运行
• 确保T-Pot数据库服务（如Elasticsearch）可被容器访问

4.2 Docker Run 部署示例

docker run -d \
  --name tpot-***-map \
  --network tpot_network \  # 需与T-Pot主网络一致
  -p 8080:80 \             # 映射Web界面端口（主机端口:容器端口）
  -v /path/to/tpot/data:/data \  # 挂载T-Pot数据目录（可选，用于本地缓存）
  -e TPOT_DB_HOST=elasticsearch \  # T-Pot数据库主机地址
  -e TPOT_DB_PORT=9200 \           # T-Pot数据库端口
  -e REFRESH_INTERVAL=30 \         # 数据刷新间隔（秒，默认30）
  tpot/***-map:latest

4.3 Docker Compose 配置示例

在T-Pot平台的docker-compose.yml中添加以下服务定义：

version: '3.8'
services:
  ***-map:
    image: tpot/***-map:latest
    container_name: tpot-***-map
    restart: always
    networks:
      - tpot_network
    ports:
      - "8080:80"  # Web访问端口
    volumes:
      - tpot_data:/data  # 共享T-Pot数据卷
    environment:
      - TPOT_DB_HOST=elasticsearch  # 关联T-Pot的Elasticsearch服务
      - TPOT_DB_PORT=9200
      - REFRESH_INTERVAL=30  # 数据刷新间隔（秒）
      - LOG_LEVEL=info  # 日志级别：debug/info/warn/error

networks:
  tpot_network:
    external: true  # 引用T-Pot主网络

volumes:
  tpot_data:
    external: true  # 引用T-Pot数据卷

4.4 访问方式

部署完成后，通过浏览器访问 http://<主机IP>:8080 即可打开*** Map界面。

5. 配置参数说明

5.1 端口映射

5.2 环境变量

5.3 数据卷挂载

6. 注意事项

• 该镜像需与T-Pot平台核心组件（如蜜罐实例、数据库）协同工作，单独部署无法正常运行
• 确保主机防火墙开放映射的Web端口（如8080）
• 首次启动时可能需要几分钟同步初始攻击数据，地图界面才会显示内容
• 高攻击量场景下建议增大REFRESH_INTERVAL值以减少数据库负载

7. 参考链接

• T-Pot 官方仓库
• T-Pot 部署文档