T-Pot p0f 镜像文档

镜像概述

该Docker镜像是T-Pot - The All In One Multi Honeypot Platform（一站式多蜜罐平台）的组成部分。p0f是一款被动操作系统指纹识别工具，通过分析网络流量中的TCP/IP数据包特征，实现对远程主机操作系统类型、网络设备信息的识别，无需主动发送探测请求。

核心功能与特性

• 被动指纹识别：通过分析网络流量中的数据包特征（如TCP选项、TTL值、窗口大小等）识别远程主机操作系统类型
• 无主动探测：不发送任何主动探测数据包，降低被目标检测的风险，适合隐蔽式网络监控
• 多协议支持：支持TCP、UDP等多种协议的流量分析
• 轻量高效：资源占用低，可长时间稳定运行于蜜罐环境
• T-Pot生态集成：无缝对接T-Pot平台的日志收集、分析和可视化系统

使用场景与适用范围

• 网络安全监控：监控网络中主机的操作系统分布，识别异常设备
• 蜜罐环境部署：作为蜜罐体系的一部分，收集攻击者的操作系统信息
• 威胁情报收集：为安全分析提供攻击者主机的指纹特征数据
• 网络资产普查：被动识别网络中的设备类型，辅助资产 inventory 管理

使用方法与配置说明

部署前提

• 已安装Docker和Docker Compose
• 已部署T-Pot平台基础环境（推荐通过官方脚本部署完整T-Pot生态）

基本部署方式

p0f镜像通常作为T-Pot平台的组件自动部署，无需单独配置。完整T-Pot部署流程如下：

# 克隆T-Pot仓库
git clone [***]
cd tpotce

# 运行官方安装脚本（根据提示完成配置）
sudo ./install.sh

独立运行（高级用户）

如需独立测试，可通过以下命令启动（需手动映射网络接口和日志目录）：

docker run -d \
  --name tpot-p0f \
  --network tpot_network \  # 接入T-Pot专用网络
  --cap-add NET_RAW \       # 需原始网络访问权限
  -v /path/to/logs:/var/log/p0f \  # 日志持久化
  tpot/p0f

配置说明

p0f的核心配置通过T-Pot平台的统一配置文件管理，主要配置项包括：

• 监听网络接口（通常由T-Pot自动配置为蜜罐对外接口）
• 日志输出格式（默认与T-Pot的ELK Stack兼容）
• 指纹数据库更新频率（通过T-Pot平台定时任务维护）

注意事项

• 运行时需授予容器NET_RAW权限以捕获网络流量
• 日志数据默认集成到T-Pot的集中日志系统（如Elasticsearch），可通过Kibana查看分析结果
• 作为被动分析工具，其识别准确率受网络流量质量影响，建议结合其他指纹识别工具使用
• 需定期通过T-Pot平台更新p0f的指纹数据库以提升识别准确性

参考资料

• T-Pot官方文档
• p0f官方项目