T-Pot Redis Docker镜像文档

1. 镜像概述和主要用途

T-Pot Redis是T-Pot - The All In One Multi Honeypot Platform的组成部分，专为T-Pot多蜜罐集成平台设计的Redis服务组件。该镜像模拟真实Redis服务环境，作为蜜罐系统的核心组件之一，用于吸引、捕获并记录针对Redis服务的网络攻击活动，支持网络安全威胁研究与攻击行为分析。

2. 核心功能和特性

2.1 核心功能

• 模拟真实Redis服务行为，包括协议响应、数据结构支持及基础命令处理，吸引攻击者交互。
• 记录针对Redis服务的攻击活动，包括连接尝试、命令执行、未授权访问等行为日志。
• 与T-Pot平台其他蜜罐组件联动，将攻击数据整合至集中化日志与分析系统。

2.2 主要特性

• 高仿真度：复现主流Redis服务特性，支持标准Redis协议，确保攻击行为真实性。
• 攻击数据捕获：详细记录攻击者的IP、端口、执行命令、时间戳等关键信息。
• 轻量级部署：基于Redis原生高性能特性，资源占用低，适合蜜罐环境长期运行。
• 可扩展性：支持通过配置文件或环境变量调整服务参数，适配不同攻击场景模拟需求。

3. 使用场景和适用范围

3.1 典型使用场景

• 网络威胁研究：部署于蜜罐网络中，吸引并收集针对Redis服务的攻击样本（如恶意脚本、未授权访问利用工具等）。
• 攻击模式分析：记录攻击者针对Redis的战术、技术与程序（TTPs），例如通过config set写入后门、利用主从复制漏洞等。
• 安全防御演练：模拟Redis服务被攻击场景，测试企业内部威胁检测与响应能力。

3.2 适用范围

• 网络安全研究机构、高校安全实验室及威胁情报团队。
• 企业安全运营中心（SOC）用于增强内部网络威胁感知能力。
• 蜜罐平台搭建者，需构建高交互性Redis服务模拟环境。

4. 使用方法和配置说明

4.1 前置要求

• 已安装Docker Engine（20.10+）及Docker Compose。
• 已部署T-Pot平台基础环境（参考T-Pot官方文档）。

4.2 核心配置参数

T-Pot Redis镜像通过环境变量或配置文件调整服务行为，常用参数如下：

4.3 部署步骤

4.3.1 独立部署（docker run）

docker run -d \
  --name tpot-redis \
  -p 6379:6379 \  # 映射端口至主机，模拟公网暴露
  -e REDIS_PASSWORD="weakpass123" \  # 模拟弱口令环境
  -e PERSISTENCE_MODE="rdb" \
  -v tpot-redis-data:/data \  # 挂载数据卷持久化攻击记录
  --network tpot-net \  # 需加入T-Pot平台专用网络
  telekomsecurity/tpot-redis:latest

4.3.2 集成T-Pot平台（docker-compose）

在T-Pot平台的docker-compose.yml中，Redis服务通常作为核心组件之一定义，示例片段如下：

version: "3.8"
services:
  redis:
    image: telekomsecurity/tpot-redis:latest
    container_name: tpot-redis
    ports:
      - "6379:6379/tcp"
    environment:
      - REDIS_PORT=6379
      - REDIS_PASSWORD=weakpass123
      - PERSISTENCE_MODE=rdb
      - LOG_OUTPUT=stdout
    volumes:
      - redis_data:/data  # 持久化攻击数据
    networks:
      - tpot  # 与T-Pot其他组件（如ELK、Suricata）共享网络
    restart: unless-stopped

networks:
  tpot:
    external: true  # 需提前创建T-Pot专用网络

volumes:
  redis_data:

4.4 数据与日志管理

• 数据持久化：攻击数据默认存储于容器/data目录（通过RDB/AOF文件），建议通过卷挂载（如redis_data卷）持久化至主机，防止容器重启后数据丢失。
• 日志收集：日志默认输出至标准输出（stdout），T-Pot平台通常通过Fluentd或Filebeat将其汇总至ELK栈（Elasticsearch、Logstash、Kibana），用于攻击行为可视化分析。

5. 注意事项

• 安全风险：该镜像为蜜罐组件，禁止部署在生产环境，避免因模拟漏洞被攻击者利用渗透真实网络。
• 资源监控：长期运行需监控容器CPU/内存占用，防止攻击者通过资源耗尽攻击（DoS）影响蜜罐稳定性。
• 版本更新：建议定期同步T-Pot官方镜像更新，以获取最新攻击场景模拟能力及安全修复。

6. 参考链接

• T-Pot官方GitHub仓库
• Redis官方文档
• T-Pot Docker镜像仓库