T-Pot Tanner Docker镜像文档

一、镜像概述和主要用途

T-Pot Tanner 是 T-Pot - The All In One Multi Honeypot Platform 的核心组件之一，是一款轻量级低交互蜜罐，主要用于模拟常见网络服务（如Web应用、数据库等），吸引并记录潜在攻击者的探测与攻击行为，为网络安全监控、威胁情报收集和攻击模式分析提供数据支持。作为T-Pot平台的关键模块，Tanner通常与日志分析工具（如ELK Stack）、入侵检测系统（如Suricata）协同工作，实现攻击数据的集中收集、存储与可视化分析。

二、核心功能和特性

1. 多协议模拟
   支持模拟多种常见网络服务协议，包括HTTP/HTTPS、MySQL、PostgreSQL、FTP等，覆盖主流攻击面。

2. 低交互特性
   采用轻量级服务模拟技术，在最小化资源占用的同时，提供足够逼真的服务响应以吸引攻击者，降低被识别为蜜罐的概率。

3. 攻击行为记录
   详细记录攻击者的IP地址、端口扫描、请求内容、 payload特征、认证尝试等行为数据，并生成标准化日志。

4. T-Pot生态集成
   原生支持与T-Pot平台的其他组件（如Logstash、Kibana、InfluxDB）对接，实现日志自动汇总、检索与可视化分析。

5. 可配置性
   通过环境变量或配置文件灵活调整监听端口、服务模拟类型、日志级别等参数，适配不同监控场景需求。

三、使用场景和适用范围

适用场景

• 企业网络边界监控：部署于DMZ区域，监控针对Web服务、数据库的外部攻击尝试。
• 威胁情报收集：记录攻击者IP、攻击工具、利用的漏洞（CVE）等情报，用于威胁模型构建。
• 安全研究与教育：模拟真实攻击场景，用于安全培训、攻击技术分析。
• 红蓝对抗演练：作为靶场环境组件，评估防御体系对攻击的检测与响应能力。

适用范围

• 网络安全运营团队（SOC）
• 威胁情报分析师
• 高校/研究机构安全实验室
• 企业安全测试与演练场景

四、使用方法和配置说明

4.1 环境要求

• Docker Engine ≥ 20.10.x
• Docker Compose ≥ 2.0.x（如需集成T-Pot平台）
• 至少1 CPU核心、1GB内存（单实例），建议2GB+内存以保障日志处理性能。

4.2 独立部署（Docker Run）

基础运行命令

docker run -d \
  --name tpot-tanner \
  -p 80:8080 \  # 映射HTTP服务端口（宿主机端口:容器内端口）
  -p 3306:3306 \  # 映射MySQL服务端口（按需开启）
  -v /path/to/tanner/logs:/var/log/tanner \  # 挂载日志目录（宿主机路径需提前创建）
  -e TANNER_LOG_LEVEL=info \  # 日志级别：debug/info/warn/error
  -e TANNER_SERVICE_TYPE=web,mysql \  # 启用的服务类型（逗号分隔，支持web/mysql/ftp）
  telekomsecurity/tpot-tanner:latest

参数说明

• -p <host-port>:<container-port>：端口映射，需根据启用的服务类型开放对应端口（如HTTP默认8080、MySQL默认3306）。
• -v <host-path>:<container-path>：挂载宿主机目录用于持久化日志（推荐，避免容器删除后日志丢失）。
• -e <ENV_KEY>=<VALUE>：通过环境变量配置服务参数（详见4.4节环境变量列表）。

4.3 T-Pot平台集成部署（Docker Compose）

作为T-Pot平台的一部分，Tanner通常与ELK Stack（日志分析）、Cowrie（SSH蜜罐）等组件协同运行。以下为简化版docker-compose.yml示例（完整配置需参考T-Pot官方文档）：

version: "3.8"
services:
  tanner:
    image: telekomsecurity/tpot-tanner:latest
    container_name: tpot-tanner
    restart: unless-stopped
    ports:
      - "80:8080"
      - "3306:3306"
    volumes:
      - tanner_logs:/var/log/tanner
      - tanner_config:/etc/tanner  # 挂载配置文件目录（如需自定义配置）
    environment:
      - TANNER_LOG_LEVEL=info
      - TANNER_SERVICE_TYPE=web,mysql
      - TANNER_ELK_HOST=elk:9200  # ELK Stack中Elasticsearch地址（T-Pot内部服务名）
    depends_on:
      - elk  # 依赖ELK服务启动（需在compose文件中定义elk服务）

  # 其他T-Pot组件（示例：ELK Stack）
  elk:
    image: docker.elastic.co/elasticsearch/elasticsearch:8.10.4
    container_name: tpot-elk
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=false
    volumes:
      - elk_data:/usr/share/elasticsearch/data

volumes:
  tanner_logs:
  tanner_config:
  elk_data:

4.4 配置参数说明（环境变量）

4.5 日志与数据持久化

Tanner默认将日志输出至容器内/var/log/tanner目录，包含：

• access.log：服务访问日志（源IP、请求时间、请求内容等）
• error.log：错误日志（服务启动失败、配置错误等）

建议通过-v参数挂载宿主机目录，避免容器删除后日志丢失：

mkdir -p /data/tpot/tanner/logs  # 宿主机提前创建目录
docker run ... -v /data/tpot/tanner/logs:/var/log/tanner ...

五、注意事项

1. 端口冲突：部署前需确保宿主机端口未被其他服务占用（如80、3306端口），可通过netstat -tuln检查。
2. 安全加固：生产环境中建议限制容器网络访问权限（如通过Docker Network隔离），避免蜜罐被用作跳板。
3. 日志分析：独立部署时需手动配置日志收集工具（如Filebeat），或直接集成T-Pot平台以利用其内置的ELK Stack。
4. 版本更新：通过docker pull telekomsecurity/tpot-tanner:latest获取最新镜像，更新前建议备份配置与日志。

六、参考链接

• T-Pot官方文档
• Tanner GitHub仓库（核心代码）
• Docker Hub镜像地址