dustinupdyke/ghosts

GHOSTS 镜像技术文档

一、镜像概述和主要用途

GHOSTS 是一个面向网络模拟、训练与演练的真实用户行为模拟框架。该镜像基于 https://github.com/cmu-sei/GHOSTS 构建，核心功能是模拟人类用户在计算机上的各类操作行为，包括但不限于文档创建、网站浏览、文件下载等，并支持在 Windows 和 Linux 多版本操作系统中驱动多种主流应用程序。其主要用途是通过复现预期用户行为（无论是常规管理员操作还是模拟网络对抗行为），为网络安全演练、用户行为分析、应用环境测试等场景提供贴近真实的模拟支撑。

二、核心功能和特性

2.1 核心功能

• 真实用户行为模拟：复现人类在计算机上的日常操作，如文档编辑、网页浏览、文件传输、应用交互等。
• 多应用支持：驱动各类主流应用程序（具体应用类型可参考项目官方文档），覆盖办公、浏览器、通信等多场景工具。
• 跨平台兼容性：支持在 Windows 和 Linux 多种操作系统版本中运行，适配不同环境需求。

2.2 关键特性

• 行为可配置：支持通过配置文件定义用户行为序列，灵活调整操作频率、目标对象、交互逻辑等参数。
• 操作多样性：涵盖键盘输入、鼠标操作、网络请求等多维度用户行为，模拟效果贴近真实环境。
• 轻量级部署：通过 Docker 镜像封装，简化环境依赖管理，支持快速部署和扩展。

三、使用场景和适用范围

3.1 典型使用场景

• 网络安全演练：模拟***方或防御方用户行为，构建贴近实战的演练环境，测试安全防护体系有效性。
• 用户行为分析：生成标准化用户操作数据，用于分析系统负载、应用性能或异常行为检测模型训练。
• 应用测试环境：在测试阶段模拟真实用户操作，验证应用在高频或复杂用户交互场景下的稳定性。
• 教学与培训：为网络安全培训提供可控的模拟环境，帮助学员熟悉真实网络环境中的用户行为特征。

3.2 适用范围

• 企业 IT 运维与安全团队（网络安全演练、防御策略验证）；
• 网络安全培训机构（实操教学环境构建）；
• 应用开发与测试团队（用户场景化测试）；
• 科研机构（用户行为模式研究、网络安全模型验证）。

四、详细使用方法和配置说明

4.1 Docker 快速部署

4.1.1 基础运行命令（docker run）

bash
docker run -d \
  --name ghosts-simulator \
  -v /host/path/to/config:/app/config \  # 挂载本地配置目录（含用户行为配置文件）
  -v /host/path/to/data:/app/data \      # 挂载数据目录（存储模拟生成的文档、日志等）
  -e LOG_LEVEL=info \                    # 设置日志级别（可选：debug/info/warn/error）
  -e OS_TARGET=linux \                   # 指定目标模拟操作系统（可选：linux/windows，默认linux）
  cmusei/ghosts:latest                   # 镜像名称（请以官方最新镜像标签为准）

4.1.2 Docker Compose 配置示例

yaml
version: '3'
services:
  ghosts:
    image: cmusei/ghosts:latest
    container_name: ghosts-simulator
    restart: unless-stopped
    volumes:
      - ./config:/app/config  # 本地配置目录映射（存放behavior.json等行为定义文件）
      - ./data:/app/data      # 数据持久化目录（生成的文件、日志输出）
      - ./logs:/app/logs      # 日志目录映射（可选，便于本地查看日志）
    environment:
      - LOG_LEVEL=info
      - OS_TARGET=linux
      - CONFIG_REFRESH_INTERVAL=300  # 配置文件自动刷新间隔（秒，默认300）
    # 如需Web管理界面，可添加端口映射（示例）：
    # ports:
    #   - "8080:8080"  # 假设Web界面运行在容器内8080端口

4.2 核心配置说明

4.2.1 挂载卷（Volumes）

4.2.2 环境变量（Environment Variables）

4.2.3 行为配置文件（behavior.json）

用户行为通过 config 目录下的 behavior.json 文件定义，核心配置项示例（详细语法参考 https://github.com/cmu-sei/GHOSTS%EF%BC%89%EF%BC%9A

json
{
  "timeline": [
    {
      "start_time": "09:00:00",
      "end_time": "17:00:00",
      "activities": [
        {
          "type": "browser",  # 行为类型（浏览器操作）
          "targets": ["https://example.com", "https://github.com"],  # 目标网站
          "duration": 300,    # 单次操作持续时间（秒）
          "frequency": 5      # 每小时执行次数
        },
        {
          "type": "document", # 行为类型（文档创建）
          "template": "report",  # 文档模板
          "save_path": "/app/data/docs"  # 保存路径（需对应data挂载卷）
        }
      ]
    }
  ]
}

4.3 运行状态检查

• 查看容器日志：docker logs -f ghosts-simulator
• 验证数据生成：检查本地 data 目录是否有模拟文件（如文档、下载内容）
• 配置更新：修改 config 目录下的配置文件后，容器将在 CONFIG_REFRESH_INTERVAL 间隔后自动应用新配置

五、注意事项

1. 镜像需以足够权限运行，尤其是在模拟文件系统操作或跨应用交互时（可根据需求添加 --privileged 参数，谨慎使用）。
2. 目标操作系统（OS_TARGET）需与宿主机或目标模拟环境匹配，否则可能导致应用驱动异常。
3. 高并发模拟场景下需评估宿主机资源（CPU、内存、网络带宽），避免性能瓶颈影响模拟效果。
4. 详细配置及行为类型请参考 https://github.com/cmu-sei/GHOSTS 获取最新说明。