SMTP 허니팟이 알려진 스팸 IP에 연결된 포트 25에서 패킷을받지 못했습니다.

Question

저는 Shiva라는 Python 기반 SMTP 모의 오픈 릴레이 도구와 함께 Ubuntu에서 AWS EC2 인스턴스를 실행하고 있습니다. 요약하면 기본적으로 가짜 오픈 릴레이 서버를 실행하고 있으므로 스팸/악성 코드 샘플을 수집 할 수 있습니다. 모든 것이 올바르게 구성되어 있고 외부 소스에서 포트 25를 통해 telnetting하여 성공적으로 테스트했습니다. 내 EC2 인스턴스 내에서 메시지 전송 에이전트 (exim4)가 기록/전송 한 메시지뿐만 아니라 포트 25에 대한 성공적인 연결을 확인한 다음이 허니팟 설정에 대해 원하는대로 로컬 mysql db로 리디렉션되고 구문 분석됩니다. 모든 모양이 제대로 작동하고 있습니다.

그러나 3 일 동안 내 테스트 메시지 외에 하나의 메시지를받지 못했습니다. (여러 IP 및 오픈 릴레이 테스팅 툴을 통한 테스트 성공). catch는 알려진 스패머/봇넷 IP가 연결되어있는 것을 볼 수 있지만 아무 것도 보내지 않습니다. IPTRAF의 아래 스크린 샷은 세 번째와 네 번째 라인의 예제입니다.

Connections on SMTP Honeypot

54.172.131는 [.] (220)은 공지 된 스팸 소스이다. 다섯 번째 줄과 여섯 번째 줄은 텔넷을 통한 성공적인 테스트 연결입니다. 보시다시피 스팸 IP는 포트 25를 소스 포트로 사용하지만 146.185.x.x의 테스트 연결에는 dest 포트 25가 있습니다. 스팸 IP가 무작위 소스 포트를 사용해서는 안되며 내 테스트에서 dest처럼 25를 사용해야합니까? 모든 통찰력이나 방향은 높이 평가됩니다. 내가 가지고있는 유일한 단점은 스팸/봇넷 IP 연결이 아웃 바운드 SMTP 트래픽에 Amazon의 스로틀로 인해 AWS 주소 공간에서 어떤 것도 통해 릴레이하려고하지 않으며 IPTRAF 내에서 볼 수있는 연결이 null로 플래그 된 포트 스캐닝이라는 것입니다 패킷.

구성 고려

장소

을에 EC2 보안 그룹 내에서 인바운드 및 아웃 바운드 포트를

다른 방화벽을 0.0.0.0/0 25 개 연결을 허용하지 원하는대로 모두의 iptables 규칙 플러시

• exim4를 MTA로 사용
• 허니팟의 IP 주소가 AWS 주소 공간에 있음

Answer 1

여러 가지 이유가 있습니다. 이 허니팟에 대한 IP 주소가 DNS 서버의 MX 레코드에 매핑되어 있지 않으면 맹목적으로 IP 주소를 검색하지 않는 한 봇은 해당 허니팟에 대해 알지 못합니다. 봇의 관점에서 볼 때 MX 레코드를 통해 잘못 구성된 SMTP 서버를 찾는 것이 훨씬 쉽습니다.

봇은 원하는 모든 원본 포트를 사용할 수 있습니다. 보통 관리자 권한이 있습니다. 그러나 샘플은 너무 작아 무의미합니다.

다음으로 TCP 포트 25는 고대라고 생각하십시오. 대부분의 SMTP 서버는 현재이 포트에서 응답하지 않습니다. 그러나 이전 SMTP 서버는 모든 일반적인 SMTP 포트를 지원하십시오.

허니팟을 제공하여 실제 해커/봇을 잡으려면 잘 알려진 실제 도메인 이름에 연결된 실제 이메일 서버처럼 보이게해야합니다. 이 도메인 이름을 사용하여 몇 개의 전자 메일 주소를 만들고 수십 (또는 그 이상)의 "의심스러운"전자 메일 목록 (예 : 신용도가 낮은 사람들을위한 신용 카드, 포르노 웹 사이트 등)을 구독하십시오. 당신은 몇 주 안에 압도 될 것입니다.

해커가 당신을 쉽게 찾을 수 있다고 기대하지 마십시오. 일단 그들이 그들이 땅에 서버를 파운드 것입니다. 서버를 해킹하고 스팸 메일, DOS 등을 보내려는 수백만 건의 시도가있을 것입니다.그들이 통제하고있는 컴퓨터에서.

힌트 : 시도 할 때 오류를 반환하지 마십시오. 항상 긍정적 인 대답을 돌려주십시오. 다음은 나쁜 놈들이 서로 목록을 교환 한 후 서버를 때리는 원격 제어 로봇의 방대한 군대가 될 것입니다.