DokumentaceNasazení

Honeypot nasazení

Nasazení Honeypot agenta

Balíček flowpro-honeypot nainstaluje agenta na server s T-Pot honeypotem. Agent čte události z lokálního Elasticsearch T-Potu, normalizuje je a poskytuje přes REST API (HTTPS, port 41874). FlowPro NG se periodicky dotazuje a zobrazuje data v modulu Honeypot.

Požadavky na server

OS: Ubuntu 24.04 LTS

RAM: minimálně 8 GB (doporučeno 16 GB+)

Disk: minimálně 40 GB

Přístup: root

Instalace T-Pot

Na cílovém serveru musí být nainstalovaný T-Pot (verze 24.04+). Pokud ještě není nainstalovaný:

bash

# T-Pot Standard installation (recommended)
# On a clean Ubuntu 24.04+ server
git clone https://github.com/telekom-security/tpotce
cd tpotce
sudo ./install.sh --type=standard

T-Pot Standard nasadí ~39 honeypot kontejnerů (Cowrie, Dionaea, Heralding, Mailoney a další). Instalace trvá ~10 minut. Po instalaci se server restartuje.

Instalace balíčku

Na serveru s T-Pot nainstalujte balíček z APT repozitáře FlowPro:

bash

curl -fsSL https://repo.net-service.io/flowpro/install.sh | bash
apt update
apt install -y flowpro-honeypot

Postinstalační skript automaticky vytvoří Python venv, nainstaluje závislosti, vygeneruje TLS certifikát (RSA-4096, 10 let) a náhodný API klíč. API klíč se zobrazí na konci instalace — uložte si jej.

Konfigurace

Upravte konfigurační soubor — především nastavte allowed_ips na IP adresu vašeho FlowPro NG serveru:

bash

nano /etc/flowpro-honeypot/config.yaml

yaml

server:
  port: 41874
  tls:
    cert: /opt/flowpro-honeypot/certs/server.crt
    key: /opt/flowpro-honeypot/certs/server.key

# API key — generated automatically during installation
api_key: "a1b2c3d4..."

# IP addresses allowed to connect (FlowPro NG server)
allowed_ips:
  - "<YOUR_FLOWPRO_IP>"

elasticsearch:
  url: "http://127.0.0.1:64298"
  index_pattern: "logstash-*"
  poll_interval: 30

buffer:
  path: /opt/flowpro-honeypot/data/buffer.db
  max_events: 500000

Parametr allowed_ips je kritický pro bezpečnost. Povolte pouze IP adresu FlowPro NG serveru. Bez omezení může k API přistupovat kdokoli.

Konfigurace firewallu

Povolte port 41874 pouze z IP adresy FlowPro NG serveru:

bash

# Allow API port from FlowPro NG server only
ufw allow from <FLOWPRO_IP> to any port 41874 proto tcp

# Verify
ufw status | grep 41874

Ověření

bash

# Service status
systemctl status flowpro-honeypot

# Health check
curl -sk https://127.0.0.1:41874/api/v1/health

# Logs
journalctl -u flowpro-honeypot -n 30 --no-pager

Health endpoint vrací stav agenta, připojení k T-Pot ES a počet událostí. Pokud je status "ok", agent je funkční.