Security Center:Konfigurasi Cloud Honeypot

Prasyarat

Sebelum memulai, pastikan Anda telah:

• Mengaktifkan fitur cloud honeypot. Untuk informasi selengkapnya, lihat Beli fitur cloud honeypot.

• (Untuk server pusat data tanpa Alamat IP publik) Mengonfigurasi server proxy di pusat data Anda. Lihat Bangun server proxy di pusat data di bawah ini.

Bangun server proxy di pusat data

Lewati bagian ini jika server Anda memiliki Alamat IP publik.

Honeypot menggunakan koneksi HTTPS, sehingga Anda memerlukan reverse proxy HTTPS Lapisan 4 (bukan proxy Lapisan 7). NGINX 1.9.0 mendukung hal ini melalui parameter --with-stream.

Persyaratan: GNU Compiler Collection (GCC) dan zlib-devel harus diinstal pada server proxy.

Langkah 1: Unduh dan kompilasi NGINX

1. Unduh NGINX 1.9.0.

2. Kompilasi dan instal NGINX dengan dukungan modul stream:

   tar -xvf nginx-1.9.0.tar.gz
   cd nginx-1.9.0
   ./configure --without-http_rewrite_module --with-stream
   make
   make install

Langkah 2: Perbarui konfigurasi NGINX

Edit file /usr/local/nginx/conf/nginx.conf dan ganti isinya dengan berikut ini. Ganti <management-node-ip> dengan alamat IP yang ditampilkan pada kolom IP address of management node di tab Management Node (navigasi ke Risk Governance > Cloud Honeypot > Configuration Management di Konsol Security Center).

#user nobody;
worker_processes auto;
error_log logs/error.log;

#error_log logs/error.log notice;
error_log logs/error.log info;
pid logs/nginx.pid;

events {
    use epoll;
    worker_connections 60000;
}

stream {
        server {
            listen 1337;
            proxy_timeout 10m;
            proxy_connect_timeout 60s;
            proxy_pass proxy1337;
        }
        upstream proxy1337 {
           server <management-node-ip>:1337;
        }

        server {
            listen 1338;
            proxy_timeout 10m;
            proxy_connect_timeout 60s;
            proxy_pass proxy1338;
        }
        upstream proxy1338 {
          server <management-node-ip>:1338;
        }
}

Langkah 3: Jalankan NGINX

/usr/local/nginx/sbin/nginx

Cara kerja

Pengaturan ini melibatkan tiga komponen yang bekerja bersama:

• Management node — pengendali pusat. Honeypot berjalan pada management node, dan probe meneruskan traffic yang ditangkap ke node tersebut.

• Honeypot — aplikasi umpan (server web, database, dll.) yang menjebak penyerang.

• Probe — pengalih traffic yang diterapkan pada host atau VPC. Probe host mengintersepsi traffic pada port tertentu. Probe VPC mengintersepsi traffic yang ditujukan ke alamat IP internal yang tidak ada dan meneruskannya secara transparan ke honeypot.

Lakukan penerapan dalam urutan berikut: management node → honeypot (dan templat opsional) → probe.

Langkah 1: Buat management node

1. Masuk ke Konsol Security Center. Di bilah navigasi atas, pilih wilayah aset: China atau Outside China.Masuk ke Konsol Security Center.

2. Di panel navigasi kiri, pilih Risk Governance > Cloud Honeypot > Configuration Management.

3. Di tab Management Node, klik Create Management Node.

4. Pada panel yang muncul, konfigurasikan parameter berikut dan klik OK.

Setelah pembuatan, status management node menunjukkan Preparing selama sekitar 5 menit, lalu berubah menjadi Normal. Tunggu hingga statusnya Normal sebelum melanjutkan.

Langkah 2: (Opsional) Buat templat honeypot

Templat honeypot memungkinkan Anda mengonfigurasi atribut khusus terlebih dahulu—seperti judul website, gambar latar belakang office automation (OA), dan data halaman web—agar honeypot lebih menyerupai aplikasi nyata Anda. Buat templat jika Anda ingin menggunakan konfigurasi khusus yang sama di beberapa honeypot.

1. Di tab Honeypot Template pada halaman Configuration Management, pilih jenis honeypot di sebelah kiri dan klik Create Template.

2. Pada panel Create Template, konfigurasikan parameter dan klik OK.

Parameter yang tersedia bervariasi tergantung jenis honeypot. Untuk opsi kustomisasi tambahan, kirim tiket untuk menghubungi dukungan teknis.

Langkah 3: Buat honeypot

Honeypot adalah instans umpan individual. Sistem menyediakan image honeypot bawaan untuk setiap jenis yang didukung.

1. Di tab Honeypot Management pada halaman Configuration Management, klik Create Honeypot.

2. Pada panel Create Honeypot, konfigurasikan parameter berikut dan klik OK.

Langkah 4: Buat probe

Probe mengalihkan traffic tidak biasa dari host atau jaringan ke honeypot. Terdapat dua jenis probe:

• Host probe — menginstal client pada host dan meneruskan traffic pada port tertentu ke kluster honeypot.

• VPC probe — ketika alamat IP (IP_A) di VPC mencoba mengakses alamat IP internal yang tidak ada (IP_B), probe VPC mengintersepsi traffic tersebut dan meneruskan IP_A secara transparan ke honeypot (IP_C).

1. Di tab Probe Management pada halaman Configuration Management, klik Add Probe, lalu klik Host Probe atau VPC Probe.

2. Konfigurasikan parameter sesuai jenis probe Anda dan klik OK.

Parameter Probe Host

Parameter probe VPC

Langkah selanjutnya

Setelah probe diterapkan, honeypot mengalihkan serangan dari server nyata Anda. Penyerang berinteraksi dengan umpan tersebut, dan Security Center mencatat aktivitas mereka serta menghasilkan alert.

Untuk meninjau dan menangani alert tersebut, lihat Lihat dan tangani event alert.