SMTPハニーポットが既知のスパムIPに接続されたポート25からパケットを受信しない

Question

私は、Shivaと呼ばれるPythonベースのSMTP模擬オープンリレーツールと一緒にUbuntuでAWS EC2インスタンスを実行しています。一言で言えば、私は基本的に偽のオープンリレーサーバーを実行しているので、それを使ってスパム/マルウェアサンプルを収集することができます。一見正しく設定されており、外部ソースからポート25経由でTelnetでテストしてみました。私のEC2インスタンス内では、メッセージ転送エージェント（exim4）によってログされ/転送されたメッセージだけでなく、ポート25への接続が成功したことがわかり、このハニーポットの設定に応じてローカルのmysql dbにリダイレクトおよび解析されます。すべて正常に動作するように見えます。

しかし、私は完全な3日後に私自身のテストメッセージのほかに単一のメッセージを受け取っていません。 （複数のIPからのテストとオープンリレーテストツールによるテストが成功しました）。キャッチは、私が知っているスパマー/ボットネットIPが接続されているのを見ることができますが、何も送信しません。 IPTRAFの下のスクリーンショットは、3行目と4行目の例を示しています。

Connections on SMTP Honeypot

54.172.131 [。] 220は、既知のスパムソースです。 5行目と6行目はtelnetによる私の成功したテスト接続からのものです。ご覧のように、スパムIPはポート25を送信元ポートとして使用していますが、146.185.x.xからのテスト接続には宛先ポートとして25があります。私のテストでスパムIPが無作為化されたソースポートと25をdestとして使用するべきではありませんか？どんな洞察力や方向性にも感謝します。私が持っている唯一の愚直さは、スパム/ボットネットIP接続が、Amazonの送信SMTPトラフィックのスロットルのためにAWSアドレス空間内の何かを中継することを考えていないことと、IPTRAF内で見られる接続が、パケット。

設定上の考慮事項希望

可、インバウンドとアウトバウンドの両方のポートとして

• フラッシュさ、すべてのiptablesのルールEC2のセキュリティグループ内の0.0.0.0/0への25個の接続
• 場所ではありません他のファイアウォール
• exim4をMTAとして使用
• ハニーポットのIPがAWSアドレススペース内にある

Answer 1

多くの理由があります。このハニーポットのIPアドレスがDNSサーバーのMXレコードにマップされていない限り、IPアドレスを盲目的にスキャンしない限り、ボットはそのハローポットを認識しません。ボットの観点からは、MXレコードを使って間違って設定されたSMTPサーバーを探すほうがはるかに簡単です。

ボットは、任意の送信元ポートを使用できます。彼らは通常、管理者特権を持っています。しかし、サンプルは無意味であるほど小さいです。

次に、TCPポート25が古くなっていると考えます。ほとんどのSMTPサーバーは、今日そのポートで応答しません。ただし、古いSMTPサーバーは動作しません。すべての一般的なSMTPポートをサポートします。

本当のハッカー/ボットを捕まえるためにハニーポットを提供する場合は、よく知られている実際のドメイン名に添付された実際のメールサーバーのようにする必要があります。このドメイン名を使用していくつかの電子メールアドレスを作成し、数十（またはそれ以上）の「疑わしい」電子メールリスト（例：信用不良者向けのクレジットカード、ポルノWebサイトなど）に登録します。あなたは数週間で圧倒されるでしょう。

ハッカーがあなたを見つけることを期待しないで、あなたが簡単に見つけられるようにします。彼らがいたら彼らはあなたのサーバーを地面に叩き込みます。サーバーをハッキングしたり、スパムメールやDOSなどを送信しようとする何百万もの試みがあります。彼らがコントロールしているコンピュータから。

ヒント：試行にエラーを返しません。常に肯定的な返信を返します。次のことは、悪質な人同士が互いのリストを交換した後に、リモートコントロールされたボットがサーバーに衝突する大規模な軍隊になります。