Honeypot iptables

Перенаправляем логи определенного правила в отдельный log файл

systemctl disable firewalld

systemctl stop firewalld

yum install -y iptables-services

systemctl enable --now iptables

Ловим входящие соединения 5060/udp с лог-префиксом "Attack SIP: "

iptables -A INPUT -p udp --dport 5060 -j LOG --log-level info --log-prefix "Attack_SIP: "

iptables -A INPUT -p tcp --dport 5060 -j LOG --log-level info --log-prefix "Attack_SIP: "

service iptables save

systemctl restart iptables

Просмотр

iptables -L -v -n -t filter

Конфигурация rsyslog для перенаправления логов в файл

nano /etc/rsyslog.d/iptables.conf

:msg, contains, "Attack_SIP: " -/var/log/iptables/iptables.log
& ~

mkdir /var/log/iptables/

chmod 666 /var/log/iptables/

nano /etc/rsyslog.conf

...
$umask 0000
$FileCreateMode 0644

systemctl restart rsyslog

Проверяем

На любой другой машине

nmap -sU <адрес_машины_с_iptables> -p5060

После этого на машине с iptables

cat /var/log/iptables/iptables.log

...
Jul 20 17:22:18 centos7-honeypot01 kernel: Attack_SIP: IN=ens160 OUT= MAC=00:50:56:ba:6b:50:00:50:56:83:24:e2:08:00 SRC=192.168.17.250 DST=192.168.166.52 LEN=28 TOS=0x00 PREC=0x00 TTL=51 ID=9330 PROTO=UDP SPT=47791 DPT=5060 LEN=8
...