beelzebub-labs/beelzebub

해결하는 문제

Beelzebub은 보안 팀이 실제와 유사한 위장 서비스(하니팟)를 배포하여 공격자의 행동을 탐지하고 분석할 수 있도록 해주는 디셉션 프레임워크입니다. 이러한 위장 서비스와의 상호작용을 보안 증거로 변환하여, 공격자가 네트워크 내에서 어떻게 작동하고 있는지 분석하는 데 도움을 줍니다.

작동 방식

사용자는 YAML 설정을 통해 위장 서비스, 경로, 응답 규칙을 정의합니다. 이 프레임워크는 SSH, HTTP, TCP, TELNET, MCP 등 여러 프로토콜을 지원합니다. 공격자에게 응답할 때는 예측 가능한 동작을 위한 정적 핸들러 또는 적응형이고 현실적인 상호작용을 가능하게 하는 LLM 기반 응답 중 하나를 선택할 수 있습니다.

사용자 정의 동작은 Go 플러그인을 통해 확장할 수 있습니다. 캡처된 상호작용(예: 명령어 및 HTTP 요청)은 증거로 출력되며, 로컬 로그, RabbitMQ, 또는 Beelzebub 플랫폼으로 전송할 수 있습니다. 시스템은 런타임 모니터링을 위한 Prometheus 메트릭도 노출합니다.

대상 사용자

통제된 위장 환경을 통해 비인가 활동을 모니터링하고 공격자로부터 포렌식 증거를 수집해야 하는 보안 팀 및 분석가.

주요 특징

• 적응형 응답: 고정된 명령어 세트를 넘어서 공격자와 현실적인 상호작용을 지속할 수 있도록 LLM을 사용합니다.
• 다양한 프로토콜 지원: SSH, HTTP, TCP, TELNET, MCP를 모두 지원합니다.
• AI 에이전트 유인: 공격자가 에이전트 테스트 중에 불법 호출이나 프롬프트 인젝션 시도를 하는지를 관찰할 수 있도록 MCP 위장 서비스를 포함합니다.
• 확장 가능한 아키텍처: 신뢰할 수 있는 Go 플러그인을 통해 사용자 정의 런타임 동작을 지원합니다.
• 유연한 배포: 로컬 Go 바이너리, Docker Compose, 또는 Helm을 사용한 Kubernetes로 배포 가능합니다.