beelzebub-labs/beelzebub

解决的问题

Beelzebub 是一个欺骗框架，允许安全团队部署逼真的蜜罐（欺骗性服务）来检测和研究攻击者的行为。它将与这些蜜罐的交互转化为安全证据，帮助分析师了解攻击者在内部网络中的运作方式。

工作原理

用户通过 YAML 配置文件定义蜜罐服务、路由和响应规则。该框架支持多种协议，包括 SSH、HTTP、TCP、TELNET 和 MCP。它可以使用静态处理器实现可预测的行为，或使用 LLM 驱动的响应实现自适应、逼真的交互。

可通过 Go 插件扩展自定义行为。捕获的交互（如命令和 HTTP 请求）将作为证据输出，可发送至本地日志、RabbitMQ 或 Beelzebub 平台。系统还公开 Prometheus 指标以支持运行时监控。

适用人群

需要通过受控的欺骗环境监控未经授权活动并收集攻击者取证证据的安全团队和分析师。

主要亮点

• 自适应响应：利用 LLM 持续与攻击者进行超出固定命令集的逼真交互。
• 广泛协议支持：支持 SSH、HTTP、TCP、TELNET 和 MCP。
• AI Agent 诱饵：包含 MCP 蜜罐，可暴露诱饵工具，用于观察攻击者在代理测试期间的可疑调用和提示注入尝试。
• 可扩展架构：支持可信的 Go 插件以实现自定义运行时行为。
• 灵活部署：可通过本地 Go 二进制文件、Docker Compose 或 Helm 部署在 Kubernetes 上。