Coldframe: Ένα honeypot που προσομοιώνει ελεγκτές ψύξης σούπερ μάρκετ

Αρχιτεκτονική και στρατηγική παραπλάνησης

Το Coldframe λειτουργεί ως ένα «δόλωμα» υψηλής πιστότητας, στοχεύοντας στην παγίδευση κακόβουλων παραγόντων που αναζητούν ευάλωτα συστήματα ελέγχου βιομηχανικής ψύξης. Αντί για μια απλή απόκριση, το εργαλείο αναπαράγει με ακρίβεια τα χαρακτηριστικά των Danfoss AK-SM 800A και Copeland/Dixell XWEB EVO, συμπεριλαμβανομένων των HTTP headers, των πιστοποιητικών TLS και των συγκεκριμένων διαδρομών (paths) που στοχεύουν τα γνωστά exploits.

Ασφάλεια και απομόνωση (Sandboxing)

Η ασφάλεια του ίδιου του honeypot αποτελεί προτεραιότητα. Το Coldframe εκτελείται εντός container με αυστηρούς περιορισμούς:

• Read-only filesystem: Αποτρέπει την εγκατάσταση κακόβουλου λογισμικού από τον επιτιθέμενο.
• User namespaces: Χρήση μη προνομιούχων χρηστών για την απομόνωση της διεργασίας από το host σύστημα.
• Resource capping: Περιορισμός μνήμης και PIDs για την αποτροπή επιθέσεων άρνησης υπηρεσίας (DoS) κατά του honeypot.

Καταγραφή και ανάλυση επιθέσεων

Το σύστημα καταγράφει κάθε αλληλεπίδραση σε μορφή JSONL, επιτρέποντας την εύκολη εξαγωγή συμπερασμάτων μέσω του συνοδευτικού script summary.py. Το εργαλείο αναγνωρίζει συγκεκριμένα exploits (όπως το CVE-2023-25914 για path traversal ή το CVE-2025-41450 για bypass του «code of the day»), παρέχοντας πολύτιμα δεδομένα για την ανάλυση των τακτικών (TTPs) που χρησιμοποιούν οι επιτιθέμενοι στον τομέα του Industrial IoT (IIoT).