🐍💻 «313 000 попыток взлома!» Как хакеры ломятся в хонипот Cowrie

Сырые журналы атак - это золото для исследователей. Но золото грязное: сотни тысяч строк, команды, IP-адреса, таймстемпы. Попробуй-ка вручную понять, что из этого реальная угроза, а что просто шум.

Недавнее исследование Towards Log Analysis with AI Agents: Cowrie Case Study показало, как можно автоматизировать такой анализ, чтобы SOC-команда получала не кашу из логов, а структурированную картину происходящего.

🕵️ О чём речь?

Cowrie - это SSH/Telnet-хонипот, который имитирует сервер и собирает действия злоумышленников. Сырые JSON-логи хранят всё: от ввода wget и curl до попыток удалить файлы. Но проблема в том, что таких событий сотни тысяч в день.

Учёные собрали движок, который:
⚡ превращает разрозненные события в сессии атакующего (с IP и последовательностью команд)
⚡ анализирует их по правилам (например, если встречается wget - это уже признак загрузки малвари)
⚡ классифицирует каждую сессию: разведка, внедрение вредоноса, чистка следов
⚡ оценивает уровень «навыка» атакующего: скрипт-кидди, автоматический бот или что-то посерьёзнее

⚙️ Механика

🗂️ На вход подаётся весь массив Cowrie-логов
📊 pandas превращает их в аккуратный DataFrame
🕹️ Далее включается правило-ориентированный анализатор, который проходит команды сессии и отмечает подозрительные действия
📈 На выходе - CSV-отчёты, HTML-страницы и даже визуализации: графики по видам атак и «скилл-уровням» атакующих

📊 Результаты анализа 313 000 событий

🔎 Выделено 26 368 уникальных атакующих сессий
⌨️ Большинство атак - это поверхностные пробы: 1-2 команды и отключение
💣 Второе место - массовое развёртывание малвари, чаще всего криптомайнеров или DDoS-ботов
🤖 Почти весь трафик - это автоматизированные атаки «низкого» или «среднего» уровня. То есть в ловушку в основном попадают не APT-группы, а боты и скрипт-кидди

🔮 Что дальше?

Авторы планируют подключить LLM (например, через LangChain) и интегрировать внешние источники (AbuseIPDB, VirusTotal), чтобы система автоматически обогащала логи репутацией IP и анализом URL.

📎 Репозиторий проекта: github.com/EfeEmirYuce/Cowrie-Honeypot-Log-Analysis-Engine

Stay secure and read SecureTechTalks 📚

#CyberSecurity #Honeypot #Cowrie #Malware #SOC #ThreatIntelligence #Phishing #AI #Botnet #SecureTechTalks