README

   1 Honeynet Sinkhole
   2 -----------------
   3
   4 Sinkhole is (C) 2011 The Honeynet Project
   5
   6 1) Introduction
   7
   8 Sinkhole is a program designed to emulate existing services such
   9 as dns, ftp, http, and irc. Its purpose is only to log relevant parts
  10 of these protocols to aid administrators in analyzing network based
  11 attacks. This sinkhole is capable of supporting multiple different
  12 protocols at once, and allows virtual servers by grouping clients in
  13 to classes based on IP.
  14
  15 2) Installation
  16
  17 Installing Sinkhole requires autoconf and can easily be done by
  18 the standard:
  19
  20  $ ./configure
  21  $ make
  22  # make install
  23
  24 Optionally you may use the configure options --prefix to choose the
  25 install path, and --enable-debug to compile with debugging symbols.
  26 Other command line options can be seen with ./configure --help.
  27
  28 3) Configuration
  29
  30 The default configuration file is installed in /etc from the base
  31 dir given by --prefix, and is named sinkhole.conf.example. It should
  32 be copied to sinkhole.conf and then edited to configure the sinkhole.
  33
  34 The configuration is structured in blocks, with blocks containing items
  35 with values associated with them, or more blocks.
  36
  37 Each supported protocol and logging system is in the form of a module,
  38 so they can be enabled and disabled at will.
  39
  40 See the example configuration for detailed examples of how this works.
  41
  42 4) P0f
  43
  44 This sinkhole also supports P0f, which is a passive OS fingerprinting tool
  45 that is (C) 2000-2006 Michal Zalewski (lcamtuf@coredump.cx). Its webpage
  46 is available at http://lcamtuf.coredump.cx/p0f.shtml.
  47
  48 P0f allows the sinkhole to get the operating system of connecting clients.
  49 To enable P0f, load the p0f.so module in the config and then start the P0f
  50 binary by issuing:
  51
  52  $ sudo ./p0f -Q /var/run/p0f.sock -u `whoami`
  53
  54 This will start P0f listening on /var/run/p0f.sock (you may replace this with
  55 whatever you wish). Next, add the path to the socket P0f is listening on to
  56 the configuration file.