SuckerPotAyuda a la red
Tres comandos. Sin panel. Sin VPN.
Ejecuta los sensores en una máquina libre, abre los puertos que imprime el instalador y ya estás dentro. Elegir este modo es tu consentimiento para unirte a la red SuckerPot.
git clone --depth 1 --branch v0.9.0 https://github.com/selfhostr/suckerpot.git cd suckerpot ./scripts/install.sh --participant
Sustituye v0.9.0 por la versión que quieras. SuckerPot está hecho para recibir ataques: usa una máquina dedicada que no guarde nada más que te importe.
Lo que necesitas
Una máquina Linux y un router que controles.
Sensores, base de datos y solo el nodo de red, en unos 2 GiB de memoria.
| Máquina | Una VM o servidor Linux, x86_64 o aarch64, con 2 GiB de memoria o más y 15 GiB de disco libre. |
| Software | Docker Engine 24+ (se recomienda 28) con el plugin Compose, git, curl y Bash 4+. Tu usuario debe ejecutar docker sin sudo. |
| Router | Puedes reenviar puertos a esta máquina. |
| VPN | No hace falta. |
Abre los puertos
Tu única tarea tras la instalación.
El instalador termina con una tabla de puertos. Reenvía cada puerto del router a esta máquina. Nunca reenvíes tu propio puerto SSH de administración, y no uses la DMZ de tu router: reenvía todos los puertos. El instalador nunca modifica tu configuración SSH.
| Puerto del router | Esta máquina | Protocolo | Sensor |
|---|---|---|---|
| 22 | 22 | TCP | ssh |
| 23 | 23 | TCP | telnet |
| 80 | 80 | TCP | web |
| 443 | 443 | TCP | web |
Ejemplo de lo que imprime el instalador. Si el puerto 22 está ocupado en la máquina, el sensor SSH usa el 2222.
Privacidad sin VPN
El hub ve una dirección. No la guarda.
Sin VPN, el hub ve tu dirección de casa cuando tu máquina se conecta. Un proveedor de túnel delante del hub también la ve. El hub no la guarda ni la registra, pero la dirección no queda oculta.
- En este modo, solo un servicio tiene ruta de salida. Reenvía conexiones al host del hub y nada más.
- El servicio de ingesta, que analiza los datos de los atacantes, no tiene ruta de salida. Tus sensores nunca descargan nada.
- Añade una VPN en cualquier momento:
./scripts/participant.sh vpn /path/to/wireguard.conf.
Mantén el control
Compruébalo, actualízalo, sal cuando quieras.
| Comando | Qué hace |
|---|---|
| ./scripts/status.sh | Muestra los sensores y sus puertos, tu estado, el último contacto con el hub y lo que se envió cada día. |
| ./scripts/participant.sh ports-check | Indica si internet ya llega a tus sensores. |
| ./scripts/participant.sh firewall | Carga el cortafuegos del host (pide sudo), o lo quita. |
| ./scripts/participant.sh leave | Sales de la red. Los sensores siguen funcionando. |
| ./scripts/participant.sh join | Muestra de nuevo el consentimiento y se une. |
| ./scripts/participant.sh vpn FILE | Envía todo a través de tu VPN. |
| ./scripts/participant.sh auto-update off | Desactiva la programación diaria de actualizaciones. |
| ./scripts/participant.sh uninstall | Sale de la red, detiene el stack y elimina la programación. Imprime el comando que borra los datos y nunca lo ejecuta. |
Actualizaciones automáticas
Las versiones firmadas se instalan solas una vez al día, al menos 48 horas después de publicarse, y solo dentro de la misma versión mayor. Antes se hace un volcado de la base de datos, y si una actualización falla, se restaura la versión anterior. Si el canal de publicación llegara a verse comprometido, los participantes con actualización automática se verían afectados: la firma y el retraso reducen ese riesgo, pero no lo eliminan. Un comando desactiva las actualizaciones.
Nodos verificadores
La mayoría de los participantes nunca descargan malware. Un verificador es un nodo voluntario con VPN y el recolector que puede descargar un enlace que dos nodos denunciaron y describir el archivo. También necesita un rol del operador del hub.
Pasar al modo completo
./scripts/install.sh --full añade el panel y conserva tus datos y tu pertenencia. El otro sentido, de completo a participante, no está soportado. Consulta Instalar.