SuckerPotAjude a rede
Três comandos. Sem painel. Sem VPN.
Rode os sensores em uma máquina sobrando, abra as portas que o instalador indicar, e você está dentro. Escolher este modo é o seu consentimento para entrar na rede SuckerPot.
git clone --depth 1 --branch v0.9.0 https://github.com/selfhostr/suckerpot.git cd suckerpot ./scripts/install.sh --participant
Troque v0.9.0 pela versão que quiser. O SuckerPot foi feito para ser atacado: use uma máquina dedicada que não guarde mais nada que você preze.
O que você precisa
Uma máquina Linux e um roteador que você controle.
Só sensores, banco de dados e o nó de rede, em cerca de 2 GiB de memória.
| Máquina | Uma VM ou servidor Linux, x86_64 ou aarch64, com 2 GiB de memória ou mais e 15 GiB de disco livre. |
| Software | Docker Engine 24+ (28 recomendado) com o plugin Compose, git, curl e Bash 4+. Seu usuário precisa rodar docker sem sudo. |
| Roteador | Você consegue redirecionar portas para esta máquina. |
| VPN | Não é necessária. |
Abra as portas
Seu único trabalho após a instalação.
O instalador termina com uma tabela de portas. Redirecione cada porta do roteador para esta máquina. Nunca redirecione a sua porta SSH de administração, e não use a DMZ do roteador: ela encaminha todas as portas. O instalador nunca edita as suas configurações de SSH.
| Porta do roteador | Esta máquina | Protocolo | Sensor |
|---|---|---|---|
| 22 | 22 | TCP | ssh |
| 23 | 23 | TCP | telnet |
| 80 | 80 | TCP | web |
| 443 | 443 | TCP | web |
Exemplo do que o instalador imprime. Se a porta 22 estiver ocupada na máquina, o sensor SSH usa a 2222.
Privacidade sem VPN
O hub vê um endereço. Ele não o guarda.
Sem VPN, o hub vê o seu endereço residencial quando a sua máquina conecta. Um provedor de túnel na frente do hub também o vê. O hub não o guarda nem registra em log, mas o endereço não fica escondido.
- Só um serviço tem rota de saída neste modo. Ele encaminha conexões para o host do hub e mais nada.
- O serviço de ingestão, que analisa dados dos atacantes, não tem rota de saída. Seus sensores nunca baixam nada.
- Adicione uma VPN a qualquer momento:
./scripts/participant.sh vpn /path/to/wireguard.conf.
Mantenha o controle
Confira, atualize, saia quando quiser.
| Comando | O que faz |
|---|---|
| ./scripts/status.sh | Mostra os sensores e suas portas, a sua situação, o último contato com o hub e o que foi enviado em cada dia. |
| ./scripts/participant.sh ports-check | Indica se a internet já alcança os seus sensores. |
| ./scripts/participant.sh firewall | Carrega o firewall do host (pede sudo), ou o remove. |
| ./scripts/participant.sh leave | Sai da rede. Os sensores continuam rodando. |
| ./scripts/participant.sh join | Mostra o consentimento de novo e entra. |
| ./scripts/participant.sh vpn FILE | Envia tudo pela sua VPN. |
| ./scripts/participant.sh auto-update off | Desliga o agendamento diário de atualizações. |
| ./scripts/participant.sh uninstall | Sai, para a stack e remove o agendamento. Imprime o comando que apaga os dados e nunca o executa. |
Atualizações automáticas
Versões assinadas se instalam sozinhas uma vez por dia, pelo menos 48 horas depois de publicadas, e só dentro da mesma versão principal. Antes, é feito um dump do banco de dados, e uma atualização que falha restaura a versão anterior. Se o canal de publicação um dia for comprometido, os participantes com atualização automática seriam afetados: a assinatura e o atraso reduzem esse risco, mas não o eliminam. Um comando desliga as atualizações.
Nós verificadores
A maioria dos participantes nunca baixa malware. Um verificador é um nó opcional, com VPN e o coletor, que pode buscar um link que dois nós reportaram e descrever o arquivo. Ele também precisa de um papel dado pelo operador do hub.
Mudar para o modo completo
./scripts/install.sh --full adiciona o painel e mantém seus dados e sua participação. O caminho inverso, de completo para participante, não é suportado. Veja Instalar.