SuckerPotAjude a rede
Três comandos. Sem painel. Sem VPN.
Corra os sensores numa máquina de reserva, abra as portas que o instalador indicar, e fica dentro. Escolher este modo é o seu consentimento para se juntar à rede SuckerPot.
git clone --depth 1 --branch v0.9.0 https://github.com/selfhostr/suckerpot.git cd suckerpot ./scripts/install.sh --participant
Substitua v0.9.0 pela versão que quiser. O SuckerPot foi feito para ser atacado: use uma máquina dedicada que não guarde mais nada que lhe importe.
O que precisa
Uma máquina Linux e um router que controle.
Sensores, base de dados e o nó de rede apenas, em cerca de 2 GiB de memória.
| Máquina | Uma VM ou servidor Linux, x86_64 ou aarch64, com 2 GiB de memória ou mais e 15 GiB de disco livre. |
| Software | Docker Engine 24+ (recomendado 28) com o plugin Compose, git, curl e Bash 4+. O seu utilizador tem de correr docker sem sudo. |
| Router | Consegue encaminhar portas para esta máquina. |
| VPN | Não é necessária. |
Abra as portas
A sua única tarefa após a instalação.
O instalador termina com uma tabela de portas. Encaminhe cada porta do router para esta máquina. Nunca encaminhe a sua porta SSH de administração, e não use a DMZ do router: ela encaminha todas as portas. O instalador nunca edita as suas definições SSH.
| Porta do router | Esta máquina | Protocolo | Sensor |
|---|---|---|---|
| 22 | 22 | TCP | ssh |
| 23 | 23 | TCP | telnet |
| 80 | 80 | TCP | web |
| 443 | 443 | TCP | web |
Exemplo do que o instalador imprime. Se a porta 22 estiver ocupada na máquina, o sensor SSH usa a 2222.
Privacidade sem VPN
O hub vê um endereço. Não o guarda.
Sem VPN, o hub vê o seu endereço de casa quando a sua máquina se liga. Um fornecedor de túnel à frente do hub também o vê. O hub não o guarda nem o regista, mas o endereço não fica escondido.
- Só um serviço tem rota de saída neste modo. Encaminha ligações para a máquina do hub e mais nada.
- O serviço de ingestão, que analisa dados dos atacantes, não tem rota de saída. Os seus sensores nunca descarregam nada.
- Pode juntar uma VPN a qualquer momento:
./scripts/participant.sh vpn /path/to/wireguard.conf.
Mantenha o controlo
Verifique, atualize, saia quando quiser.
| Comando | O que faz |
|---|---|
| ./scripts/status.sh | Mostra os sensores e as suas portas, a sua situação, o último contacto com o hub e o que foi enviado em cada dia. |
| ./scripts/participant.sh ports-check | Indica se a internet já chega aos seus sensores. |
| ./scripts/participant.sh firewall | Carrega a firewall do host (pede sudo), ou remove-a. |
| ./scripts/participant.sh leave | Sai da rede. Os sensores continuam a correr. |
| ./scripts/participant.sh join | Mostra o consentimento de novo e junta-se. |
| ./scripts/participant.sh vpn FILE | Envia tudo pela sua VPN. |
| ./scripts/participant.sh auto-update off | Desliga o agendamento diário de atualizações. |
| ./scripts/participant.sh uninstall | Sai, para a stack e remove o agendamento. Imprime o comando que apaga os dados e nunca o executa. |
Atualizações automáticas
As versões assinadas instalam-se sozinhas uma vez por dia, pelo menos 48 horas após serem publicadas, e só dentro da mesma versão principal. Antes é feita uma cópia da base de dados, e uma atualização falhada repõe a versão anterior. Se o canal de publicação alguma vez fosse comprometido, os participantes com atualização automática seriam afetados: a assinatura e o atraso reduzem esse risco, mas não o eliminam. Um comando desliga as atualizações.
Nós verificadores
A maioria dos participantes nunca descarrega malware. Um verificador é um nó opcional com VPN e o coletor, que pode ir buscar uma ligação que dois nós denunciaram e descrever o ficheiro. Também precisa de um papel atribuído pelo operador do hub.
Passar para o modo completo
./scripts/install.sh --full acrescenta o painel e mantém os seus dados e a sua adesão. O caminho inverso, de completo para participante, não é suportado. Veja Instalar.