Merge pull request #27 from mathiscapart/feat/apache-front

Feat/apache front

Author: mathiscapart

.github/workflows/ci.yml

@@ -115,6 +115,8 @@ jobs:
             context: ./honeypots/ftp
           - image: honeypot-http
             context: ./honeypots/http
+          - image: honeypot-proxy
+            context: ./honeypots/proxy
           - image: honeypot-ssh
             context: ./honeypots/ssh
           - image: honeybot

compose.prod.yml

@@ -126,11 +126,10 @@ services:
     image: qualite863/honeypot-http:latest
     container_name: honeypot-http
     restart: unless-stopped
-    # 80 (HTTP standard, crédibilité) et 8080 (cible des scripts d'attaque).
-    # Le honeypot écoute en interne sur 8080 (port non privilégié -> non-root).
-    ports:
-      - "80:8080"
-      - "8080:8080"
+    # N'est plus exposé directement : seul le reverse-proxy Apache (honeypot-proxy)
+    # le joint, en interne via honeypot-front (port 8080, process non-root).
+    expose:
+      - "8080"
     environment:
       HONEYPOT_HOST: "prod-srv-01"
       HTTP_LOG_FILE: "/var/log/honeypot/http.jsonl"
@@ -155,6 +154,38 @@ services:
           memory: 256M
           pids: 200
 
+  # Reverse-proxy Apache (anti-détection) : sert les assets statiques WordPress
+  # RÉELS (vrais ETag/Last-Modified) et émet des en-têtes / pages d'erreur Apache
+  # authentiques ; proxifie le dynamique vers honeypot-http. Seule surface HTTP
+  # publique. Image autonome (config + assets bakés) — rien à monter côté hôte.
+  honeypot-proxy:
+    image: qualite863/honeypot-proxy:latest
+    container_name: honeypot-proxy
+    restart: unless-stopped
+    depends_on:
+      - honeypot-http
+    # 80 (HTTP standard) et 8080 (cible des scripts d'attaque) -> Apache:80 interne.
+    ports:
+      - "80:80"
+      - "8080:80"
+    networks:
+      - honeypot-front
+    security_opt:
+      - no-new-privileges:true
+    read_only: true
+    # Apache doit pouvoir écrire pid / mutex / logs sous une racine en lecture seule.
+    tmpfs:
+      - /var/run/apache2
+      - /var/lock/apache2
+      - /var/log/apache2
+      - /tmp
+    deploy:
+      resources:
+        limits:
+          cpus: "0.50"
+          memory: 256M
+          pids: 200
+
   # US-17 : centralisation des logs via Fluent Bit.
   fluent-bit:
     image: fluent/fluent-bit:3.1.9

compose.yml

@@ -140,11 +140,10 @@ services:
     image: qualite863/honeypot-http:latest
     container_name: honeypot-http
     restart: unless-stopped
-    # 80 (HTTP standard, crédibilité) et 8080 (cible des scripts d'attaque).
-    # Le honeypot écoute en interne sur 8080 (port non privilégié -> non-root).
-    ports:
-      - "80:8080"
-      - "8080:8080"
+    # N'est plus exposé directement : seul le reverse-proxy Apache (honeypot-proxy)
+    # le joint, en interne via honeypot-front (port 8080, process non-root).
+    expose:
+      - "8080"
     environment:
       HONEYPOT_HOST: "prod-srv-01"
       HTTP_LOG_FILE: "/var/log/honeypot/http.jsonl"
@@ -169,6 +168,39 @@ services:
           memory: 256M
           pids: 200
 
+  # Reverse-proxy Apache (anti-détection, EPIC-2) : sert les assets statiques
+  # WordPress RÉELS (vrais ETag/Last-Modified, contenu byte-exact) et émet des
+  # en-têtes / pages d'erreur Apache authentiques ; proxifie le dynamique vers
+  # honeypot-http. C'est désormais la SEULE surface HTTP publique.
+  honeypot-proxy:
+    build: ./honeypots/proxy
+    image: qualite863/honeypot-proxy:latest
+    container_name: honeypot-proxy
+    restart: unless-stopped
+    depends_on:
+      - honeypot-http
+    # 80 (HTTP standard) et 8080 (cible des scripts d'attaque) -> Apache:80 interne.
+    ports:
+      - "80:80"
+      - "8080:80"
+    networks:
+      - honeypot-front
+    security_opt:
+      - no-new-privileges:true
+    read_only: true
+    # Apache doit pouvoir écrire pid / mutex / logs sous une racine en lecture seule.
+    tmpfs:
+      - /var/run/apache2
+      - /var/lock/apache2
+      - /var/log/apache2
+      - /tmp
+    deploy:
+      resources:
+        limits:
+          cpus: "0.50"
+          memory: 256M
+          pids: 200
+
   # US-17 : centralisation des logs via Fluent Bit.
   fluent-bit:
     image: fluent/fluent-bit:3.1.9

honeypots/proxy/Dockerfile

@@ -0,0 +1,36 @@
+# syntax=docker/dockerfile:1
+# Reverse-proxy Apache devant le honeypot HTTP (FastAPI). Objectif anti-détection :
+#  - en-têtes / pages d'erreur / version Apache authentiques : Apache/2.4.57 (Debian) ;
+#  - assets statiques WordPress RÉELS servis depuis le disque (vrais ETag / Last-Modified
+#    / Accept-Ranges, contenu byte-exact => résiste au fingerprint WPScan) ;
+#  - tout le dynamique proxifié vers le backend FastAPI (honeypot-http:8080).
+FROM debian:bookworm-slim
+
+# Apache + extraction des SEULS fichiers statiques de WordPress 6.5.2 (pas de .php :
+# sans mod_php, Apache divulguerait sinon le code source des .php).
+# hadolint ignore=DL3008,DL3015
+RUN apt-get update \
+ && apt-get install -y --no-install-recommends apache2 ca-certificates curl unzip \
+ && a2enmod proxy proxy_http headers rewrite \
+ && curl -fsSL https://wordpress.org/wordpress-6.5.2.zip -o /tmp/wp.zip \
+ && unzip -q /tmp/wp.zip -d /tmp \
+ && cd /tmp/wordpress \
+ && find wp-includes wp-content wp-admin -type f \
+      \( -name '*.css' -o -name '*.js' -o -name '*.map' -o -name '*.png' -o -name '*.jpg' \
+         -o -name '*.jpeg' -o -name '*.gif' -o -name '*.svg' -o -name '*.ico' \
+         -o -name '*.woff' -o -name '*.woff2' -o -name '*.ttf' -o -name '*.eot' \) \
+      -exec cp --parents -t /var/www/html {} + \
+ && cp readme.html license.txt /var/www/html/ \
+ && chown -R www-data:www-data /var/www/html \
+ && sed -i 's/^ServerTokens .*/ServerTokens OS/' /etc/apache2/conf-available/security.conf \
+ && sed -i 's/^ServerSignature .*/ServerSignature On/' /etc/apache2/conf-available/security.conf \
+ && rm -rf /tmp/wp.zip /tmp/wordpress /var/lib/apt/lists/*
+
+COPY honeypot.conf /etc/apache2/sites-available/000-default.conf
+
+# Valide la syntaxe de la conf au build (échoue le build si la conf est invalide).
+RUN apache2ctl configtest
+
+EXPOSE 80
+# Apache en avant-plan comme PID 1.
+CMD ["apache2ctl", "-D", "FOREGROUND"]

honeypots/proxy/honeypot.conf

@@ -0,0 +1,36 @@
+# VirtualHost du reverse-proxy honeypot (remplace 000-default.conf).
+# Les assets statiques WordPress sont servis depuis le disque par Apache (en-têtes
+# authentiques) ; tout le reste (PHP dynamique émulé) est proxifié vers FastAPI.
+<VirtualHost *:80>
+    ServerName prod-srv-01
+    ServerAdmin webmaster@localhost
+    DocumentRoot /var/www/html
+    DirectoryIndex index.php index.html
+
+    <Directory /var/www/html>
+        Options -Indexes +FollowSymLinks
+        AllowOverride None
+        Require all granted
+    </Directory>
+
+    # X-Powered-By cohérent (Title-Case), ajouté par Apache sur toutes les réponses.
+    Header always set X-Powered-By "PHP/7.4.33"
+
+    ProxyPreserveHost On
+    ProxyTimeout 30
+
+    # --- Assets statiques : servis depuis le disque (PAS proxifiés) ---
+    # => vrais ETag / Last-Modified / Accept-Ranges, contenu WordPress byte-exact ;
+    #    un fichier absent => vraie page 404 Apache (et non la 404 WordPress).
+    ProxyPass /wp-content/      !
+    ProxyPass /wp-includes/     !
+    ProxyPass /wp-admin/css/    !
+    ProxyPass /wp-admin/js/     !
+    ProxyPass /wp-admin/images/ !
+    ProxyPass /readme.html      !
+    ProxyPass /license.txt      !
+
+    # --- Tout le dynamique (WordPress émulé) -> backend FastAPI interne ---
+    ProxyPass        / http://honeypot-http:8080/ retry=0
+    ProxyPassReverse / http://honeypot-http:8080/
+</VirtualHost>