Si solo desea que su máquina honeypot se vea comprometida y sea parte de una red de bots, deberá ejecutar servicios vulnerables en la máquina. Los servicios vulnerables que elija deberán coincidir con los puertos que ha reenviado a la máquina honeypot y también deberán coincidir con los servicios que los gusanos intentan explotar activamente.
Para una máquina con Windows XP, los puertos de reenvío 137, 138, 139 y 445 deberían generar suficiente tráfico de ataque. Estos puertos son para NetBIOS y Samba y todos reciben un flujo constante de tráfico de Internet.
El puerto de reenvío 80 solo será útil si está ejecutando un servidor web en la máquina honeypot. Puedes ir en dos direcciones con un servidor web; ejecute una versión anterior del mismo demonio HTTP que tiene vulnerabilidades conocidas o ejecute una versión actual y luego ejecute una aplicación web vulnerable, como una versión anterior de Wordpress o phpMyAdmin.
Puede simplemente intentar ejecutar servicios y esperar que sean vulnerables y que los gusanos intenten explotarlos, pero podría ser más efectivo buscar los servicios a los que se dirigen los gusanos específicos y ejecutarlos.
La otra dirección para resolver este problema es habilitar el registro en su punto de ingreso y ver qué tráfico lo está afectando. Sospecho que verá mucho tráfico en los puertos que mencioné anteriormente, pero probablemente también verá tráfico en otros puertos. Descubra qué los puertos se utilizan para una ejecución ese servicio en su máquina.
Hay algunas cosas que agregaría a esto con respecto a los honeypots:
El propósito de un honeypot es estudiar qué hace el atacante o el gusano una vez que comprometa a un host. Usted querrá configurar un amplio monitoreo y registro en la propia caja para que realmente obtenga algo de información útil del ejercicio. También es importante que sepa cuándo ha sido comprometido. La mayoría de los honeypots se ejecutan dentro de máquinas virtuales para ofrecerle una forma fácil de comparar el estado actual de la máquina con una buena copia conocida. No es adecuado hacerlo desde el honeypot porque los rootkits pueden modificar las herramientas que está utilizando para hacer la comparación.
Usted querrá estar monitoreando todo el tráfico hacia y desde la máquina honeypot. Por esto, me refiero a las capturas de paquetes completos. La forma normal de hacer esto es con un puerto de expansión en su conmutador, pero probablemente se puede hacer en el hipervisor de la VM si su conmutador no tiene esa capacidad. Normalmente no lo harías dentro del honeypot.
Usted dijo que está al tanto de los peligros de ejecutar su honeypot dentro de su red doméstica. Supongo que eso significa que también está al tanto de las precauciones que deberá tomar antes de ponerlo en línea. Específicamente, configure su red y firewall para que la máquina honeypot no pueda comunicarse con el resto de su red local. También es una buena práctica tener cuidado con las conexiones salientes que le permite iniciar a Internet. Lo primero que tratará de hacer es descargar un rootkit y los programas de trabajo que probablemente le interesen, sin embargo, lo siguiente es comenzar a atacar más objetivos, y esto no es algo que normalmente desearía permitir.
También existen herramientas específicas para crear honeypots . Estas herramientas incluyen un hipervisor completo y pilas de VM que permiten todo lo que he mencionado anteriormente. En el mismo sitio puede encontrar herramientas para registrar, monitorear y analizar y también una carga de información sobre cómo ejecutar un honeypot y a quién es probable que vea atacándolo.