Honeypots de nueva generación con T-Pot CE
En AEWhite Devs no solo nos enfocamos en infraestructura, desarrollo y automatización: también prestamos atención a la seguridad ofensiva y defensiva. Una de las herramientas más avanzadas que hemos implementado para investigar ataques, patrones de intrusión y ciberamenazas es T-Pot CE, una distribución multi-honeypot open-source.
Actualmente usamos la aplicación en su rama community, basada en el proyecto oficial:
¿Qué es T-Pot CE?
T-Pot CE (Community Edition) es una plataforma de honeypots todo-en-uno mantenida por Deutsche Telekom Security.
Se trata de un sistema que reúne múltiples honeypots y herramientas de análisis dentro de un entorno Docker preconfigurado, listo para desplegar y monitorear en tiempo real.
Incluye:
🐝 Honeypots como Cowrie, Dionaea, Honeytrap, ElasticPot, Mailoney, RDPy, entre otros.
📊 Kibana & Elasticsearch para análisis avanzado de logs y eventos.
🌐 Cockpit + Grafana para dashboards en tiempo real.
🔍 Suricata IDS/IPS para correlación de tráfico.
📡 Un entorno modular y extensible para investigación de ciberseguridad.
¿Por qué lo usamos en AEWhite Devs?
En nuestro ecosistema, T-Pot CE cumple un rol estratégico:
✅ Actúa como sistema de investigación de ataques → recolecta información de intentos de intrusión reales.
✅ Nos ayuda a estudiar tácticas y herramientas utilizadas por atacantes en tiempo real.
✅ Sirve como laboratorio educativo para pruebas de ciberseguridad.
✅ Complementa otras herramientas defensivas como ClamAV, Rspamd y Firewalls.
✅ Nos permite visualizar datos de amenazas en dashboards claros e interactivos.
Así, se convierte en un elemento de ciberinteligencia activa dentro de nuestra red.
Instalación de T-Pot CE
🔹 Requisitos mínimos
Servidor con Ubuntu 22.04 LTS (recomendado).
8 GB de RAM mínimo (ideal 16 GB).
4 CPU.
Disco de al menos 128 GB.
🔹 Instalación básica
Durante la instalación se elegirán componentes, interfaz de red y servicios a habilitar.
Servicios principales
Kibana → análisis de datos de ataques.
Grafana → visualización avanzada de métricas.
Cockpit → administración de contenedores y sistema.
Suricata → detección de tráfico sospechoso.
ELK Stack (Elasticsearch + Logstash + Kibana) para procesamiento de logs.
Acceso web por defecto:
Funciones destacadas
Múltiples honeypots en paralelo (SSH, RDP, HTTP, SMB, correo, etc.).
Correlación automática de ataques en Elasticsearch.
Dashboards listos para ver en tiempo real intentos de conexión y explotación.
Captura de malware y payloads para análisis posterior.
Integración con IDS/IPS para fortalecer defensas.
Entorno modular → añadir o quitar honeypots según necesidad.
Consejos de seguridad
Nunca mezclar T-Pot con producción → debe estar en un servidor aislado.
Usar firewalls y segmentación de red para control de acceso.
Configurar notificaciones en caso de detección de actividad inusual.
Integrar con SIEMs externos si se desea un análisis más amplio.
Actualizar regularmente las imágenes y firmas de Suricata.
Conclusión
Con T-Pot CE, en AEWhite Devs hemos construido un laboratorio de honeypots completo que nos permite observar, registrar y analizar ataques en tiempo real, reforzando nuestras capacidades de ciberseguridad.
Es una herramienta imprescindible para quienes desean aprender, investigar o defender mejor sus redes frente a amenazas modernas.
👉 Repositorio oficial: github.com/telekom-security/tpotce
— El equipo de AEWhite Devs
Si desea seguir conociendo proyectos interesantes como este puede hacerlo en el siguiente enlace: https://blog.aewhitedevs.com/category/proyectos/
