云服务器ECS（Elastic Compute Service）是阿里云提供的性能卓越、稳定可靠、弹性扩展的IaaS（Infrastructure as a Service）级别云计算服务。云计算最基础的概念便是云服务器，对Openstack概念有了解的，对接触ECS就不会有隔阂。
云服务器ECS主要包含以下功能组件：实例、块存储、快照、网络，这些对应了Openstack中的flavor、Cinder、Snapshot、Neutron等经典服务功能组件。对待传统IDC机房，阿里云让我们的业务不用买厚厚的服务器、构建复杂的网络、管理空调水电，在阿里云氪金下单就行了，一台崭新的高性能云服务器ECS就到你手中了。
在选择部署什么项目的时候，我还是想了好久：
1.部署一个LNMP架构的wordpress？太普通了，云起有大把的wordpress案例了。
2.部署一个网盘系统？不够实用，ECS的带宽受限，不适合在单ECS上做一个云盘存储数据，更何况我手抖了选配置的时候就选了40G云硬盘。存储还是得搭配OSS存储桶。
3.部署一个宝塔控制面板再部一个别的web项目？手头也没啥有意思的项目拿得出手的。说实话我个人真不是很喜欢宝塔，能自己手敲运维的就手敲运维，毕竟几年来宝塔出的严重漏洞也不在少数，功能越多安全风险面就越大。
网络安全一直都是最受瞩目的话题之一，我们所有公开在互联网的资产每分每秒都在受到有意或无意的扫描攻击。前段时间国家公布的最劲爆的消息莫过于，中国互联网持续遭受境外组织的网络攻击。境外组织通过攻击、控制中国境内的计算机，进而对俄罗斯、乌克兰、白俄罗斯的目标进行网络攻击。不少防御能力弱的计算机、服务器沦为肉鸡。
作为网络安全从业者，对蜜罐一定不陌生。蜜罐最大的价值是诱使攻击者展示其能力和资产，蜜罐技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获 和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。
那么今天，我们借着社区ECS计算型 C5测评活动，首先简单看一下阿里云ECS C5的2核4G本版服务器，再来部署一套开源蜜罐欺骗系统Hfish，来测试捕捉和分析在互联网上泛滥成灾的网络扫描攻击行为。
一、服务器上手
我选择的是ECS计算型c5，2核4G 带宽5M的配置
1.修改SSH远程登录的端口
抛开常规的设置密码操作之外，我个人认为修改SSH远程连接端口是非常重要也是非常基础的操作，就恶意扫描来说，会针对服务的默认端口进行扫描爆破攻击，我们将默认的TCP22端口改成不常用的高端口，可以简单的避免大规模的SSH扫描爆破（除堡垒机跳板机来进行运维，有这些来集中管控更好）
进入ssh配置目录
[root@iZbp14j2amyqheetigvagtZ ~]# cd /etc/ssh
编辑ssh_config配置文件，修改Port字段
[root@iZbp14j2amyqheetigvagtZ ssh]# vim sshd_config
[root@iZbp14j2amyqheetigvagtZ ssh]# cat sshd_config |grep Port
Port3xxxxxx
重启服务生效，后续在控制台白名单放行即可
[root@iZbp14j2amyqheetigvagtZ ssh]# systemctl restart sshd
既然是测评，我们还是简单看一下
2.unixbench测评方法
unixbench用来测试服务器跑分也算比较常见，但是受影响的因素较多，仅供参考
git到unixbench代码
[root@iZbp14j2amyqheetigvagtZ ~]# git clone https://github.com/kdlucas/byte-unixbench.git
Cloning into 'byte-unixbench'...
remote: Enumerating objects: 222, done.
remote: Counting objects: 100% (17/17), done.
remote: Compressing objects: 100% (12/12), done.
remote: Total 222 (delta 7), reused 12 (delta 5), pack-reused 205
Receiving objects: 100% (222/222), 225.58 KiB | 632.00 KiB/s, done.
Resolving deltas: 100% (113/113), done.对unixbench进行make
[root@iZbp14j2amyqheetigvagtZ byte-unixbench]# cd UnixBench/
[root@iZbp14j2amyqheetigvagtZ UnixBench]# makeECS服务器需要安装perl-time-hies组件
[root@iZbp14j2amyqheetigvagtZ UnixBench]# yum -y install perl-Time-HiRes运行Run
[root@iZbp14j2amyqheetigvagtZ UnixBench]# ./Run
测试结果
========================================================================
BYTE UNIX Benchmarks (Version 5.1.3)
System: iZbp14j2amyqheetigvagtZ: GNU/Linux
OS: GNU/Linux -- 5.10.84-10.2.al8.x86_64 -- #1 SMP Thu Feb 10 15:03:09 CST 2022
Machine: x86_64 (x86_64)
Language: en_US.utf8 (charmap="UTF-8", collate="UTF-8")
CPU 0: Intel(R) Xeon(R) Platinum 8163 CPU @ 2.50GHz (5000.0 bogomips)
Hyper-Threading, x86-64, MMX, Physical Address Ext, SYSENTER/SYSEXIT, SYSCALL/SYSRET
CPU 1: Intel(R) Xeon(R) Platinum 8163 CPU @ 2.50GHz (5000.0 bogomips)
Hyper-Threading, x86-64, MMX, Physical Address Ext, SYSENTER/SYSEXIT, SYSCALL/SYSRET
23:11:07 up 1 day, 7:08, 4 users, load average: 0.10, 0.09, 0.05; runlevel 2022-03-31
------------------------------------------------------------------------
Benchmark Run: Fri Apr 01 2022 23:11:07 - 23:39:12
2 CPUs in system; running 1 parallel copy of tests
Dhrystone 2 using register variables 34381345.8 lps (10.0 s, 7 samples)
Double-Precision Whetstone 5587.9 MWIPS (9.9 s, 7 samples)
Execl Throughput 3572.5 lps (30.0 s, 2 samples)
File Copy 1024 bufsize 2000 maxblocks 627665.4 KBps (30.0 s, 2 samples)
File Copy 256 bufsize 500 maxblocks 166712.0 KBps (30.0 s, 2 samples)
File Copy 4096 bufsize 8000 maxblocks 1735567.3 KBps (30.0 s, 2 samples)
Pipe Throughput 771403.2 lps (10.0 s, 7 samples)
Pipe-based Context Switching 217316.8 lps (10.0 s, 7 samples)
Process Creation 9249.5 lps (30.0 s, 2 samples)
Shell Scripts (1 concurrent) 5575.2 lpm (60.0 s, 2 samples)
Shell Scripts (8 concurrent) 928.2 lpm (60.0 s, 2 samples)
System Call Overhead 415531.6 lps (10.0 s, 7 samples)
System Benchmarks Index Values BASELINE RESULT INDEX
Dhrystone 2 using register variables 116700.0 34381345.8 2946.1
Double-Precision Whetstone 55.0 5587.9 1016.0
Execl Throughput 43.0 3572.5 830.8
File Copy 1024 bufsize 2000 maxblocks 3960.0 627665.4 1585.0
File Copy 256 bufsize 500 maxblocks 1655.0 166712.0 1007.3
File Copy 4096 bufsize 8000 maxblocks 5800.0 1735567.3 2992.4
Pipe Throughput 12440.0 771403.2 620.1
Pipe-based Context Switching 4000.0 217316.8 543.3
Process Creation 126.0 9249.5 734.1
Shell Scripts (1 concurrent) 42.4 5575.2 1314.9
Shell Scripts (8 concurrent) 6.0 928.2 1547.0
System Call Overhead 15000.0 415531.6 277.0
========
System Benchmarks Index Score 1042.9
------------------------------------------------------------------------
Benchmark Run: Fri Apr 01 2022 23:39:12 - 00:07:18
2 CPUs in system; running 2 parallel copies of tests
Dhrystone 2 using register variables 50495548.8 lps (10.0 s, 7 samples)
Double-Precision Whetstone 9919.2 MWIPS (9.9 s, 7 samples)
Execl Throughput 5222.0 lps (29.7 s, 2 samples)
File Copy 1024 bufsize 2000 maxblocks 821152.3 KBps (30.0 s, 2 samples)
File Copy 256 bufsize 500 maxblocks 216521.0 KBps (30.0 s, 2 samples)
File Copy 4096 bufsize 8000 maxblocks 2339138.3 KBps (30.0 s, 2 samples)
Pipe Throughput 1034483.9 lps (10.0 s, 7 samples)
Pipe-based Context Switching 241128.0 lps (10.0 s, 7 samples)
Process Creation 15576.3 lps (30.0 s, 2 samples)
Shell Scripts (1 concurrent) 6683.2 lpm (60.0 s, 2 samples)
Shell Scripts (8 concurrent) 949.2 lpm (60.1 s, 2 samples)
System Call Overhead 530123.4 lps (10.0 s, 7 samples)
System Benchmarks Index Values BASELINE RESULT INDEX
Dhrystone 2 using register variables 116700.0 50495548.8 4327.0
Double-Precision Whetstone 55.0 9919.2 1803.5
Execl Throughput 43.0 5222.0 1214.4
File Copy 1024 bufsize 2000 maxblocks 3960.0 821152.3 2073.6
File Copy 256 bufsize 500 maxblocks 1655.0 216521.0 1308.3
File Copy 4096 bufsize 8000 maxblocks 5800.0 2339138.3 4033.0
Pipe Throughput 12440.0 1034483.9 831.6
Pipe-based Context Switching 4000.0 241128.0 602.8
Process Creation 126.0 15576.3 1236.2
Shell Scripts (1 concurrent) 42.4 6683.2 1576.2
Shell Scripts (8 concurrent) 6.0 949.2 1582.0
System Call Overhead 15000.0 530123.4 353.4
========
System Benchmarks Index Score 1399.9
基准翻译参考来自：https://blog.csdn.net/gatieme/article/details/50912910
2.ECS的CPU信息
处理器为Intel(R) Xeon(R) Platinum 8163 CPU
[root@iZbp14j2amyqheetigvagtZ ~]# cat /proc/cpuinfo
processor : 0
vendor_id : GenuineIntel
cpu family : 6
model : 85
model name : Intel(R) Xeon(R) Platinum 8163 CPU @ 2.50GHz
stepping : 4
microcode : 0x1
cpu MHz : 2499.998
cache size : 33792 KB
physical id : 0
siblings : 2
core id : 0
cpu cores : 1
apicid : 0
initial apicid : 0
fpu : yes
fpu_exception : yes
cpuid level : 22
wp : yes
flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ss ht syscall nx pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid tsc_known_freq pni pclmulqdq ssse3 fma cx16 pcid sse4_1 sse4_2 x2apic movbe popcnt tsc_deadline_timer aes xsave avx f16c rdrand hypervisor lahf_lm abm 3dnowprefetch invpcid_single pti ibrs ibpb stibp fsgsbase tsc_adjust bmi1 hle avx2 smep bmi2 erms invpcid rtm mpx avx512f avx512dq rdseed adx smap avx512cd avx512bw avx512vl xsaveopt xsavec xgetbv1 arat
bugs : cpu_meltdown spectre_v1 spectre_v2 spec_store_bypass l1tf mds swapgs taa itlb_multihit
bogomips : 4999.99
clflush size : 64
cache_alignment : 64
address sizes : 46 bits physical, 48 bits virtual
power management:
processor : 1
vendor_id : GenuineIntel
cpu family : 6
model : 85
model name : Intel(R) Xeon(R) Platinum 8163 CPU @ 2.50GHz
stepping : 4
microcode : 0x1
cpu MHz : 2499.998
cache size : 33792 KB
physical id : 0
siblings : 2
core id : 0
cpu cores : 1
apicid : 1
initial apicid : 1
fpu : yes
fpu_exception : yes
cpuid level : 22
wp : yes
flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 ss ht syscall nx pdpe1gb rdtscp lm constant_tsc rep_good nopl nonstop_tsc cpuid tsc_known_freq pni pclmulqdq ssse3 fma cx16 pcid sse4_1 sse4_2 x2apic movbe popcnt tsc_deadline_timer aes xsave avx f16c rdrand hypervisor lahf_lm abm 3dnowprefetch invpcid_single pti ibrs ibpb stibp fsgsbase tsc_adjust bmi1 hle avx2 smep bmi2 erms invpcid rtm mpx avx512f avx512dq rdseed adx smap avx512cd avx512bw avx512vl xsaveopt xsavec xgetbv1 arat
bugs : cpu_meltdown spectre_v1 spectre_v2 spec_store_bypass l1tf mds swapgs taa itlb_multihit
bogomips : 4999.99
clflush size : 64
cache_alignment : 64
address sizes : 46 bits physical, 48 bits virtual
power management:3.读写IO的测试
[root@iZbp14j2amyqheetigvagtZ ~]# dd if=/dev/zero of=IO-test bs=64k count=4k oflag=dsync
4096+0 records in
4096+0 records out
268435456 bytes (268 MB, 256 MiB) copied, 6.82777 s, 39.3 MB/s
[root@iZbp14j2amyqheetigvagtZ ~]# dd if=/dev/zero of=IO-test bs=8k count=256k conv=fdatasync
262144+0 records in
262144+0 records out
2147483648 bytes (2.1 GB, 2.0 GiB) copied, 20.0371 s, 107 MB/s
4.站长之家的ping检测
我服务器选择可用区在杭州本地，这个最快4ms就有点离谱
二、部署Hfish开源蜜罐系统
1.ECS部署容器
安装podman
[root@iZbp14j2amyqheetigvagtZ ssh]# dnf install -y podman
拉取hfish容器镜像
[root@iZbp14j2amyqheetigvagtZ ~]# podman pull threatbook/hfish-server:latest
✔ docker.io/threatbook/hfish-server:latest
Trying to pull docker.io/threatbook/hfish-server:latest...
Getting image source signatures
Copying blob ab8e6b0f1fc6 skipped: already exists
Copying blob 4b755810d514 skipped: already exists
Copying blob 3bc29d5c7e7b skipped: already exists
Copying blob 9f0220d857d3 skipped: already exists
Copying blob a0d0a0d46f8b skipped: already exists
Copying blob 349cd78be449 done
Copying blob 15e4c67086cd done
Copying blob ec5ac59a23da done
Copying blob 6b049e805320 done
Copying config 0c91d36b5a done
Writing manifest to image destination
Storing signatures
0c91d36b5a67f3489fa813a8809c73c1482499b8eaa5643f4e46990a9c4d623e
运行hfish容器，挂载目录，设置容器主机网络
[root@iZbp14j2amyqheetigvagtZ ~]# mkdir /usr/share/hfish
[root@iZbp14j2amyqheetigvagtZ ~]# podman run -itd --name hfish -v /usr/share/hfish:/usr/share/hfish --network host --privileged=true threatbook/hfish-server:latest
1de8da4ddf70e0668529beee7787a0009f563b496ffa6bca1f542556d0f98272hfish容器运行后，可以在ECS看到蜜罐部署的诱饵服务端口，都是常见的服务端口。
此前我们修改了默认的SSH服务22端口，也是将蜜罐部署到正常的22端口上去
2.云主机的防火墙设置
云主机的特点之一，就是默认情况下防火墙不再受系统上的iptables或firewall控制，而是由云主机所接入的安全组配置所控制，所有访问流量受安全组的黑白名单控制。
回到阿里云ECS控制台，修改安全组，将这些蜜罐端口放行
成功从公网访问hfish的管理页面
进入管理页面，需要配置数据库，稍后，我们使用RDS云数据库配合部署
3.使用云数据库RDS配合部署Hfish
考虑到在公网部署蜜罐，还是决定使用云数据库。
我们进入到阿里云RDS控制台，这里我们有一台RDS云数据库与ECS处于同一可用区，我们部署hfish数据库在RDS中
我们先将ECS内网地址加入RDS的白名单中，允许ECS进行访问
数据库管理中，选择创建数据库，输入数据库名称
选择账号管理，创建数据库账号，选择创建的数据库进行授权
完成RDS数据库配置后，我们在Hfish中进行配置连接，填入信息
完成数据库连接，蜜罐系统成功上线。
三、直观体验互联网中的腥风血雨
在没有WAF、FW、IDSIPS这些网络安全设备时，搭建一个简单的蜜罐，是为服务器提供最方便最简易的主动防御能力。
到这里我们的Hfish蜜罐系统已经成功上线，我们可以看到Hfish现在为单节点部署，在线部署了9个蜜罐服务
Hfish通过攻击者地址提供了炫酷的态势展示大屏，这也是我非常喜欢这个开源项目的原因
扫描测试
先对服务器进行简单的存活性\端口开放性进行一个扫描，这里扫描结果也是蜜罐部署的服务
先查一下我的攻击地址
在扫描感知中，立马就可以看到我进行了扫描行为
服务爆破攻击测试
我使用经典的hydra进行用户名密码爆破，编写一个简单的字典大概十个字段
在蜜罐中立马采集到攻击行为，针对SSH蜜罐的攻击。采集信息包括攻击者IP、IP所述物理地、爆破的详细信息、日期时间等
其他
Hfish还有其他功能，比如说配合jsonp进行攻击溯源；经常被爆破的账号密码收集、采集系统服务弱口令、与社区联动的样本检测等等功能。。。
也可以自己针对不同的业务，去仿真构造许多不同的蜜罐服务。我自己其他服务器上就仿造了一个深X服SSLVPN登录页面的蜜罐，在红蓝对抗期间效果颇丰。
[ECS C5云服务器](https://www.aliyun.com/minisite/goods?userCode=gy5l4yp9)的性能肯定是毋庸置疑的，搭配RDS高性能云数据库。在正常部署业务的同时也可以考虑部署一些简单的蜜罐在服务器上，可以为服务器提供简单的主动防御能力，比如抗一抗坏人的暴力破解。但是真正需要使用蜜罐来直面攻击者进行可溯源的行为诱捕，我们的架构运维人员还是需要好好考虑服务运行的架构，避免出现反向效果，反而成为安全漏洞其他应用测试
在云效中构建部署到ECS主机
拿实验室的2048小游戏流水线做案例，所有部署到ECS主机上的设置类似。
选择流水线配置，选择部署配置，主机配置
添加主机，选择新建服务连接
创建服务连接完成后，选择服务连接
之后选择地域，我们的ECS在杭州。这里云网络的架构一样，不能跨地域部署
选择ECS
设置主机组环境，包括日常、预发、正式环境
当然部署脚本还是需要的，因为2048这个测试项目是需要运行deploy.sh脚本运行jar包，deploy.sh的脚本也包含了一个web存活性的检测。
自己在部署项目到ecs的时候可以设置启动服务的命令
yum -y install java
mkdir -p /home/admin/application/
tar zxvf /home/admin/app/package.tgz -C /home/admin/application
sh /home/admin/application/deploy.sh restart流水线运行ok，一路绿灯，好看
先玩会2048，休息一下子
