🛡️

HONEY-SCAN ANALYSE

CODEBASE DEEP DIVE & ARCHITECTURE

Projekt Übersicht

Honey-Scan ist ein Python-basiertes Reconnaissance-Tool. Es analysiert Netzwerk-Hosts, um durch Signaturvergleich festzustellen, ob es sich um Täuschungssysteme (Honeypots) handelt. Der Code ist modular aufgebaut und trennt strikt zwischen Netzwerk-IO, Analyse-Logik und Reporting.

Core Language

🐍
Python 3
AsyncIO & Socket Based

Detection Modules

🧩
12+
Cowrie, Dionaea, Elastic...

Avg. Scan Speed

~0.4s
pro Host (Threaded)

Output Format

📄
JSON/CSV
Structured Data Stream

Code-Struktur Analyse

Verteilung der Codezeilen nach Funktionalität. Der größte Teil des Codes widmet sich den Signaturen und der Netzwerkanalyse (Goal: Compare/Inform).

Scan-Performance & Latenz

Zeitlicher Aufwand der einzelnen Phasen eines Scans. Der "Handshake" und das Warten auf Antwort (IO Wait) verbrauchen die meiste Zeit (Goal: Change/Time).

Der Data-Stream Prozess

Visualisierung des Datenflusses von der Eingabe (Trigger) bis zur Archivierung. Hier entstehen die Daten, werden transformiert und klassifiziert.

⌨️

Trigger

CLI Argumente
Target List Import

⬇️
📡

Scanner Core

Socket Connect
Banner Grabbing

⬇️
🧠

Analyzer

RegEx Matching
Heuristik Score

⬇️
💾

Archivierung

JSON Export
Log Rotation

Verbindungs-Logik

1. Initialisierung

Das `Target`-Objekt wird instanziiert. Ports werden basierend auf der Konfiguration (Top 1000 oder Custom) geladen.

2. Payload Injection

Um Honeypots zu enttarnen, sendet der Scanner oft ungültige Protokoll-Header. Echte Server schließen die Verbindung, Honeypots versuchen oft weiter zu interagieren (Data Logging).

3. Signaturabgleich

Die Antwort wird gegen `signatures.json` geprüft. Matching erfolgt auf String-Ebene ("SSH-2.0-Kippo") oder Verhaltens-Ebene.

Honeypot Score Verteilung (Simulation)

Darstellung der "Confidence Scores" über verschiedene Scan-Ziele hinweg. Höhere Werte (Y-Achse) bedeuten eine höhere Wahrscheinlichkeit eines Honeypots (Goal: Relationships/Distribution).