beholder

介绍

beholder是一款简洁而小巧的系统，主要作用是通过监控端口变化来发现企业内部的信息孤岛。例如：运维或开发新部署了一台机器未通知安全。没有采用masscan+nmap的组合进行检测，原因是在实际的使用中发现，虽然masscan可以提高扫描速度，但是漏报的情况太严重了。最终还是只使用nmap来进行探测。

系统由 beholder_scanner、 beholder_web 两个部分组成。这两个部分可以部署在一台机器上，也可以分开部署在不同的机器上。当前项目为 beholder_web部分。

• beholder_scanner：对IP进行端口扫描、比较端口变化，可部署多个beholder_scanner来组成集群加快扫描速度。
• beholder_web：提供前端界面展示。

支持任务

• 常规扫描：一次性的普通端口扫描任务
• 比较端口变化：用于比较两次扫描结果的端口变化
• 监控端口开放情况：一般用于监控IP是否开放高危端口，如开放则告警

支持平台

• Linux
• Windows

安装指南

依赖：项目运行依赖于mongodb和redis，所以需准备好mongodb和redis。mongodb和redis安装请参考：

• mongodb安装
• redis安装

---

web端和scanner端的整体部署步骤都集中在scanner的README，这里不再重复。

使用手册

1. 配置

登陆平台后，需要在【配置】中设置扫描并发数。如果需要把比较结果发送邮箱，请配置邮件相关信息。

2. 新增扫描任务

点击【添加任务】平台可以添加三种不同用途的扫描任务，分别是：

• 常规扫描：一次性的普通端口扫描任务
• 比较端口变化：用于比较两次扫描结果的端口变化
• 监控端口开放情况：一般用于监控高危端口的开放情况

这里以比较端口变化任务为例，演示下使用方法。

添加需要监控的IP段和端口后确定。注意：

• 任务名称不能重复
• 如果一个循环周期内扫描没有完成，下个循环周期开始时不会添加任务

3. 查看端口变化

当任务循环扫描两次（不含两次）以上时，才会进行端口比较。

点击【任务列表】->【扫描详情】

在【扫描详情】页面，点击【扫描次数】，可以查看每次扫描的IP变化。