虚拟蜜罐honeyd的分析和研究(1)

《虚拟蜜罐honeyd的分析和研究(1)》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果虚拟蜜罐Honeyd的分析和研究(1)摘要：该文介绍一个新的主动型的网络安全系统－蜜罐。首先给出了蜜罐的定义和分类，然后详细描述了一个网络层次上的模拟计算机系统的虚拟蜜罐框架Honeyd，讨论了Honeyd的原理、结构、特点、设计和实现，并对它的功能作了全面的测试评估。　　关键字：蜜罐，交互性，个性，路由拓扑，模板1课题份量和难易程度要恰当，博士生能在二年内作出结果，硕士生能在一年内作出结果，特别是对实验条件等要有恰当的估计。从本学科出发，应

2、着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果蜜罐的介绍　　今天网络安全问题正日益严重。黑客利用自动化的大规模的漏洞扫描工具，可以在发现漏洞后不久就使全球的计算机系统遭受破坏。可是经过数十年的研究和探索，我们仍然不能确保计算机系统的安全，甚至无法准确评估它们的安全性。现在我们介绍一种新的网络安全预警系统：蜜罐。蜜罐是指受到严密监控的网络诱骗系统，它可以迷惑敌人，将攻击从网络中比较重要的机器上转移开，对新攻击发出预警，更重要的是可以引诱黑客攻击而并对其攻击的行为和过程进行深入的分析研究。将蜜罐和入侵检测系

3、统、防火墙等结合使用，可以有效提高系统安全性。Honeypot分为两种类型：一种是低交互性蜜罐，另一种是高交互性蜜罐。　　低交互性蜜罐通常是运行于现有操作系统上的仿真服务，只允许少量的交互动作,黑客只能在仿真服务预设的范围内动作，它的优点是结构简单，部署容易，风险很低。　　高交互性蜜罐通常由真实的操作系统来构建，提供给黑客的是真实的系统和服务。采用这种方式可以获得大量的有用信息，包括我们完全不了解的新的网络攻击方式。同时，它也带来了更多的风险--黑客可能通过这个完全开放的真实系统去攻击和渗透网络中的其他机器。　　配置高交互性的物理的蜜罐成本很高，因为每个蜜罐是具有自已IP地

4、址的真实机器，要有它自已的操作系统和相应硬件。而虚拟蜜罐是由一台机器去模拟构造一个拥有的多个虚拟主机和虚拟服务的网络。相对而言，虚拟蜜罐需要较少的计算机资源和维护费用。　　本文描述的Honeyd，就是一个在网络层次上模拟计算机系统的虚拟蜜罐框架。2Honeyd的设计和实施　　Honeyd是一个轻型的开放源代码的虚拟蜜罐的框架，可以模拟多个操作系统和网络服务，支持IP协议族，创建任意拓扑结构的虚拟网络。同时，为了模拟拓扑分散的网络地址空间和共享负荷，该结构也支持网络通道。　图1Honeyd的数据接收图Honeyd的结构网络数据的接收　　要使Honeyd可以对目的IP地址属于虚

5、拟蜜罐之一的网络数据包正常的接受和回应，有如下方法：对指向Honeyd主机的虚拟IP地址创建特定路由、使用ARP代理及使用网络通道。　　如图1所示，假设为我们路由器的IP地址，为Honeyd主机的IP地址。是Honeyd虚拟的蜜罐的IP地址。最简单的情况是虚拟蜜罐的IP位于我们局域网内。当从互联网向蜜罐Windows课题份量和难易程度要恰当，博士生能在二年内作出结果，硕士生能在一年内作出结果，特别是对实验条件等要有恰当的估计。从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果发送一个包时，路

6、由器首先查询它的路由表由找到的转送地址，如果没有配置专用的路由，路由器通过ARP请求确定虚拟蜜罐的MAC地址，因为没有相应的物理机器ARP请求会不被响应，因此我们配置Honeyd主机用自己的MAC地址的对的ARP请求做出反应，这样通过ARP代理路由器就把发送蜜罐Windows课题份量和难易程度要恰当，博士生能在二年内作出结果，硕士生能在一年内作出结果，特别是对实验条件等要有恰当的估计。从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果的包转到Honeyd主机的MAC地址。　　在复杂的情况下，

7、我们也可以应用通用路由封装通道协议在网络地址空间和hondyd主机间建立通道。2.Honeyd结构　　Honeyd结构由几部分构成：一个配置数据库，一个中央包分配器，协议处理器，个性化引擎和随机的路由组件，见图2。　　Honeyd支持三种主要的互联网协议：ICMP，TCP和UDP。输入的包由中央包分配器处理，它首先检测IP包的长度并验证校验，然后查询配置数据库找到与目的IP地址相对应的蜜罐配置，如果不存在专用的配置，则应用缺省模板。确定了配置后，数据包被传送给相应的协议处理器。　　ICMP协议处理器支持大多数ICM