《蜜罐技术》PPT课件

《《蜜罐技术》PPT课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第14章蜜罐技术本章主要内容蜜罐技术提出与发展历程蜜罐技术概念及分类蜜罐技术原理蜜罐技术实例网络攻防技术互联网安全状况安全基础薄弱操作系统/软件存在大量漏洞安全意识弱、缺乏安全技术能力任何主机都是攻击目标！DDoS、跳板攻击需要大量僵尸主机蠕虫、病毒的泛滥并不再仅仅为了炫耀：Spamming,Phishing攻击者不需要太多技术攻击工具的不断完善?Metasploit:40+Exploits攻击脚本和工具可以很容易得到和使用?0-dayexploits:packetstorm网络攻防技术网络攻防的非对称博弈工作量不对称攻击方：夜深人静,攻其弱点防守方：24*7,全面防

2、护信息不对称攻击方：通过网络扫描、探测、踩点对攻击目标全面了解防守方：对攻击方一无所知后果不对称攻击方：任务失败，极少受到损失防守方：安全策略被破坏，利益受损攻击方掌握主动权网络攻防技术传统安全防护机制的不足被动安全防护机制加密、VPN防火墙:配置问题、针对开放业务端口的攻击、内部攻击入侵检测系统IDS:已知攻击特征库、高误报率反病毒软件:病毒特征库在线升级，延迟“主动”安全防护机制漏洞扫描与补丁分发工具:扫描脚本、补丁延迟入侵防御系统IPS:已知攻击特征库、“傻瓜式”网络攻防技术蜜罐技术的提出防御方尝试改变攻防博弈不对称性而提出的一种主动防护技术对攻击者的欺骗技术－

3、增加攻击代价、减少对实际系统的安全威胁了解攻击者所使用的攻击工具和攻击方法追踪攻击源、攻击行为审计取证蜜罐技术的提出Honeypot:首次出现在CliffStoll的小说“TheCuckoo’sEgg”(1990)著名计算机安全专家FredCohen网络攻防技术蜜罐技术发展历程蜜罐技术1998年后，出现DTK、Honeyd等大量开源蜜罐工具同期出现一些商业产品，但并未得到市场普及蜜网技术1999年由蜜网项目组(TheHoneynetProject)提出并实现目前已发展到第三代蜜网技术蜜场技术2003年由LanceSpitzner首次提出Honeypotfarms思想目

4、前仍未有实际的工具、产品和应用网络攻防技术蜜罐技术概念定义：honeypot:“Asecurityresourcewho’svalueliesinbeingprobed,attackedorcompromised”——LanceSpitzner（TheHoneynetProject的创始人）蜜罐是一类安全资源，其价值就在于被探测、被攻击及被攻陷。网络攻防技术蜜罐技术分类系统功能（产品型蜜罐、研究型蜜罐）交互程度（低交互蜜罐、高交互蜜罐）网络攻防技术产品型蜜罐目标:有效防护业务网络间接性防护－通过诱骗增大攻击者代价，混淆关键业务资源，了解并规避安全威胁直接性防护－蜜场技

5、术较具代表性的产品型蜜罐包括DTK、honeyd等开源工具和KFSensor、ManTrap等一系列的商业产品。网络攻防技术研究型蜜罐目标:研究对手，了解自身面临的安全威胁知己知彼、百战不殆蜜网技术(KnowYourEnemy)(Enemy)－目前更多意义上属－于研究型蜜罐技术具有代表性的工具是“蜜网项目组”所推出的第二代蜜网技术网络攻防技术低交互式蜜罐技术交互性：攻击者在蜜罐中活动的交互性级别低交互式蜜罐技术具有与攻击源主动交互的能力模拟网络服务响应，模拟漏洞容易部署，容易控制攻击低交互式－交互级别由于模拟能力而受限，数据获取能力和伪装性较弱，一般仅能捕获已知攻击例

6、:Honeyd商业产品:KFSensorKFSensor,Specter,,HoneyPointHoneyPoint…网络攻防技术高交互式蜜罐技术高交互式蜜罐技术使用真实的操作系统、网络服务与攻击源进行交互高度的交互等级－对未知漏洞、安全威胁具有天然的可适性，数据获取能力、伪装性均较强弱势－资源需求较大，可扩展性较弱，部署安全风险较高虚拟机蜜罐VS.物理蜜罐虚拟机(VirtualMachine)/仿真器(Emulator)技术节省硬件资源、容易部署和控制、容易恢复、安全风险降低高交互式蜜罐工具Honeynet––蜜网项目组(TheHoneynetProject)网络攻

7、防技术蜜罐技术优缺点优点收集到的数据很大可能就是由于黑客攻击造成的，不依赖于任何复杂的检测技术等，因此减少了漏报率和误报率。能够收集到新的攻击工具和攻击方法。不需要强大的资源支持。缺点需要较多的时间和精力投入。只能对针对蜜罐的攻击行为进行监视和分析，其视图较为有限。不能直接防护有漏洞的信息系统。会带来一定的安全风险。网络攻防技术蜜罐技术原理蜜罐技术原理－“蜜罐公理”无任何业务用途?没有任何的正常活动?任何活动都是恶意的攻击诱骗、安全威胁预警绕过攻击检测问题－区分正常业务和攻击行为防火墙：定义安全策略保证正常业务入侵检测系统：根据已知攻击特征进行检测反