基于蜜罐的主动防御技术研究

《基于蜜罐的主动防御技术研究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、一、绪论1.1引言在早期，计算机网络安全防护主要以被动防御为主，现在逐渐兴起的蜜罐技术是一种主动防御技术，在安全防护和信息安全屮日益受到重视。蜜罐技术一种计算机和网络安全资源，可以是真实的网络系统或是真实网络环境的模拟，其作用是引诱黑客扫描和攻击，获取攻击者的信息以及他们的攻击技术、手段，从而来可以提高网络安全防护和信息安全。1.2蜜罐的定义“蜜网项目组”的创始人LanceSpitzner给出了对蜜罐的权威定义.它是一种安全资源，其价值在于被扫描、攻击和攻陷的系统。这个定义表明了蜜罐并无其它的实际作用，I大I此所有流入，流出蜜罐网流量都可能预示了扫描、攻击和攻陷。1.3蜜

2、罐的工作原理蜜罐通常是指一个受到严密监控和监听的网络诱骗系统。那些攻击者往往会被这个真实或模拟的网络和服务所诱惑。安全专家和防护人员就可以利用攻击者攻击蜜罐的这个期间对其行为和过程进行分析，以搜集所需要的信息。蜜罐这时可以对新攻击发出预警，同时它还可以延缓攻击诱骗攻击者使其转移攻击目标，从而来保护网络和信息的安全。蜜罐系统的核心价值就是在于这些攻击活动进行监视、检测和分析。只有具备了强大的监视能力，才能更好的捕获攻击者或黑客的行踪和信息。蜜罐技术的监视机制具备隐藏性，保证了追踪攻击者在攻击的实丿施过程屮，能较好的不被攻击者跟踪监视。从而能够更好更安全的获得攻击过程的真实记

3、录，同时也能保证系统的安全。蜜罐其实它是预先设置好的包含漏洞的系统，它的作用就是引诱攻击者对系统进行攻击和入侵。从而来记录黑客进入系统的行踪和信息，同时诱骗和转移攻击者攻击目标来保护服务系统的正常运行。蜜罐的主要技术原理可以从下面儿点来阐述：（1）网络欺骗性:蜜罐技术体系屮关键的核心技术就是网络欺骗技术性。常见的功能冇模拟服务端口、流量仿真等。（2）数据捕获:一个蜜罐系统一般由三层实现：最外层是由防火墙来对蜜罐的网络连接实现口志记录；中间层由入侵检测系统来实现，获取蜜罐系统内的网络包；最里层的由蜜罐系统的主机来完成，捕获蜜罐主机的系统口志等信息。（3）数据分析:对数据进行

4、分析是蜜罐技术中的难点。数据分析中分别包括对网络协议分析以及网络行为分析和入侵报警等。（4）数据控制：数据控制作为是蜜罐的核心功能Z-,是为了保障蜜罐口身的安全。蜜罐的本身设置就是主动引诱网络攻击者，而成为的攻击FI标。如果蜜罐被攻破，反而会成为入侵者利用作为攻击其他系统的跳板，因而对于数据的控制安全性耍高。（4）数据控制：数据控制作为是蜜罐的核心功能之一，是为了保障蜜罐门身的安全。蜜罐的木身设置就是主动引诱网络攻击者，而成为的攻击冃标。如杲蜜罐被攻破，反而会成为入侵者利用作为攻击其他系统的跳板，因而对于数据的控制安全性要高。1.4蜜罐中的主要技术蜜罐中的主要技术有网络欺

5、骗、端口重定向、报警、数据控制和数据捕获等。1.4.1网络欺骗技术为了使蜜罐对入侵者更具有吸引力，就要采用何种欺骗手段。例如，在欺骗主机模拟一些操作系统或各种漏洞、在一台计算机上模拟整个网络、在系统中产生仿真网络流量等。通过这些方法，使蜜罐更象一个真实的工作系统，诱使入侵者上当。1.4.2端口重定向技术利用端口重定向技术，可以在工作系统中模拟一个非工作服务。例如，工作系统运行Web服务（端口80）,可以将telnet（端口23）和SMTP（端口25）定向到一个蜜罐，由于这两个服务在工作系统屮并没有打开，所有对这两个端口的访问（可认为是入侵行为）实际上都在蜜罐系统中，而不是

6、在工作系统。1.4.3报警技术蜜罐必须具备报警功能，当系统被攻击吋能够通知管理员，以便进行实时监视和跟踪。1.4.4数据控制技术蜜罐是专门用于被攻占的系统，但不能允许入侵者将他作为跳板去攻击其他系统，因此要控制系统的数据流量为不被入侵者怀疑。入侵者攻占一个系统后，最需要的是网络连接，以便从网上卜•载工具包，这真是分析的内容，因此必须给入侵者做这些事情的权利。1.4.5数据捕获技术入侵的情况下，捕获尽可能多的信息，包括输入/输出信息、击键和屏幕信息等，以从中分析他们所使用的工具、策略和动机。这可能要对系统做一些修改,但尽量要少，以免被入侵者发现。捕获的数据不能放在蜜罐主机上

7、。否则容易被入侵者发现，让他们知道这是一个蜜罐系统，这是他们会销毁证据。因此耍将数据记录在远程安全的主机上。二、蜜罐技术的分类和蜜罐工具为了尝试和研究这种主动的防御技术，研究人员和安全专家就不断地研制和使用着各种各样的蜜罐工具。口前蜜罐产品有很多，木文从蜜罐的部署的口的和蜜罐的交互性两个角度來对蜜罐产品进行分类。2.1根据蜜罐的部署目的不同，可以将蜜罐分为产品型蜜罐和研究型蜜罐两类2.1.1产品型蜜罐产品型蜜罐一般应用于商业组织的网络系统屮。它的目的是在于为一个组织网络提供安全保护。这些保护可以包括检测攻击、防止攻击造成的破坏