蜜罐技术论文
蜜罐技术论文
摘要：蜜罐(Honeypot)是一种在互联网上运行的计算机系统。它是专门为吸引并诱骗那些试图非法闯入他人计算机系统的人(如电脑黑客)而设计的，蜜罐系统是一个包含漏洞的诱骗系统，它通过模拟一个或多个易受攻击的主机，给攻击者提供一个容易攻击的目标。由于蜜罐并没有向外界提供真正有价值的服务，因此所有对蜜罐尝试都被视为可疑的。蜜罐的另一个用途是拖延攻击者对真正目标的攻击，让攻击者在蜜罐上浪费时间。简单点一说：蜜罐就是诱捕攻击者的一个陷阱。
关键词：设计蜜罐；蜜罐的分类；拓扑位置；安全价值；信息收集
一、设计蜜罐
现在网络安全面临的一个大问题是缺乏对入侵者的了解。即谁正在攻击、攻击的目的是什么、如何攻击以及何时进行攻击等，而蜜罐为安全专家们提供一个研究各种攻击的平台。它是采取主动的方式，用定制好的特征吸引和诱骗攻击者，将攻击从网络中比较重要的机器上转移开，同时在黑客攻击蜜罐期间对其行为和过程进行深入的分析和研究，从而发现新型攻击，检索新型黑客工具，了解黑客和黑客团体的背景、目的、活动规律等。
蜜罐在编写新的IDS特征库、发现系统漏洞、分析分布式拒绝服务（DDOS）攻击等方面是很有价值的。蜜罐本身并不直接增强网络的安全性，将蜜罐和现有的安全防卫手段如入侵检测系统(IDS)、防火墙(Firewall)、杀毒软件等结合使用，可以有效提高系统安全性。
设置蜜罐并不难，只要在外部因特网上有一台计算机运行没有打上补丁的微软Windows或者Red Hat Linux即行。因为黑客可能会设陷阱，以获取计算机的日志和审查功能，你就要在计算机和因特网连接之间安置一套网络监控系统，以便悄悄记录下进出计算机的所有流量。然后只要坐下来，等待攻击者自投罗网。
不过，设置蜜罐并不是说没有风险。这是因为，大部分安全遭到危及的系统会被黑客用来攻击其它系统。这就是下游责任（downstream liability），由此引出了蜜网（honeynet）这一话题。
而是防止蜜罐建立出站连接。不过，虽然这种方法使蜜罐不会破坏其它系统，但同时很容易被黑客发现。
二、蜜罐的分类
根据蜜罐的交互程度，可以将蜜罐分为3类：
蜜罐的交互程度（Level of Involvement）指攻击者与蜜罐相互作用的程度。
⑴低交互蜜罐
只是运行于现有系统上的一个仿真服务，在特定的端口监听记录所有进入的数据包，提供少量的交互
功能，黑客只能在仿真服务预设的范围内动作。低交互蜜罐上没有真正的操作系统和服务，结构简单，
部署容易，风险很低，所能收集的信息也是有限的。
⑵中交互蜜罐
也不提供真实的操作系统，而是应用脚本或小程序来模拟服务行为，提供的功能主要取决于脚本。在
不同的端口进行监听，通过更多和更复杂的互动，让攻击者会产生是一个真正操作系统的错觉，能够
收集更多数据。开发中交互蜜罐，要确保在模拟服务和漏洞时并不产生新的真实漏洞，而给黑客渗透
和攻击真实系统的机会。
⑶高交互蜜罐
由真实的操作系统来构建，提供给黑客的是真实的系统和服务。给黑客提供一个真实的操作系统，可以学习黑客运行的全部动作，获得大量的有用信息，包括完全不了解的新的网络攻击方式。正因为高交互蜜罐提供了完全开放的系统给黑客，也就带来了更高的风险，即黑客可能通过这个开放的系统去攻击其他的系统。
三、蜜罐的拓扑位置
蜜罐本身作为一个标准服务器对周围网络环境并没有什么特别需要。理论上可以布置在网络的任何位置。但是不同的位置其作用和功能也是不尽相同。
如果用于内部或私有网络，可以放置在任何一个公共数据流经的节点。如用于互联网的连接，蜜罐可以位于防火墙前面，也可以是后面。
⑴防火墙之前：如见图1中蜜罐（1）,蜜罐会吸引象端口扫描等大量的攻击，而这些攻击不会被防火墙记录也不让内部IDS系统产生警告，只会由蜜罐本身来记录。
因为位于防火墙之外，可被视为外部网络中的任何一台普通的机器，不用调整防火墙及其它的资源的配置，不会给内部网增加新的风险，缺点是无法定位或捕捉到内部攻击者，防火墙限制外向交通，也限制了蜜罐的对内网信息收集。
⑵防火墙之后：如图1中蜜罐（2），会给内部网带来安全威胁，尤其是内部网没有附加的防火墙来与蜜罐相隔离。蜜罐提供的服务，有些是互联网的输出服务，要求由防火墙把回馈转给蜜罐,不可避免地调整防火墙规则，因此要谨慎设置，保证这些数据可以通过防火墙进入蜜罐而不引入更多的风险。
优点是既可以收集到已经通过防火墙的有害数据，还可以探查内部攻击者。缺点是一旦蜜罐被外部攻击者攻陷就会危害整个内网。
还有一种方法，把蜜罐置于隔离区DMZ内，如图1中蜜罐（3）。隔离区只有需要的服务才被允许通过防火墙，因此风险相对较低。DMZ内的其它系统要安全地和蜜罐隔离。此方法增加了隔离区的负担，具体实施也比较困难。
四、蜜罐的安全价值
蜜罐是增强现有安全性的强大工具，是一种了解黑客常用工具和攻击策略的有效手段。根据P2DR 动态安全模型，从防护、检测和响应三方面分析蜜罐的安全价值。
⑴防护蜜罐在防护中所做的贡献很少，并不会将那些试图攻击的入侵者拒之门外。事实上蜜罐设计的初衷就是妥协，希望有人闯入系统，从而进行记录和分析。
有些学者认为诱骗也是一种防护。因为诱骗使攻击者花费大量的时间和资源对蜜罐进行攻击，从而防止或减缓了对真正系统的攻击。
⑵检测蜜罐的防护功能很弱，却有很强的检测功能。因为蜜罐本身没有任何生产行为，所有与蜜罐的连接都可认为是可疑行为而被纪录。这就大大降低误报率和漏报率，也简化了检测的过程。
现在的网络主要是使用入侵检测系统IDS来检测攻击。面对大量正常通信与可疑攻击行为相混杂的网络，要从海量的网络行为中检测出攻击是很困难的，有时并不能及时发现和处理真正的攻击。高误报率使IDS失去有效的报警作用，蜜罐的误报率远远低于大部分IDS工具。
另外目前的IDS还不能够有效地对新型攻击方法进行检测，无论是基于异常的还是基于误用的，都有可能遗漏新型或未知的攻击。蜜罐可以有效解决漏报问题，使用蜜罐的主要目的就是检测新的攻击。
⑶响应蜜罐检测到入侵后可以进行响应，包括模拟回应来引诱黑客进一步攻击，发出报警通知系统管理员，让管理员适时的调整入侵检测系统和防火墙配置，来加强真实系统的保护等。
五、蜜罐的信息收集
要进行信息分析，首先要进行信息收集，下面分析蜜罐的数据捕获和记录机制。根据信息捕获部件的位置，可分为基于主机的信息收集和基于网络的信息收集。
基于主机的信息收集
基于主机的信息收集有两种方式，一是直接记录进出主机的数据流，二是以系统管理员身份嵌入操作系统内部来监视蜜罐的状态信息，即所谓“Peeking”机制。
⑴记录数据流
直接记录数据流实现一般比较简单，主要问题是在哪里存储这些数据。
收集到的数据可以本地存放在密罐主机中，例如把日志文件用加密技术放在一个隐藏的分区中。本地存储的缺点是系统管理员不能及时研究这些数据，同时保留的日志空间可能用尽，系统就会降低交互程度甚至变为不受监控。攻击者也会了解日志区域并且试图控制它，而使日志文件中的数据不再是可信数据。
因此，将攻击者的信息存放在一个安全的、远程的地方相对更合理。以通过串行设备、并行设备、USB或Firewire技术和网络接口将连续数据存储到远程日志服务器，也可以使用专门的日志记录硬件设备。数据传输时采用加密措施。
⑵采用“Peeking”机制
这种方式和操作系统密切相关，实现相对比较复杂。
对于微软系列操作系统来说，系统的源代码是很难得到，对操作系统的更改很困难，无法以透明的方式将数据收集结构与系统内核相结合，记录功能必须与攻击者可见的用户空间代码相结合。蜜罐管理员一般只能察看运行的进程，检查日志和应用MD-5检查系统文件的一致性。
对于UNIX系列操作系统，几乎所有的组件都可以以源代码形式得到，则为数据收集提供更多的机会，可以在源代码级上改写记录机制，再重新编译加入蜜罐系统中。需要说明，尽管对于攻击者来说二进制文件的改变是很难察觉，一个高级黑客还是可能通过如下的方法探测到：
·MD-5检验和检查：如果攻击者有一个和蜜罐对比的参照系统，就会计算所有标准的系统二进制文件的MD-5校验和来测试蜜罐。
·库的依赖性和进程相关性检查：即使攻击者不知道原始的二进制系统的确切结构，仍然能应用特定程序观察共享库的依赖性和进程的相关性。例如，在UNIX操作系统中，超级用户能应用truss
或strace命令来监督任何进程，当一个象grep（用来文本搜索）的命令突然开始与系统日志记录进程通信，攻击者就会警觉。库的依赖性问题可以通过使用静态联接库来解决。
另外如果黑客攻陷一台机器，一般会安装所谓的后门工具包，这些文件会代替机器上原有的文件，可能会使蜜罐收集数据能力降低或干脆失去。因此应直接把数据收集直接融入UNIX内核，这样攻击者很难探测到。修改UNIX内核不象修改UNIX系统文件那么容易，而且不是所有的UNIX版本都有源代码形式的内核。不过一旦源代码可用，这是布置和隐藏数据收集机制有效的方法。
基于网络的信息收集
基于主机的信息收集定位于主机本身，这就很容易被探测并终止。基于网络的信息收集将收集机
制设置在蜜罐之外，以一种不可见的方式运行，很难被探测到，即使探测到也难被终止,比基于主机的信息收集更为安全。可以利用防火墙和入侵检测系统从网络上来收集进出蜜罐的信息。
⑴防火墙
可以配置防火墙记录所有的出入数据，供以后仔细地检查。用标准文件格式来记录，如Linux系统的tcpdump兼容格式，可以有很多工具软件来分析和解码录制的数据包。也可以配置防火墙针对进出蜜罐数据包触发报警，这些警告可以被进一步提炼而提交给更复杂的报警系统，来分析哪些服务己被攻击。例如，大部分利用漏洞的程序都会建立一个shell或打开某端口等待外来连接，防火墙可以记录那些试图与后门和非常规端口建立连接的企图并且对发起源的IP告警。防火墙也是数据统计的好地方，进出数据包可被计数，研究黑客攻击时的网络流量是很有意义的。
⑵入侵检测系统
网络入侵检测系统NIDS在网络中的放置方式使得它能够对网络中所有机器进行监控。可以用HIDS记录进出蜜罐的所有数据包，也可以配置NIDS只去捕获我们感兴趣的数据流。
在基于主机的信息收集中，高明的入侵者会尝试闯入远程的日志服务器试图删除他们的入侵记录，而这些尝试也正是蜜罐想要了解和捕获的信息。即使他们成功删除了主机内的日志，NIDS还是在网内静静地被动捕获着进出蜜罐的所有数据包和入侵者的所有活动，此时NIDS充当了第二重的远程日志系统，进一步确保了网络日志记录的完整性。
当然，不论是基于误用还是基于异常的NIDS都不会探测不到所有攻击，对于新的攻击方式，特征库里将不会有任何的特征，而只要攻击没有反常情况，基于异常的NIDS就不会触发任何警告，例如慢速扫描，因此要根据蜜罐的实际需要来调整IDS配置。
始终实时观察蜜罐费用很高，因此将优秀的网络入侵检测系统和蜜罐结合使用是很有用的。
主动的信息收集
信息也是可以主动获得，使用第三方的机器或服务甚至直接针对攻击者反探测，如Whois，Portscan等。这种方式很危险，容易被攻击者察觉并离开蜜罐，而且不是蜜罐所研究的主要范畴。
降低蜜罐的风险
首先，要根据实际需要选择最低安全风险的蜜罐。事实上并不总是需要高交互蜜罐，如只想发现公司内部的攻击者及谁探查了内部网，中低交互的蜜罐就足够了。如确实需要高交互蜜罐可尝试利用带防火墙的蜜网而不是单一的蜜罐。
其次，要保证攻击蜜罐所触发的警告应当能够立即发送给蜜罐管理员。如探测到对root权限的尝试攻击就应当在记录的同时告知管理员，以便采取行动。要保证能随时关闭蜜罐，作为最后的手段，关闭掉失去控制的蜜罐，阻止了各种攻击，也停止了信息收集。
相对而言保护第三方比较困难，蜜罐要与全球的网络交互作用才具有吸引力而返回一些有用的信息，拒绝向外的网络交通就不会引起攻击者太大的兴趣，而一个开放的蜜罐资源在黑客手里会成为有力的攻击跳板，要在二者之间找到平衡，可以设置防火墙对外向连接做必要的限定：
⑴在给定时间间隔只允许定量的IP数据包通过。
⑵在给定时间间隔只允许定量的TCP SYN数据包。
⑶限定同时的TCP连接数量。
⑷随机地丢掉外向IP包。
这样既允许外向交通，又避免了蜜罐系统成为入侵者攻击他人的跳板。如需要完全拒绝到某个端口的外向交通也是可以的。另一个限制方法是布置基于包过滤器的IDS，丢弃与指定特征相符的包，如使用Hogwash包过滤器。
六、结语
随着网络入侵类型的多样化发展，蜜罐也必须进行多样化的演绎，否则它有一天将无法面对入侵者的肆虐。这也对网络管理员的技术能力有了更高的要求，因为蜜罐——这个活跃在安全领域的虚拟演员，它的一举一动，都是通过你来设计的，无法让蜜罐像T-X那样变化无常，但是，至少要防止设计的阿诺再次被T-X踏断脖子注入反叛指令。
蜜罐系统是一个比较新的安全研究方向。相对于其它安全机制，蜜罐使用简单，配置灵活，占用的资源少，可以在复杂的环境下有效地工作，而且收集的数据和信息有很好的针对性和研究价值。既能作为独立的安全信息工具，还可以与其他的安全机制协作使用，取长补短地对入侵进行检测，查找并发现新型攻击和新型攻击工具。
蜜罐也有缺点和不足，主要是收集数据面比较狭窄和给使用环境引入了新的风险。面对不断改进的黑客技术，蜜罐技术也要不断地完善和更新。
蜜罐技术是什么
第一章蜜罐技术 蜜罐（Honeypot Technology）技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。 蜜罐好比是情报收集系统。蜜罐好像是故意让人攻击的目标，引诱黑客前来攻击。所 以攻击者入侵后，你就可以知道他是如何得逞的，随时了解针对服务器发动的最新的攻击和漏洞。还可以通过窃听黑客之间的联系，收集黑客所用的种种工具，并且掌握他们的社交网络。 第二章详细解释 2.1蜜罐的定义 首先我们要弄清楚一台蜜罐和一台没有任何防范措施的计算机的区别，虽然这两者都 有可能被入侵破坏，但是本质却完全不同，蜜罐是网络管理员经过周密布置而设下的“黑匣子”，看似漏洞百出却尽在掌握之中，它收集的入侵数据十分有价值；而后者，根本就是送 给入侵者的礼物，即使被入侵也不一定查得到痕迹……因此，蜜罐的定义是：“蜜罐是一个 安全资源，它的价值在于被探测、攻击和损害。” 设计蜜罐的初衷就是让黑客入侵，借此收集证据，同时隐藏真实的服务器地址，因此 我们要求一台合格的蜜罐拥有这些功能：发现攻击、产生警告、强大的记录能力、欺骗、协助调查。另外一个功能由管理员去完成，那就是在必要时候根据蜜罐收集的证据来起诉入侵者。 2.2涉及的法律问题 蜜罐是用来给黑客入侵的，它必须提供一定的漏洞，但是我们也知道，很多漏洞都属 于“高危”级别，稍有不慎就会导致系统被渗透，一旦蜜罐被破坏，入侵者要做的事情是管理员无法预料的。例如，一个入侵者成功进入了一台蜜罐，并且用它做“跳板”（指入侵者远程控制一台或多台被入侵的计算机对别的计算机进行入侵行为）去攻击别人，那么这个损失由谁来负责？设置一台蜜罐必须面对三个问题：设陷技术、隐私、责任。 设陷技术关系到设置这台蜜罐的管理员的技术，一台设置不周全或者隐蔽性不够的蜜 罐会被入侵者轻易识破或者破坏，由此导致的后果将十分严重。 由于蜜罐属于记录设备，所以它有可能会牵涉到隐私权问题，如果一个企业的管理员 恶意设计一台蜜罐用于收集公司员工的活动数据，或者偷偷拦截记录公司网络通讯信息，这样的蜜罐就已经涉及法律问题了。
网络诱骗技术之蜜罐
网络诱骗技术之蜜罐 摘要：基于主动防御理论系统而提出的新兴蜜罐技术，日益受到网络安全领域的重视，蜜罐主要通过精心布置的诱骗环境来吸引和容忍入侵，进而了解攻击思路、攻击工具和攻击目的等行为信息，特别是对各种未知攻击行为信息的学习。根据获取的攻击者得情报，安全组织就能更好地理解网络系统当前面临的危险，并知道如何阻止危险的发生。本文首先系统地介绍了蜜罐和蜜罐网络诱骗系统的原理知识及关键技术,重点阐述了蜜罐的发展趋势及研究方向。 关键词：蜜罐、网络诱骗、网络安全、蜜网 Phishing technology Honeypot (Northeastern University at Qinhuangdao, Qinhuangdao, 066004) Abstract: Based on active defense system proposed by the emerging theory of honeypot technology, increasingly the importance of network security, honeypots, mainly through careful layout of the environment to attract and tolerance decoy invasion, and then understand the idea of attack, attack tools, and the purpose of acts such as attacks information, especially information on a variety of learning unknown attacks. According to the attacker have access to intelligence and security organizations can better understand the danger facing the network system, and how to prevent dangerous place. This article first systematic introduction to honeypots and honeypot network decoy system, the principle knowledge and key technologies, focusing on trends and honeypot research. Keywords: Honeypot, Phishing, network security, Honeynet 0引言 “蜜罐”这一概念最初出现在1990年出版的一本小说《The Cuckoo’s Egg》中，在这本小说中描述了作者作为一个公司的网络管理员，如何追踪并发现一起商业间谍案的故事。“蜜网项目组”[1]（The Honey net Project）的创始人Lance Spitzner 给出了对蜜罐的权威定义：蜜罐是一种安全资源，其价值在于被扫描、攻击和攻陷。这个定义表明蜜罐并无其他实际作用，因此所有流入/流出蜜罐的网络流量都可能预示了扫描、攻击和攻陷。而蜜罐的核心价值就在于对这些攻击活动进行监视、检测和分析。 1蜜罐技术
蜜罐技术详解与案例分析
1.引言 随着人类社会生活对Internet需求的日益增长，网络安全逐渐成为Internet及各项网络服务和应用进一步发展的关键问题，特别是1993年以后Internet开始商用化，通过Internet进行的各种电子商务业务日益增多，加之Internet/Intranet技术日趋成熟，很多组织和企业都建立了自己的内部网络并将之与Internet联通。上述上电子商务应用和企业网络中的商业秘密均成为攻击者的目标。据美国商业杂志《信息周刊》公布的一项调查报告称，黑客攻击和病毒等安全问题在2000年造成了上万亿美元的经济损失，在全球范围内每数秒钟就发生一起网络攻击事件。2003年夏天，对于运行着Microsoft Windows的成千上万台主机来说简直就是场噩梦！也给广大网民留下了悲伤的回忆，这一些都归结于冲击波蠕虫的全世界范围的传播。 2.蜜罐技术的发展背景 网络与信息安全技术的核心问题是对计算机系统和网络进行有效的防护。网络安全防护涉及面很广，从技术层面上讲主要包括防火墙技术、入侵检测技术,病毒防护技术,数据加密和认证技术等。在这些安全技术中，大多数技术都是在攻击者对网络进行攻击时对系统进行被动的防护。而蜜罐技术可以采取主动的方式。顾名思义，就是用特有的特征吸引攻击者，同时对攻击者的各种攻击行为进行分析并找到有效的对付办法。（在这里，可能要声明一下，刚才也说了，“用特有的特征去吸引攻击者”，也许有人会认为你去吸引攻击者，这是不是一种自找麻烦呢，但是，我想，如果攻击者不对你进行攻击的话，你又怎么能吸引他呢？换一种说话，也许就叫诱敌深入了）。 3. 蜜罐的概念 在这里，我们首先就提出蜜罐的概念。美国 L．Spizner是一个著名的蜜罐技术专家。他曾对蜜罐做了这样的一个定义：蜜罐是一种资源，它的价值是被攻击或攻陷。这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东西，这样就为使用者提供了额外的、有价值的信息。蜜罐不会直接提高计算机网络安全，但是它却是其他安全策略所不可替代的一种主动防御技术。 具体的来讲，蜜罐系统最为重要的功能是对系统中所有操作和行为进行监视和记录，可以网络安全专家通过精心的伪装，使得攻击者在进入到目标系统后仍不知道自己所有的行为已经处于系统的监视下。为了吸引攻击者，通常在蜜罐系统上留下一些安全后门以吸引攻击者上钩，或者放置一些网络攻击者希望得到的敏感信息，当然这些信息都是虚假的信息。另外一些蜜罐系统对攻击者的聊天内容进行记录，管理员通过研究和分析这些记录，可以得到攻击者采用的攻击工具、攻击手段、攻击目的和攻击水平等信息，还能对攻击者的活动范围以及下一个攻击目标进行了解。同时在某种程度上，这些信息将会成为对攻击者进行起诉的证据。不过，它仅仅是一个对其他系统和应用的仿真，可以创建一个监禁环境将攻击者困在其中，还可以是一个标准的产品系统。无论使用者如何建立和使用蜜罐，只有它受到攻击,它的作用才能发挥出来。 4.蜜罐的具体分类和体现的安全价值
蜜罐系统搭建与测试分析
蜜罐系统搭建与测试分析 互联网作为世界交互的接口，是各国互联网管理的必由之路。速度快、多变化、无边界、多维度的网络传播，不仅加速了全球化的进程，也减少差异阻隔，尤其在全球经济一体化发展的背景下，互联网已成为各国政治、文化和经济融合与博弈的重要场域。但是，与此同时互联网安全面临着巨大的考验。 导致互联网目前如此糟糕的安全状况的原因有很多，一方面是由于互联网的开放性和各种操作系统、软件的缺省安装配置存在很多安全漏洞和缺陷，同时，大部分的网络使用者还未真正拥有安全意识，也还很少进行安全加强工作，如及时打补丁、安装防火墙和其他安全工具等，从而导致了目前的互联网具有巨大的安全隐患。另一方面，随着网络攻击技术的发展，特别是分布式拒绝服务攻击、跳板（Step-stone）攻击及互联网蠕虫的盛行，互联网上的每一台主机都已经成为攻击的目标。此外，黑客社团也不像互联网早期那么纯洁，不再仅仅为了兴趣和炫耀能力而出动，而更多的由于国家利益、商业利益及黑暗心理等因素促使其对互联网安全构成危害。同时攻击者也不再需要很多的专业技术和技巧，他们可以很方便地从互联网上找到所需的最新攻击脚本和工具（如 PacketStorm 网站）。而这些由高级黑客们开发的攻击脚本和工具越来越容易使用，功能也越来越强，能够造成的破坏也越来越大。特别值得注意的一个趋势是多种攻击脚本和工具的融合，如大量的内核后门工具包（Rootkit），及能够集成多种攻击脚本并提供易用接口的攻击框架的出现。 当网络被攻陷破坏后，我们甚至还不知道对手是谁，他们使用了哪些工具、以何种方式达成攻击目标，以及为什么进行攻击更是一无所知。作为安全防护工
浅谈蜜罐技术及其应用
浅谈蜜罐技术及其应用 摘要：：蜜罐技术是信息安全保障的研究热点与核心技术。本文介绍了目前国 际上先进的网络安全策略一蜜罐技术，并对近年来蜜罐技术的研究进展进行了综述评论。同时也探讨一种全新的网络安全策略一蜜网。 关键词：蜜罐；蜜网；网络安全 1 引言 随着计算机网络技术的发展，网络在世界经济发展中的地位已十分重要。然而在网络技术日益发展的同时“黑客”们对网络的攻击从未停止过。我们目前的主要防范策略就是构建防火墙。通过防火墙来阻止攻击，保障网络的正常运行。 2 蜜罐技术 防火墙确实起到了一定的保护作用，但是细想一下，这样却不近常理，“黑客”们在不断的攻击，我们的网络总是处于被动的防守之中。既不知道自己已被攻击，也不知道谁在攻击。岂有久攻不破之理。虽然网络安全技术在不断的发展，“黑客”们攻击方法也在不断翻新，在每次的攻击中“黑客”们并没有受到任何约束和伤害，一次失败回头再来。而且在这众多“黑客”对个别营运商的局面下，我们是否太被动了，稍有不周就遭恶运。 而蜜罐好比是情报收集系统。蜜罐好像是故意让人攻击的目标，引诱黑客前来攻击。所以攻击者入侵后，你就可以知道他是如何得逞的，随时了解针对服务器发动的最新的攻击和漏洞。还交可以通过窃听黑客之间的联系，收集黑客所用的种种工具，并且掌握他们的社网络。 蜜罐Honeypot以及蜜罐延伸技术，当前十分流行，它已不是一种新的技术，可以说是一大进步的安全策略。它使我们知道正在被攻击和攻击者，以使“黑客”们有所收敛而不敢肆无忌惮。蜜罐的引入，类似于为网络构建了一道防火沟，使攻击者掉入沟中，装入蜜罐以至于失去攻击力，然后再来个瓮中捉鳖。关于蜜罐，目前还没有一个完整的定义。读者可以参阅Clif Stoil所著“Cuckoo’s"Egg'’，和Bill Cheswick所著“An Ev witll Be Id”。在此我们把蜜罐定义为“一种被用来侦探，攻击或者缓冲的安全资源”。当今处于商业运作的蜜罐技术方案主要是两种：商品型和研究型。商品型主要就是通过使黑客攻击蜜罐从而减轻网络的危险。研究型主要就是通过蜜罐来获得攻击者的信息，加以研究。实现知己知彼，既了解黑客们的动机，又发现我们所面临的危险，从而更好地加以防范。无论是商品型还是研究型蜜罐，他们的主要目的是被用来探测、攻击和潜在的开发利用。 实际上蜜罐就是一种工具，怎样使用该工具由你决定，并取决于你打算做什么。它是一个仿效系统或应用程序系统，它建立了一个监狱系统。它的主要目的就是诱人攻击。 3 蜜罐技术的分类和比较 目前蜜罐技术的应用比较广泛，主要用于攻击的检测、捕获、分析、取证、
蜜罐及蜜网技术简介
蜜罐及蜜网技术简介 Introduction to Honeypot and Honeynet 北大计算机科学技术研究所 信息安全工程研究中心 诸葛建伟，2004-10-15 Abstract The purpose of this paper is to overview the honeypot and honeynet technologies, including the concept, history, present and future. The most well known and applicable honeynet – Gen2 honeynet framework developed by The Honeynet Project is introduced. Furthermore, the emerging research directions in this area are presented. 摘要 本文给出了对蜜罐及蜜网技术的综述报告，包括蜜罐和蜜网的基本概念、发展历程、核心功能，并介绍了目前最为成熟的“蜜网项目组”推出的第二代蜜网架构。此外本文还给出了蜜罐及蜜网技术的进一步研究方向。 关键字 网络攻击；蜜罐；蜜网；诱捕网络 1问题的提出 众所周知，目前的互联网安全面临着巨大的考验。美国CERT（计算机应急
响应组）统计的安全事件数量以每年翻番的惊人指数级增长，在2003年已经达到了137,529次。 导致互联网目前如此糟糕的安全状况的原因有很多，一方面是由于互联网的开放性和各种操作系统、软件的缺省安装配置存在很多安全漏洞和缺陷，同时，大部分的网络使用者还未真正拥有安全意识，也还很少进行安全加强工作，如及时打补丁、安装防火墙和其他安全工具等，从而导致了目前的互联网具有巨大的安全隐患。另一方面，随着网络攻击技术的发展，特别是分布式拒绝服务攻击、跳板（Step-stone）攻击及互联网蠕虫的盛行，互联网上的每一台主机都已经成为攻击的目标。此外，黑客社团也不像互联网早期那么纯洁，不再仅仅为了兴趣和炫耀能力而出动，而更多的由于国家利益、商业利益及黑暗心理等因素促使其对互联网安全构成危害。同时攻击者也不再需要很多的专业技术和技巧，他们可以很方便地从互联网上找到所需的最新攻击脚本和工具（如PacketStorm网站）。而这些由高级黑客们开发的攻击脚本和工具越来越容易使用，功能也越来越强，能够造成的破坏也越来越大。特别值得注意的一个趋势是多种攻击脚本和工具的融合，如大量的内核后门工具包（Rootkit），及能够集成多种攻击脚本并提供易用接口的攻击框架（如在2004年DEFCON黑客大会中引起广泛关注的Metasploit）的出现。 针对如此严重的安全威胁，而我们却仍然对黑客社团所知甚少。当网络被攻陷破坏后，我们甚至还不知道对手是谁（黑客、脚本小子还是蠕虫？），对他们使用了哪些工具、以何种方式达成攻击目标，以及为什么进行攻击更是一无所知。 “知己知彼，百战不殆”，安全防护工作者，无论是安全研究人员、安全产品研发人员、安全管理人员和安全响应服务人员，都需要首先对黑客社团有深入的了解，包括他们所掌握的攻击技术、技巧和战术、甚至心理和习惯等。只有在充分了解对手的前提下，我们才能更有效地维护互联网安全。而蜜罐和蜜网技术为捕获黑客的攻击行为，并深入分析黑客提供了基础。
蜜罐技术在防御DDoS中的应用
万方数据
２０１０年第４期汪北阳：蜜罐技术在防御ＤＤｏＳ中的应用 ７ｌ 具有足够威胁的攻击； （２）使攻击者攻击不到真正的目标［１０】。 具体方式是切断图１中的两个控制信息流中的任意一个，或者切断攻击流。蜜罐布置如图２所示的 网络结构，在ＤＭＺ区有ｗｅｂ、Ｅ—ｍａｉｌ、ＤＮＳ、ｍ四个 服务器，这些服务器是向外提供Ｉｎｔｅｒｎｅｔ服务的，在ＤＭＺ区同时也布置一些蜜罐系统，这些蜜罐系统中也分别配置成以上四种服务器中的一种，ＤＩＶＩＺ区与Ｉｎｔｅｍｅｔ用一个防火墙隔离。这些蜜罐的作用是代替 真实服务器接收由攻击傀儡机发送的攻击包。内部 局域网被一个防火墙与ＤＭＺ区隔离，包括若干台主机和伪装成存在安全漏洞的局域网主机的蜜罐。在防火墙中同时运行入侵检测、攻击扫描和网络数据包 的重定向机制¨¨。 图２蜜罐布置网 ２．２安全防范框架 （１）蜜罐技术在防范ＤＤｏＳ攻击中的作用：①目前主流的防火墙都有检测ＤＤｏＳ攻击的功能［１２１，在防火墙检测到ＤＤｏＳ攻击后启用重定向功能，将攻击流重定向到蜜罐主机（切断攻击流）；②同时蜜罐主机由于也配置有服务器相同的服务软件，并且由于蜜罐系统具有相对容易攻击的特点，可以吸引黑客的攻击，稀释对受保护主机的攻击；③吸引黑客入侵蜜罐，以蜜罐主机为控制傀儡机，由蜜罐系统控制这些信息流（切断控制信息）；④蜜罐系统内安装安全日志，可以记录不同的攻击行为，以供学习。 攻击流 防火±ｉ｛｛｝ 芷常访问 服务器 日志服务器 图３网络安全系统框图 （２）利用蜜罐技术防范ＤＤｏＳ攻击的原理，如图３所示。防火墙系统将攻击流量重定向到蜜罐，由蜜罐系统做出回应并进行日志记录。有些攻击可能突 破防火墙，这时蜜罐就能起到混淆攻击者，诱骗这些攻击流进入蜜罐系统。蜜罐系统将这些攻击行为记录加密后发送到日志服务器，这台服务器是低交互并加固的，很难被入侵ｕ３１。 ３应用蜜罐技术防御ＤｏＳ攻击的性能分析 对上述方案进行了攻击防范实验。攻击采用分 布式的ＳＹＮＦｌｏｏｄ，设置攻击傀儡机的攻击速度从２． ２Ｍｂｐｓ开始逐渐提高，网络带宽为１００Ｍｂｐｓ。服务器方由４个真实系统和４个伪装成服务器的蜜罐主机 组成［１３１。在ＳＹＮＦｌｏｏｄ攻击过程中，单个服务器主 机和蜜罐受到的攻击流量如图４所示。 ０ ＂Ｉ∞ｌ∞∞０２５０ ｍ 图４单个服务器主机和蜜罐受到的攻击流量 为避免被攻击者察觉，这里所选用的蜜罐设置为低安全措施、有漏洞的真实系统［１４１。一旦防火墙发现攻击者在试图搜寻或入侵网络主机，就会通过地址重定向将这些信息发送到合适的蜜罐，蜜罐将根据初始设置向攻击者发送他所期待的应答，使攻击者认为该主机已经被控制。攻击者将使用这些“受控主机”，在蜜罐上安装攻击软件并向这些蜜罐发送控制信息。设攻击者在搜索和入侵有漏洞主机时被入侵检测系统发现并重定向到蜜罐的概率为Ｐ．，一个网络中有普通主机数ｋ，每一台主机被成功入侵的概率 为Ｐ２，伪装成漏洞主机的蜜罐数为ｇ，可得到入侵真实主机成功的概率为Ｐ２（１－Ｐ。）ｋ／（ｋ＋ｇ），入侵蜜罐的概率是Ｐｌ＋（１一Ｐ１）ｇ／（ｋ＋ｇ）。 通过分析蜜罐日志所得的信息加强入侵检测、加固主机，可以不断提高入侵检测系统发现攻击行为的概率Ｐ。，降低主机被入侵的概率Ｐ２。由图４可见，采用上述蜜罐方案，能明显降低攻击者通过入侵足够数量的主机发起高强度ＤＤｏＳ攻击的概率，并能够有效地降低服务器主机所受到的攻击强度。 ”¨¨ ”蛐¨“ “ｎ 攻击覆量¨ Ｈ 黜攀 啵卫机生撇 重一 万方数据
蜜罐技术及其应用研究
蜜罐技术及其应用研究 文章首先介绍了蜜罐技术的定义、发展及分类，分析了蜜罐系统的关键技术，阐述了蜜罐技术的具体应用。最后总结了蜜罐技术的优缺点和发展。 标签：蜜罐；Honeyd；蜜网 1 蜜罐技术概述 1.1 蜜罐技术的定义 The Honeynet Project（蜜网项目组）创始人Lance Spitzner给蜜罐的定义是：蜜罐是一种安全资源，它的价值就在于被探测、被攻击或被攻陷。其主要功能：一是通过构建蜜罐环境诱骗攻击者入侵，从而保护业务系统安全；二是诱骗成功之后捕获攻击数据进行分析，了解并掌握入侵者使用的技术手段和工具，调整安全策略以增强业务系统的安全防护。 1.2 蜜罐技术发展历程 蜜罐技术的发展经历了三个阶段： 1.2.1 蜜罐（Honeypot）。从1990年蜜罐概念提出到1999年，研究人员相继开发了欺骗工具包DTK、虚拟蜜罐Honeyd等工具，广泛应用于商业领域。 1.2.2 蜜网（Honeynet）。1999年蜜网项目组提出并实现，目前已发展到第三代蜜网技术，已有项目应用。 1.2.3 蜜场（Honeyfarm）。2003年由Lance Spitzner首次提出蜜场思想，处于研究阶段。 1.3 蜜罐技术分类 蜜罐技术可以从不同的角度进行分类： 根据系统应用目标不同，将蜜罐分为产品型和研究型蜜罐。产品型蜜罐可以为系统及网络安全提供保障，主要包括攻击检测、防范攻击造成破坏等功能，且较容易部署，不需要管理人员投入太多精力。研究型蜜罐主要用于研究活动，如吸引攻击、搜集信息、探测新型攻击及黑客工具等功能。 根据系统交互级别不同，将蜜罐分为低交互和高交互蜜罐。低交互蜜罐通过模拟操作系统和服务来实现，攻击者只被允许少量的交互行为。高交互蜜罐通常由真实的操作系统构建，提供给攻击者真实的系统和服务，可以获得大量有用信息。
蜜罐技术论文
蜜罐技术论文 摘要：蜜罐(Honeypot)是一种在互联网上运行的计算机系统。它是专门为吸引并诱骗那些试图非法闯入他人计算机系统的人(如电脑黑客)而设计的，蜜罐系统是一个包含漏洞的诱骗系统，它通过模拟一个或多个易受攻击的主机，给攻击者提供一个容易攻击的目标。由于蜜罐并没有向外界提供真正有价值的服务，因此所有对蜜罐尝试都被视为可疑的。蜜罐的另一个用途是拖延攻击者对真正目标的攻击，让攻击者在蜜罐上浪费时间。简单点一说：蜜罐就是诱捕攻击者的一个陷阱。 关键词：设计蜜罐；蜜罐的分类；拓扑位置；安全价值；信息收集 一、设计蜜罐 现在网络安全面临的一个大问题是缺乏对入侵者的了解。即谁正在攻击、攻击的目的是什么、如何攻击以及何时进行攻击等，而蜜罐为安全专家们提供一个研究各种攻击的平台。它是采取主动的方式，用定制好的特征吸引和诱骗攻击者，将攻击从网络中比较重要的机器上转移开，同时在黑客攻击蜜罐期间对其行为和过程进行深入的分析和研究，从而发现新型攻击，检索新型黑客工具，了解黑客和黑客团体的背景、目的、活动规律等。 蜜罐在编写新的IDS特征库、发现系统漏洞、分析分布式拒绝服务（DDOS）攻击等方面是很有价值的。蜜罐本身并不直接增强网络的安全性，将蜜罐和现有的安全防卫手段如入侵检测系统(IDS)、防火墙(Firewall)、杀毒软件等结合使用，可以有效提高系统安全性。 设置蜜罐并不难，只要在外部因特网上有一台计算机运行没有打上补丁的微软Windows或者Red Hat Linux即行。因为黑客可能会设陷阱，以获取计算机的日志和审查功能，你就要在计算机和因特网连接之间安置一套网络监控系统，以便悄悄记录下进出计算机的所有流量。然后只要坐下来，等待攻击者自投罗网。 不过，设置蜜罐并不是说没有风险。这是因为，大部分安全遭到危及的系统会被黑客用来攻击其它系统。这就是下游责任（downstream liability），由此引出了蜜网（honeynet）这一话题。 而是防止蜜罐建立出站连接。不过，虽然这种方法使蜜罐不会破坏其它系统，但同时很容易被黑客发现。 二、蜜罐的分类 根据蜜罐的交互程度，可以将蜜罐分为3类： 蜜罐的交互程度（Level of Involvement）指攻击者与蜜罐相互作用的程度。 ⑴低交互蜜罐 只是运行于现有系统上的一个仿真服务，在特定的端口监听记录所有进入的数据包，提供少量的交互 功能，黑客只能在仿真服务预设的范围内动作。低交互蜜罐上没有真正的操作系统和服务，结构简单， 部署容易，风险很低，所能收集的信息也是有限的。 ⑵中交互蜜罐 也不提供真实的操作系统，而是应用脚本或小程序来模拟服务行为，提供的功能主要取决于脚本。在 不同的端口进行监听，通过更多和更复杂的互动，让攻击者会产生是一个真正操作系统的错觉，能够 收集更多数据。开发中交互蜜罐，要确保在模拟服务和漏洞时并不产生新的真实漏洞，而给黑客渗透 和攻击真实系统的机会。 ⑶高交互蜜罐
蜜罐与蜜网技术的研究与分析
＼．网络通讯及安全．．．．．．本栏目责任编辑：冯誓 蜜罐与蜜网技术的研究与分析 邹文．唐心玉 （湖南商学院，湖南长沙４１０２０５） “ 摘要：本文给出了蜜罐和蜜网的定义及分类．介绍了蜜罐的主要技术原理。并且比较和分析了第一代和第二代蜜网模型。 关键词：蜜罐；蜜网；防火墙；入侵检测系统 文章编号：１００９－３０４４（２００８）们ｒ－１１２１枷３ 中图分类号：ＴＰ３９３文献标识码：Ａ ＴｈｅＲｅｓｅａｒｃｈａｎｄＡｎａｌｙｓｉｓｏｆＨｏｎｅｙｐｏｔａｎｄＨｏｎｅｙｎｅｔ ＺＯＵＷｅｎ，ＴＡＮＧＸｉｎ－ｙｕ Ｏ－ＩｕｎａｎＵｎｉｖｅｒｓｉｔｙｏｆＣｏｍｍｅｒｃｅ，Ｃｌ［１ａｎｇｓｈａ４１０２０５，ｃｈｉｍ） Ａｂｓｔｒａｃｔ：Ｔｈｉｓｔｅｘｔｇｉｖｅｄｅｆｉｎｉｔｉｏｎａｎｄｃｌａｓｓｉｆｉｃａｔｉｏｎｏｆｈｏｎｅｙｐｏｔａｎｄｈｏｎｅｙｎｅｔ，ｉｎｔｒｏｄｕｃｅｄｔｈｅｍａｉｎｔｅｃｈｎｉｑｕｅｏｆｈｏｎｅｙｐｏｔ，ａｎｄａｎａｌｙｚｅｄｔｈｅｍｏｄｅｌｏｆＧｅｎＩａｎｄＧｅｎＩＩｈｏｎｅｙｎｅｔ． Ｋｅｙｗｏｒｄｓ：ｈｏｎｅｙｐｏｔ；ｈｏｎｅｙｎｅｔ；ｉｎｕｍｉｏｎｄｅｔｅｃｔｉｏｎｓｙｓｔｅｍ；ｆｉｒｅｗａｌｌ １引言 随着计算机网络技术的迅猛发展．开放式的网络体系的安全隐患日益明显地暴露出来，从上世纪八十年代至今各种计算机安全事件不断发生。传统意义上的网络安全，如防火墙、入侵检测系统、加密等等，都是被动防御的。它们的策略是，先考虑系统可能出现哪些问题，然后对问题进行分析解决，而蜜罐技术提出了一种新的网络安全防御策略，变被动防御为主动进攻，使其具有主动交互性。蜜罐系统的主要作用是学习了解人侵者的思路、工具、目的，通过获取这些信息，让互联网上的组织更好地了解他们所遇到的威胁．并且针对这些威胁及时找出相应的防御策略来提高系统的安全。 ２蜜罐的定义和国内外研究现状 ２．１譬罐的定义 蜜罐（ＨｏｎｅｙＰｏｔ）。是受到严密监控的网络诱骗系统，它通过真实或模拟的网络和服务来吸引攻击，从而在黑客攻击蜜罐期间对其攻击行为及过程进行记录分析，以搜集信息，同时对新攻击发出预警。蜜罐本身并不直接增强网络的安全性，但可以延缓攻击和转移攻击目标。简单地说．蜜罐就是诱捕攻击者的一个陷阱。 蜜Ｉｉ／ｌ（Ｈｏｎｅｙｎｅｔ）是蜜罐技术的延伸和发展，是一种高交互性的蜜罐。在一台或多台蜜罐主机基础上，结合防火墙、路由器、入侵检测系统组成的网络系统。蜜网可以合理记录下攻击者的行动，同时尽量减小或排除对因特网上其它系统造成的风险。 ２．２蜜罐的国内外研究现状 目前在国外的学术界．对蜜罐技术研究最多的是蜜网项目（ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ）组织．它是一个非官方，非营利的由３０多位安全专家组成的组织．专门致力于了解黑客团体使用的工具、策略和动机。形成了一系列的理论基础，并提出了蜜网的一代、二代模型。 在国内．蜜罐、蜜网的研究还处于发展阶段，还没有形成自己的理论体系和流派，更没有成熟的产品。北京大学２００４年９月狩猎女神项目启动（ＴｈｅＡｒｔｅｍｉｓＰｒｏｊｅｃｔ），随后加入蜜网研究联盟，是国内唯一的蜜网研究联盟成员。 ●＿３蜜罐的分类～ 按照产品设计的目的可以将蜜罐分为产品型蜜罐和研究型蜜罐： 产品型蜜罐的目的是减轻组织受到的攻击的威胁。增强受保护组织的安全性。它们所做的工作就是检测并且对付恶意的攻击者。它一般运用于商业组织的网络中。 研究型蜜罐是专门以研究和获取攻击信息为目的设计。这类蜜罐并没有增强特定组织的安全性，恰恰相反，蜜罐要做的是让研 收稿日期：２００８一０１—０８ 作者简介：邹文（１９８１－）．女，湖南长沙人．湖南商学院助教，在读硕士．研究方向：网络安全。 １２１４，劫电＿知识与拄木 万方数据
5.16 实例：蜜罐技术
5.16 实例：蜜罐技术 计算机网络安全技术的核心问题，是对计算机和网络系统进行有效的防护。网络安全防护涉及面很广，从技术层面上讲，主要包括数据加密技术、认证技术、防火墙技术、入侵检测技术、病毒防护技术等。在这些技术中，多数技术都是在攻击者对网络进行攻击时进行的被动防护。然而，蜜罐（Honeypot）技术可以采取主动方式。蜜罐技术诱导黑客误入歧途，消耗他们的精力，为加强防范赢得时间。 1．蜜罐的概念 美国的L.Spizner是一个著名的蜜罐技术专家，他对蜜罐的定义：蜜罐是一种资源，它的价值是被攻击或攻陷。这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东西，这样就为使用者提供了额外的、有价值的信息。蜜罐不会直接提高计算机网络安全，但是它却是其他安全策略不可替代的一种主动防御技术。由于蜜罐并没有向外界提供真正有价值的服务，因此所有对蜜罐的访问都被视为可疑的。蜜罐拖延攻击者对真正目标的攻击，让攻击者在蜜罐上浪费时间。 蜜罐就是一台不作任何安全防范措施，并且连接互联网的计算机。但是蜜罐与一般的计算机不同，它存在多种漏洞，并且管理员清楚这些漏洞，内部运行各种数据记录程序，会记录入侵者的所有操作和行为，这也是蜜罐系统最为重要的功能 无论如何建立和使用蜜罐，只有受到攻击时，它的作用才能发挥出来。为了吸引攻击者，通常在蜜罐系统中故意留下一些安全后门，或者放置一些网络攻击者希望得到的虚假敏感信息，吸引攻击者上钩。对攻击者的行为进行记录，管理员通过研究和分析这些记录，能够得知攻击者采用的攻击工具、攻击手段、攻击目的和攻击水平等信息。同时，这些信息将会成为对攻击者进行起诉的证据。 2．蜜罐的分类 根据设计的最终目的不同，可以将蜜罐分为：产品型蜜罐、研究型蜜罐。 （1）产品型蜜罐一般运用于商业组织的网络中。 （2）研究型蜜罐专门以研究和获取攻击信息为目的而设计。 3．一个简单蜜罐的例子 操作系统为：RHEL/CentOS/Fedora。 黑客入侵Linux系统一般有两种方法：第一、猜测root口令，一旦获得root口令，就会以root身份登录。第二、先以普通用户身份登录，然后用su命令转换成root。 （1）设置陷阱，防止黑客以root身份登录 在/root/.bash_profile文件后面追加如下一段程序： # root .profile clear echo "Login incorrect" echo echo "Login:" read p if [ "$p" = "123456" ]; then clear else exit fi （2）设置陷阱，防止黑客用su命令转换成root