蜜罐和蜜网
/x278384/blog/item/dea8ed171a62a30bc93d6de9.html
蜜罐和蜜网
Honeypots and Honeynets
入侵检测也有局限性
入侵检测系统虽然在入侵行为的检测方面取 得了很大的成功,但自身存在难以克服的局限 但自身存在难以克服的局限: 得了很大的成功 但自身存在难以克服的局限 虚警、漏警。 虚警、漏警。 安全模型/规则 规则， 安全模型 规则，未知网络攻击 数据整合/挖掘 挖掘-如何从大量的数据中为攻击 数据整合 挖掘 如何从大量的数据中为攻击 检测和确认提供有用的信息
Honeypot
当攻击者忙着吃蜜的时候，收集攻击者的数据。 当攻击者忙着吃蜜的时候，收集攻击者的数据。 -攻击的来源 攻击的来源 -攻击者在做什么，在寻找什么 攻击者在做什么， 攻击者在做什么 -攻击者在 攻击者在exploiting 什么 vulnerabilities。 攻击者在 。 蜜罐系统是具有吸引和诱骗价值的资源，它期待被检测、攻击和潜在的利用。 蜜罐系统是具有吸引和诱骗价值的资源，它期待被检测、攻击和潜在的利用。 蜜罐系统不修补任何安全漏洞，它们向系统管理员提供附加的、 蜜罐系统不修补任何安全漏洞，它们向系统管理员提供附加的、有价值的信 可以是真实的网络系统或是真实网络环境的模拟， 息。可以是真实的网络系统或是真实网络环境的模拟，其作用是引诱黑客扫 描、攻击并最终攻陷从而获取攻击者的信息以及他们的攻击技术和手段。 攻击并最终攻陷从而获取攻击者的信息以及他们的攻击技术和手段。 辅助的网络安全防范技术， 辅助的网络安全防范技术， 它不能代替其它的网络安全 技术， 技术，只可以辅助其它网络 安全技术更加有效的实施， 安全技术更加有效的实施， 例如： 例如： 可以为入侵检测系统提供未 知攻击的检测记录。 知攻击的检测记录。
目的：捕获蠕虫和扫描器 拖慢速度 目的：捕获蠕虫和扫描器-拖慢速度 工作原理 负责对那么没有使用的IP请求的响应 负责对那么没有使用的 请求的响应 来了一个连接请求，响应并建立连接， 来了一个连接请求，响应并建立连接，以一种慢速但持续状态维持该连接 (比如 比如TCP Window size=1)，紧紧抓住这个连接，好像焦油那样。 比如 ，紧紧抓住这个连接，好像焦油那样。
低交互度Honeypot的实现 的实现 低交互度
-Tarpits(从Tar Pit-焦油坑而来 从 焦油坑而来) 焦油坑而来
/wiki/Tarpit_(networking) /q/Bookmarks/Delicious/tarpit iptables实现了 实现了tarpits 实现了
Honeypot的类型 的类型
是一种安全资源,其价值体现在被探测 -Honeypot是一种安全资源 其价值体现在被探测、攻击或者摧毁的时候。 是一种安全资源 其价值体现在被探测、攻击或者摧毁的时候。 Honeypot根据与攻击者的交互 根据与攻击者的交互(interaction)程度可分为以下三种 程度可分为以下三种: 根据与攻击者的交互 程度可分为以下三种 低交互度Honeypot-不运行真实操作系统的真实应用服务 而是模拟， 不运行真实操作系统的真实应用服务, 而是模拟 模拟， 低交互度 不运行真实操作系统的真实应用服务 对外呈现真实应用服务的基本功能,攻击者于是与这些模拟服务进行预 对外呈现真实应用服务的基本功能 攻击者于是与这些模拟服务进行预 先设定好的例行交互。 先设定好的例行交互。 只为外界攻击提供非常有限的应答或只是简单的监听网络的连接信息， 只为外界攻击提供非常有限的应答或只是简单的监听网络的连接信息， 如可能只开设几个虚假的端口信息， 如可能只开设几个虚假的端口信息，当攻击者根据扫描工具找到这些端 口并进行攻击时，蜜罐系统因为没有回应， 口并进行攻击时，蜜罐系统因为没有回应，因而只能产生一些简单的日 志信息，而这些信息只是一些初始的连接信息， 志信息，而这些信息只是一些初始的连接信息，无法真正评估攻击的目 而且因为无法回应或只回应少量信息. 的，而且因为无法回应或只回应少量信息 黑客很快就会发现异常并停止攻击，这样也就失去了诱骗的初衷。当然， 黑客很快就会发现异常并停止攻击，这样也就失去了诱骗的初衷。当然， 因为交互信息的有限性，这种类型的蜜罐系统的安全性也是最高的， 因为交互信息的有限性，这种类型的蜜罐系统的安全性也是最高的，它 不易被黑客攻破而成为攻击其它内网主机的跳板。 不易被黑客攻破而成为攻击其它内网主机的跳板。
iptables -A INPUT -p tcp -m tcp --dport 135 -j TARPIT
当一个新的链接过来的时候，连接会正常开始 不过 不过TCP windows size=0, 当一个新的链接过来的时候，连接会正常开始,不过 就是说连接虽然建立了,不过数据不会传输 强制终结连接也不管用,直到 不过数据不会传输, 就是说连接虽然建立了 不过数据不会传输 强制终结连接也不管用 直到 连接默认的time out时间到达 链接才会中止。 时间到达,链接才会中止 连接默认的 时间到达 链接才会中止。
低交互度Honeypot的实现 的实现 低交互度
-Kfsensor / 基于 基于Windows的蜜罐 的蜜罐/IDS 的蜜罐
提供两周试用版;依赖于 提供两周试用版 依赖于winPcap库 依赖于 库
可配置的服务模拟(FTP/HTTP/SMTP/Telnet/NetBIOS等) 等 扩展的事件日志能力(网络流量 网络流量) 扩展的事件日志能力 网络流量 可以作为一个吸引攻击和记录潜在的黑客以及通过 模拟易受攻击的系统服务甚至特洛伊木马的端口 选择程序执行哪个端口,以及当企图访问时候执行 选择程序执行哪个端口 以及当企图访问时候执行 什么行动. 什么行动 KFSensor 提供了详细的日志 攻击分析和安全警 提供了详细的日志,攻击分析和安全警 报功能.日志浏览显示了关于每次企图访问 日志浏览显示了关于每次企图访问,以及计 报功能 日志浏览显示了关于每次企图访问 以及计 地址的详细资料. 算机名称和 IP 地址的详细资料
Honeypot的类型 的类型
中交互度的Honeypot-仍然没有提供真实的操作系统应用服务与攻击者交互 仍然没有提供真实的操作系统应用服务与攻击者交互, 中交互度的 仍然没有提供真实的操作系统应用服务与攻击者交互 但为攻击者提供了更多复杂的诱骗进程,模拟了更多更复杂的特定服务 模拟了更多更复杂的特定服务。 但为攻击者提供了更多复杂的诱骗进程 模拟了更多更复杂的特定服务。中 交互度Honeypot能够预期一些活动 并且旨在可以给出一些低交互度 能够预期一些活动,并且旨在可以给出一些低交互度 交互度 能够预期一些活动 Honeypot所无法给予的响应。 所无法给予的响应。 所无法给予的响应 交互频率高，蜜罐系统可以提供较低交互系统更加详细的日志和攻击手段。 交互频率高，蜜罐系统可以提供较低交互系统更加详细的日志和攻击手段。 但中交互系统因为要模拟众多的服务而加大了其普通使用的技术门槛。因为 但中交互系统因为要模拟众多的服务而加大了其普通使用的技术门槛。 在无操作系统支持的基础上提供各种协议服务， 在无操作系统支持的基础上提供各种协议服务，而且要诱骗攻击者认为这是 一个真正的服务，这就要求在技术上要非常的逼真与高效， 一个真正的服务，这就要求在技术上要非常的逼真与高效，攻击者往往是对 网络安全技术有深入了解的人， 网络安全技术有深入了解的人，如果只是简单的或偶尔不正确的响应一些攻 击者的请求，攻击者可能很快就会发现被攻击系统的陷阱，从而停止攻击。 击者的请求，攻击者可能很快就会发现被攻击系统的陷阱，从而停止攻击。 因此架设一个中交互系统是比较复杂的， 因此架设一个中交互系统是比较复杂的，要求实施者对网络协议与服务有深 刻的认识。同时，因为中交互系统提供了较多的网络服务， 刻的认识。同时，因为中交互系统提供了较多的网络服务，有可能被攻击者 利用成为跳板，因此，在实施该系统的网络内，因经常检查系统日志， 利用成为跳板，因此，在实施该系统的网络内，因经常检查系统日志，并严 格检查是否有安全漏洞已经被黑客利用。 格检查是否有安全漏洞已经被黑客利用。
Honeypot的类型 的类型
高交互度的Honeypot-复杂度大大增加 面对攻击者的是真实操作系统 复杂度大大增加,面对攻击者的是真实操作系统 高交互度的 复杂度大大增加 面对攻击者的是真实 的真实应用服务。高交互度Honeypot为攻击者提供对实际操作系统的 的真实应用服务。高交互度 为攻击者提供对实际操作系统的 访问权,在此环境下无任何实体模拟或受限 在此环境下无任何实体模拟或受限, 访问权 在此环境下无任何实体模拟或受限 Honeypot收集攻击者信息 收集攻击者信息 的能力也大大增强,但同时它也面临高风险 但同时它也面临高风险,一旦攻击者掌握了对某个 的能力也大大增强 但同时它也面临高风险 一旦攻击者掌握了对某个 Honeypot的控制权 即拥有了被侵入机器完整可操作系统的控制权 从 的控制权,即拥有了被侵入机器完整可操作系统的控制权 的控制权 即拥有了被侵入机器完整可操作系统的控制权,从 而会在被侵入系统内进一步扩大侵害。 而会在被侵入系统内进一步扩大侵害。 高交互系统可以提供真实的操作系统环境， 高交互系统可以提供真实的操作系统环境，攻击者完全可以认为它就 是一台真实的服务器主机，因此， 是一台真实的服务器主机，因此，它可以对攻击者的攻击方法进行详 细的日志记录。当攻击者自认为成功入侵时， 细的日志记录。当攻击者自认为成功入侵时，系统也成功的记录了它 的入侵过程， 的入侵过程，这样可以帮助系统发现当前系统漏洞并采取相应措施修 补漏洞。 补漏洞。 当然，因为部署了真实的操作系统， 当然，因为部署了真实的操作系统，就难免有攻击者可以通过蜜罐系 统对其它内网主机进行攻击，因此， 统对其它内网主机进行攻击，因此，管理员应定期检查蜜罐主机的安 全性和完整性，也可通过其它方法将蜜罐主机与受保护主机隔离， 全性和完整性，也可通过其它方法将蜜罐主机与受保护主机隔离，使 攻击者即使攻破了蜜罐系统也无法跳板攻击其它主机。 攻击者即使攻破了蜜罐系统也无法跳板攻击其它主机。
蜜罐技术是什么
第一章蜜罐技术蜜罐（Honeypot Technology）技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。
蜜罐好比是情报收集系统。
蜜罐好像是故意让人攻击的目标，引诱黑客前来攻击。
所以攻击者入侵后，你就可以知道他是如何得逞的，随时了解针对服务器发动的最新的攻击和漏洞。
还可以通过窃听黑客之间的联系，收集黑客所用的种种工具，并且掌握他们的社交网络。
第二章详细解释2.1蜜罐的定义首先我们要弄清楚一台蜜罐和一台没有任何防范措施的计算机的区别，虽然这两者都有可能被入侵破坏，但是本质却完全不同，蜜罐是网络管理员经过周密布置而设下的“黑匣子”，看似漏洞百出却尽在掌握之中，它收集的入侵数据十分有价值；而后者，根本就是送给入侵者的礼物，即使被入侵也不一定查得到痕迹……因此，蜜罐的定义是：“蜜罐是一个安全资源，它的价值在于被探测、攻击和损害。
”设计蜜罐的初衷就是让黑客入侵，借此收集证据，同时隐藏真实的服务器地址，因此我们要求一台合格的蜜罐拥有这些功能：发现攻击、产生警告、强大的记录能力、欺骗、协助调查。
另外一个功能由管理员去完成，那就是在必要时候根据蜜罐收集的证据来起诉入侵者。
2.2涉及的法律问题蜜罐是用来给黑客入侵的，它必须提供一定的漏洞，但是我们也知道，很多漏洞都属于“高危”级别，稍有不慎就会导致系统被渗透，一旦蜜罐被破坏，入侵者要做的事情是管理员无法预料的。
例如，一个入侵者成功进入了一台蜜罐，并且用它做“跳板”（指入侵者远程控制一台或多台被入侵的计算机对别的计算机进行入侵行为）去攻击别人，那么这个损失由谁来负责？设置一台蜜罐必须面对三个问题：设陷技术、隐私、责任。
设陷技术关系到设置这台蜜罐的管理员的技术，一台设置不周全或者隐蔽性不够的蜜罐会被入侵者轻易识破或者破坏，由此导致的后果将十分严重。
蜜罐及蜜网技术
信息系统安全与对抗技术蜜罐及蜜网技术❖L.Spiuner是一名蜜罐技术专家，他对蜜罐的定义：蜜罐是一种资源，它的价值是被攻击或攻陷，这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东西，这样就为使用者提供了额外的、有价值的信息。
❖蜜罐不会直接提高计算机网络安全，但它却是其他安全策略所不可替代的一种主动防御技术。
❖产品型蜜罐的价值•运用于特定组织中以减小各种网络威胁，它增强了产品资源的安全性•防护•检测•响应❖研究型蜜罐的安全价值•研究型蜜罐可以捕获自动攻击•研究型蜜罐并不会降低任何风险与威胁，但是它们可以帮助使用者获得更多入侵者的信息❖诱骗服务（Deception Service）❖弱化系统（Weakened System）❖强化系统（Hardened System）❖用户模式服务器❖诱骗服务（Deception Service）•足以让攻击者相信是一件非常困难的事情❖弱化系统（Weakened System）❖强化系统（Hardened System）❖用户模式服务器❖诱骗服务（Deception Service ）❖弱化系统（Weakened System ）❖强化系统（Hardened System ）❖用户模式服务器•是一个配置有已知攻击弱点的操作系统•恶意攻击者更容易进入系统❖诱骗服务（Deception Service）❖弱化系统（Weakened System）❖强化系统（Hardened System）•强化系统并不配置一个看似有效的系统❖用户模式服务器❖诱骗服务（Deception Service）❖弱化系统（Weakened System）❖强化系统（Hardened System）❖用户模式服务器❖配置蜜罐的实例•蜜罐系统应该与任何真实的产品系统隔离•尽量将蜜罐放置在距离外网最近的位置•需要有步骤地记录所有通过蜜罐的信息❖配置蜜罐的实例❖产品型蜜罐❖研究型蜜罐❖根据交互的程度分类•低交互蜜罐：只提供—些特殊的虚假服务低交互蜜罐蜜罐的分类❖根据交互的程度分类•低交互蜜罐：只提供—些特殊的虚假服务•中交互蜜罐：中交互蜜罐提供了更多的交互信息，但还是没有提供一个真实的操作系统中交互蜜罐蜜罐的分类❖根据交互的程度分类•低交互蜜罐：只提供—些特殊的虚假服务•中交互蜜罐：中交互蜜罐提供了更多的交互信息，但还是没有提供一个真实的操作系统•高交互蜜罐：高交互蜜罐具有一个真实的操作系统高交互蜜罐蜜罐的分类❖蜜罐基本分类•牺牲型蜜罐•外观型蜜罐•测量型蜜罐❖由多个系统和多个攻击检测应用组成的网络❖信息控制❖信息捕获❖信息收集密网（Honeynet）分布式蜜网❖只要谈及蜜罐，就会使人联想到“诱骗”。
蜜罐技术在网络安全防护中的应用研究
蜜罐技术在网络安全防护中的应用研究摘要：随着全球信息的飞速发展，各种信息化系统已经成为关键的基础设施，蜜罐技术的出现使网络防御战由被动转向主动，可以帮助即时发现系统漏洞。
本文通过对蜜罐技术的概念阐述，探讨蜜罐技术的应用可能性。
关键词：蜜罐技术；密网；欺骗技术；主动防御1蜜罐技术的概念界定1.1蜜罐技术的概念在网络安全中，蜜罐是一种入侵诱饵，引诱黑客进行攻击，进而浪费黑客的时间和资源，收集黑客的信息，保留证据[1]。
因此，蜜罐一般作为诱饵设置在网络连接设备中，用于检测攻击者所使用的攻击方式，了解攻击者的攻击目标。
蜜罐技术的设计目标主要为捕获攻击信息、伪装欺骗、防御攻击及向管理者提供有价值的分析报告。
1.2蜜罐技术的工作原理一个简单的低交互蜜罐通常由计算机、应用程序和模拟真实系统行为的数据组成，所采用的真实系统往往对攻击者有很大的吸引力，如金融系统、物联网设备和公共设施等[2]。
通过模拟真实系统行为使得蜜罐看起来像是具有很高价值的攻击对象，但实际上是孤立并受到密切监控的网络防御系统。
正是由于常规的合法用户不会访问蜜罐，所以任何访问蜜罐的尝试都可以认为是恶意的攻击方式并被记录，因此误报率几乎为零。
蜜罐技术在按照部署方式和设计用途可以分为生产型蜜罐和研究型蜜罐[3]。
生产型蜜罐作为生产网络的真实组成部分，通常与生产服务器一起部署在实际的生产网络中，能够吸引并转移攻击者的攻击，使系统安全管理员有足够的时间评估攻击的威胁等级并做出适当的防御。
研究型蜜罐主要用于对攻击者的活动进行分析并发现新的攻击方式、规律和系统漏洞等。
1.3蜜罐技术分类蜜罐技术按照与攻击者的交互程度可以分为高交互蜜罐、中交互蜜罐和低交互蜜罐[4]。
高交互蜜罐利用真实的操作系统和环境进行构建，对攻击者来说是最真实的系统。
虽然高交互蜜罐因为其交互程度更高难以被识别，但是带来了更高的风险，很可能会被攻击者攻破并利用其攻击其他系统。
中交互蜜罐用于监控蜜罐与网络的连接，不提供真实的操作系统和服务，这类蜜罐是最复杂且最难维护。
蜜罐技术
蜜罐（Honeypot）技术蜜罐技术是入侵检测技术的一个重要发展方向，它已经发展成为诱骗攻击者的一种非常有效而实用的方法，它不仅可以转移入侵者的攻击，保护主机和网络不受入侵，而且可以为入侵的取证提供重要的线索和信息。
蜜罐概述蜜罐是一种在互联网上运行的计算机系统，它是专门为吸引并“诱骗”那些试图非法闯入他人计算机系统的人而设计的。
蜜罐系统是一个包含漏洞的诱骗系统，它通过模拟一个或者多个易受攻击的主机，给攻击者提供一个容易攻击的目标。
由于蜜罐并没有像外界提供真正有价值的服务，因此所有链接的尝试都将被视为是可疑的。
蜜罐的另一个用途是拖延攻击者对真正目标的攻击，让攻击者在蜜罐上浪费时间。
这样，最初的攻击目标得到了保护，真正有价值的内容没有受到侵犯。
此外，蜜罐也可以为追踪攻击者提供有用的线索，为起诉攻击者搜集有力的证据。
从这个意义上说，蜜罐就是“诱捕”攻击者的一个陷阱。
1.1 蜜罐的概念L.Spitzner是一名蜜罐技术专家，他对蜜罐做了这样的定义：蜜罐是一种资源，它的价值是被攻击或者攻陷，这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东西，这样就为使用者提供了额外的、有价值的信息。
蜜罐不会直接提高计算机网络安全，但它却是其他安全策略所不可替代的一种主动防御技术。
无论使用者如何建立和使用蜜罐，只有蜜罐受到攻击，它的作用才能发挥出来。
为了方便攻击者攻击，最好是将蜜罐设置成域名服务器（DNS）、Web或者电子邮件转发服务等流行应用中的某一种。
1.2蜜罐的安全价值根据设计的最终目的不同可以将蜜罐分为产品型蜜罐和研究型蜜罐。
1、产品型蜜罐产品型蜜罐一般运用于特定组织中以减小各种网络威胁，它增强了产品资源的安全性。
产品型蜜罐最大的价值就是检测，这是因为产品型蜜罐可以降低误报率和漏报率，这极大地提高了检测非法入侵行为的成功率。
在响应中也会增强整个组织对意外事件的响应能力，但是蜜罐不能阻止入侵者进入那些易受攻击的系统。
蜜罐与蜜网技术介绍
蜜罐技术弱势
劳力/技术密集型 局限的视图 不能直接防护信息系统 带来的安全风险
17
北京大学计算机科学技术研究所
安全风险
发现蜜罐
黑客知道要避免进入哪些系统 向蜜罐反馈虚假、伪造的信息 消除蜜罐的指纹 蜜罐-反蜜罐技术：博弈问题! 期望黑客获得蜜罐的root权限 黑客会将其用作危害第三方的跳板 引入多层次的数据控制机制 人为分析和干预
团队协作
5
北京大学计算机科学技术研究所
网络攻防的不对称博弈
工作量不对称
攻击方：夜深人静, 攻其弱点 防守方：24*7*365, 全面防护 攻击方：通过网络扫描、探测、踩点对攻击目标 全面了解 防守方：对攻击方一无所知 攻击方：任务失败，极少受到损失 防守方：安全策略被破坏，利益受损
6
信息不对称
提供真实的操作系统和服务，而不是模 拟 可以捕获更丰富的信息 部署复杂，高安全风险 实例：ManTrap, Gen II蜜网
15
北京大学计算机科学技术研究所
蜜罐技术优势
高保真－高质量的小数据集
很小的误报率 很小的漏报率
捕获新的攻击及战术 并不是资源密集型 简单
16
北京大学计算机科学技术研究所
18
利用蜜罐攻击第三方
北京大学计算机科学技术研究所
蜜罐工具实例
DTK
Deception Toolkit (1997) by Fred Cohen Fred Cohen, A Framework for Deception.
技术培训-蜜罐与蜜网技术介绍
蜜罐的分类
交互性：攻击者在蜜罐中活动的交互性级别 低交互型－虚拟蜜罐
• 模拟服务和操作系统 • 只能捕获少量信息 / 容易部署，减少风险 • 例: Honeyd
高交互型－物理蜜罐
• 提供真实的操作系统和服务，而不是模拟 • 可以捕获更丰富的信息 / 部署复杂，高安全风险 • 例: 蜜网
虚拟机蜜罐－虚拟硬件、真实操作系统/网络服务
蜜罐技术优势
高度保真的小数据集
• 低误报率 • 低漏报率
能够捕获新的攻击方法及技术 并不是资源密集型 原理简单，贴近实际
蜜罐技术概述
蜜罐技术的提出 蜜罐技术基本概念、分类及优势 虚拟蜜罐工具－Honeyd 蜜罐技术发展历程，当前研究热点
16
Honeyd
A virtual honeypot framework
• Honeyd 1.0 (Jan 22, 2005) by Niels Provos, Google Inc.
支持同时模拟多个IP地址主机
• 经过测试，最多同时支持65535个IP地址 • 支持模拟任意的网络拓扑结构
通过服务模拟脚本可以模拟任意TCP/UDP网络服务
• IIS, Telnet, pop3…
• 仅限对讲解内容相关的问题 • 对问题不感兴趣的可自由活动
讲座结束后留充分时间问答
• 欢迎任何问题 • 欢迎加入HoneynetCN邮件组讨论
蜜罐技术概述
蜜罐技术的提出 蜜罐技术基本概念、分类及优势 虚拟蜜罐工具－Honeyd 蜜罐技术发展历程，当前研究热点
8
互联网安全状况
安全基础薄弱
络攻防知识建模，恶意软件分析及防范技术 • 博士论文方向：基于数据融合框架的网络攻击关联分
析技术研究 • 2004年微软学者，2005年IBM Ph.D. Fellowship • Email: zhugejianwei@
蜜罐和蜜网
低交互度Honeypot的实现
-Kfsensor
部署目标 检测攻击 增加攻击代价 为应急响应提供丰富信 息研究 部署位置 直接接入互联网DMZ非 军事区 内部网络 攻击检测、诱骗网络
低交互度Honeypot的实现
-Honeyd /
经过测试，最多同时支持65535个IP地址 对ping和traceroute做出响应
支持同时模拟多个IP地址主机
支持ICMP
通过代理和重定向支持对实际主机、网络服务的整 合-重定向使得我们可以将一个到虚拟蜜罐上的服务 的连接请求转发到一台真实服务器运行的服务进程。
add windows tcp port 23 proxy “162.105.204.159 23”
因此架设一个中交互系统是比较复杂的，要求实施者对网络协议与服务有深 刻的认识。同时，因为中交互系统提供了较多的网络服务，有可能被攻击者 利用成为跳板，因此，在实施该系统的网络内，因经常检查系统日志，并严 格检查是否有安全漏洞已经被黑客利用。
Honeypot的类型
高交互度的Honeypot-复杂度大大增加,面对攻击者的是真实操作系统 的真实应用服务。高交互度Honeypot为攻击者提供对实际操作系统的 访问权,在此环境下无任何实体模拟或受限, Honeypot收集攻击者信息 的能力也大大增强,但同时它也面临高风险,一旦攻击者掌握了对某个 Honeypot的控制权,即拥有了被侵入机器完整可操作系统的控制权,从 而会在被侵入系统内进一步扩大侵害。 高交互系统可以提供真实的操作系统环境，攻击者完全可以认为它就 是一台真实的服务器主机，因此，它可以对攻击者的攻击方法进行详 细的日志记录。当攻击者自认为成功入侵时，系统也成功的记录了它 的入侵过程，这样可以帮助系统发现当前系统漏洞并采取相应措施修 补漏洞。 当然，因为部署了真实的操作系统，就难免有攻击者可以通过蜜罐系 统对其它内网主机进行攻击，因此，管理员应定期检查蜜罐主机的安 全性和完整性，也可通过其它方法将蜜罐主机与受保护主机隔离，使 攻击者即使攻破了蜜罐系统也无法跳板攻击其它主机。
蜜罐与蜜网技术
击 者 劳而 无功 ． 而 降低 黑 客攻 击 系 （ 从 欺骗 工具 包 ） ｉｌ Ｐｏ ｏ 开发 的 的商业产 品 。研究型 蜜罐 则是 专 门用 、Ｎｅｓ ｒｖ ｓ 通 统 的 兴趣 减少 重 要 系统 被攻 击 的危 Ｈ ｎ ｙ ｏ ｅ ｄ等 ， 同时也 出现 了像Ｋ Ｓ ｎｏ ， 于 对黑 客攻 击 的 捕获 和 分析 ． 过部 Ｆ ｅｓ ｒ
维普资讯
Ｔ ｌｃ ｍ ｒ ｅ ｅｅ ｏ ｍａ ｋ ｔ技 术 前 沿
蜜罐与蜜网技术
牛少彰 张 玮 （ 北京邮电大学
摘要： 网络Байду номын сангаас全领域 日益受到重视 ， 新兴的蜜罐与蜜网技术 。 基于主动防御理论而提出。蜜罐与 蜜网技术通过精心布置的诱骗环境来吸引容忍入侵 ，进而了解攻击思路 ．攻击工具和攻击 目的等行为 信息 根据获取的攻击者的情报能更好地理解 网络系统当前面临的危险 ，并且知道如何阻止这些危险 的发生。在 网络安全防护 中做到有的放矢 ，获得最大的主动权 。 关键词 ：网络安全 。蜜罐技术 。蜜网技术
术． 一类是 蜜网 （ｏ ｅ ｎ ｔ ｈ ｎ ｙ ｅ ）工程 。
一
种思 想 ． 常 由网络 管理人 员应 用 ． 蜜罐 的目的在 于为一 个组 织的 网络提 通
包括 检 测攻 击 防止 攻 国际 上的一 些安全 组 织首 先研究 通 过 欺骗 黑客达 到追 踪 的 目的。这 ～ 供 安全 保 护 ．
网络 诱骗 系统 ． 网络 诱骗 系统是 进 出该 网络 的数 据和 网络 诱骗 主机 上 于使 用真 实 的主机 、操 作 系统 和应 用
网络信息安全的蜜罐与蜜网技术
网络信息安全的蜜罐与蜜网技术网络信息安全是当今社会中不可忽视的重要议题之一。
为了应对不断增长的网络攻击和威胁，各种安全技术被研发出来，其中蜜罐与蜜网技术在网络安全领域中扮演着重要的角色。
蜜罐与蜜网技术可以说是网络防御体系中的“绊脚石”，通过诱使攻击者的注意力转移到虚假目标上，保护真实系统的安全。
本文将深入探讨蜜罐与蜜网技术的原理、应用以及其对网络安全的影响。
一、蜜罐技术蜜罐技术是一种利用安全漏洞吸引攻击者并收集攻击信息的方法。
蜜罐可以是一个虚拟机、一个系统、一个应用程序等，并通过实施合适的伪造，使攻击者产生对其价值的错觉。
当攻击者攻击了蜜罐，管理员就可以获取攻击者的信息以及攻击方式。
这种技术可以帮助安全专家识别攻击者的手段和目的，提供关于攻击者行为的详细记录，进一步优化网络防御策略。
蜜罐可以分为低交互蜜罐和高交互蜜罐两种类型。
低交互蜜罐主要用于攻击者获取目标及攻击信息，并能提供类似真实环境的部分服务；而高交互蜜罐则可以模拟完整的网络环境和服务，与攻击者进行实时互动，收集更多的信息并增加攻击者暴露自身的风险。
在实际应用中，蜜罐技术主要用于安全研究、网络攻击监测、攻击溯源和黑客防范等方面。
通过搭建蜜罐系统，安全专家能够分析攻击者的行为，预测新的攻击模式，从而提前采取相应的安全措施。
同时，蜜罐技术也可以用于对抗黑客，并增加网络安全的整体强度。
二、蜜网技术蜜网技术是指将多个蜜罐组成一个密集的网络环境，形成一个蜜罐阵列。
蜜网技术通过在网络中分布多个虚拟、伪造或易受攻击的系统，吸引攻击者进行攻击。
与蜜罐单独使用相比，蜜网技术可以提供更大规模和复杂度的攻击模拟环境，更好地了解攻击者的动机、行为以及他们之间可能存在的关联。
蜜网技术在网络安全中具有重要作用。
首先，它为安全人员提供更多真实攻击事件的数据，帮助他们分析攻击者的行为和策略，改善网络安全防护。
其次，蜜网技术可以用于主动监控攻击行为，及时发现并阻止未知安全威胁。
防黑阻击-入侵检测之蜜罐蜜网
防黑阻击 入侵检测之蜜罐与蜜网入侵诱骗技术是较传统入侵检测技术更为主动的一种安全技术。
主要包括蜜罐(Honeypot)和蜜网(Honeynet)两种。
它是用特有的特征吸引攻击者，同时对攻击者的各种攻击行为进行分析，并找到有效的对付方法。
为了吸引攻击者，网络管理员通常还在Honeypot上故意留下一些安全后门，或者放置一些攻击者希望得到的敏感信息，当然这些信息都是虚假。
当入侵者正为攻入目标系统而沾沾自喜时，殊不知自己在目标系统中的所做所为，包括输入的字符，执行的操作等都已经被Honeypot所纪录。
蜜罐技术Honeypot是一个资源，它的价值在于它会受到探测，攻击或攻陷。
蜜罐并不修正任何问题，它们仅提供额外的、有价值的信息。
所以说Honeypot并非是一种安全的解决方案，这是因为它并不会“修理”任何错误。
它只是一种工具，如何使用这个工具取决于用户想做什么。
Honeypot可以对其他系统和应用进行仿真，创建一个监禁环境将攻击者困在其中。
无论用户如何建立和使用Honeypot，只有Honeypot受到攻击，它的作用才能发挥出来。
所以为了方便攻击，最好是将Honeypot设置成域名服务器WEB或电子邮件转发服务等流行应用中的一种。
蜜罐的部署蜜罐并不需要一个特定的支撑环境，它可以放置在一个标准服务器能够放置的任何地方。
当然，根据所需要的服务，某些位置可能比其他位置更好一些。
如图(1)显示了通常放置的三个位置：1.在防火墙前面；2.DMZ中；3.在防火墙后面。
如果把蜜罐放在防火墙的前面，不会增加内部网络的任何安全风险，可以消除在防火墙后面出现一台失陷主机的可能性（因为蜜罐主机很容易被攻陷）。
但是同时也不能吸引和产生不可预期的通信量，如端口扫描或网络攻击所导致的通信流，无法定位内部的攻击信息，也捕获不到内部攻击者。
如果把蜜罐放在防火墙的后面，那么有可能给内部网络引入新的安全威胁，特别是如果蜜罐和内部网络之间没有额外的防火墙保护。