蜜罐与计算机取证技术

蜜罐与计算机网络取证技术摘要:随着信息化的飞速发展，网络安全得到人们前所未有的关注。

对于网络安全的防护，传统的被动防御已经无法满足人们的需要，蜜罐技术作为一种主动枝术弥补了传统防护系统的不足。

从定义、分类以及关键技术等方面对蜜罐技术给出一个比较系统的解释，并指出了蜜罐技术存在的问题，探讨了将来的发展趋势。

本文结合当前网监工作面临的维护网络安全和打击网络犯罪艰巨任务，由于网络和计算机的特性.，是我们对计算机犯罪的预防、取证和侦破面临了很大的困难。

提出了将蜜罐技术引入到网监工作中，使之成为维护网络安全和打击网络犯罪的有力武器。

关键词:蜜罐、蜜罐技术应用、网络安全、犯罪取证一、引言以计算机网络为核心的信息技术的飞速发展使得电子商务、电子政务和电子军务等的应用日益广泛，也使得网络信息安全成为人们日益关注的问题。

随着网络的不断普及，个人信息窃取、网络诈骗、病毒传播、网络攻击等网络犯罪也日益猖獗，例如：一些不法分子建立假冒的网上银行、向用户发送含有诈骗信息的电子邮件等，以窃取用户网上银行的用户名和密码，盗取用户资金；一些黑客为了证明自己的技术而去入侵政府官网，并肆意篡改网页内容，造成了极大的破坏。

为了保障网络安全，防火墙和入侵检测等技术应运而生，并在各个领域得到了广泛的应用。

然而，它们检测网络入侵行为大都是被动的、基于规则的，对入侵的发现及报警也是在规则的基础上，对一些新的入侵手段则无能为力，因此，单纯的防火墙或入侵检测等技术已不能满足需要。

为了利用法律手段严惩网络犯罪，我们就必须取得入侵者犯罪的证据，于是，计算机取证技术也孕育而生了，蜜罐技术则是计算机取证中的一项关键技术。

计算机取证（Computer Forensics）是网络主动防御技术在打击网络犯罪中的应用，它是应用计算机的辨析方法，对网络犯罪的行为进行捕获和分析，以保留犯罪的电子证据，并以此作为重要证据提起诉讼。

对于网络入侵的犯罪行为，对被入侵的计算机、网络设备与系统进行扫描，将入侵的全过程重组，并将其获取、保存、分析、出示，形成具有法律效力的电子证据。

计算机取证在计算机和网络犯罪猖獗的今天有着至关重要的作用，它是法学和计算机科学的融合，通过在计算机上提取犯罪证据，以打击计算机和网络犯罪。

二、蜜罐技术1、蜜罐的概念和发展历程“蜜罐”这一概念最初出现在1990年出版的一本小说《The Cuckoo's Egg》中，在这本小说中描述了作者作为一个公司的网络管理员，如何追踪并发现一起商业间谍案的故事。

“蜜网项目组”(The Honeynet Project)的创始人Lance Spitzner给出了对蜜罐的权威定义：蜜罐是一种安全资源，其价值在于被扫描、攻击和攻陷。

这个定义表明蜜罐并无其他实际作用，因此所有流人/流出蜜罐的网络流量都可能预示了扫描、攻击和攻陷。

而蜜罐的核心价值就在于对这些攻击活动进行监视、检测和分析。

2、蜜罐的定义蜜罐(Honeypot)是一种专门设计成被扫描、攻击和入侵的网络资源。

具体来说，蜜罐就是一个包含漏洞的系统，它可以模拟一个或多个易受攻击的主机，可以包含一些不威胁系统安全的数据以引诱攻击者。

由于它没被授权任何行为，没有任何产品价值，因此，所有流入/流出蜜罐的网络流量都可能预示了扫描、攻击和攻陷。

而蜜罐作为一种安全资源，其价值就在于被探测、被攻击或攻陷，尔后对这些攻击活动进行监视、检测和分析。

设计蜜罐的初衷就是让黑客入侵，借此收集证据，同时隐藏真实的服务器地址，因此我们要求一台合格的蜜罐拥有这些功能:发现攻击、产生警告、强大的记录能力、欺骗、协助调查。

另外一个功能由管理员去完成，那就是在必要时候根据蜜罐收集的证据来起诉入侵者。

3、蜜罐的类型世界上不会有非常全面的事物，蜜罐也一样。

根据管理员的需要，蜜罐的系统和漏洞设置要求也不尽相同，蜜罐是有针对性的，而不是盲目设置来无聊的，因此，就产生了多种多样的蜜罐。

3.1.实系统蜜罐实系统蜜罐是最真实的蜜罐，它运行着真实的系统，并且带着真实可入侵的漏洞，属于最危险的漏洞，但是它记录下的入侵信息往往是最真实的。

这种蜜罐安装的系统一般都是最初的，没有任何SP补丁，或者打了低版本SP补丁，根据管理员需要，也可能补上了一些漏洞，只要值得研究的漏洞还存在即可。

然后把蜜罐连接上网络，根据目前的网络扫描频繁度来看，这样的蜜罐很快就能吸引到目标并接受攻击，系统运行着的记录程序会记下入侵者的一举一动，但同时它也是最危险的，因为入侵者每一个入侵都会引起系统真实的反应，例如被溢出、渗透、夺取权限等。

3.2.伪系统蜜罐什么叫伪系统呢?不要误解成“假的系统”，它也是建立在真实系统基础上的，但是它最大的特点就是“平台与漏洞非对称性”。

大家应该都知道，世界上操作系统不是只有Windows一家而已，在这个领域，还有Linux、Unix、OS2、BeOS等，它们的核心不同，因此会产生的漏洞缺陷也就不尽相同，简单的说，就是很少有能同时攻击几种系统的漏洞代码，也许你用LSASS溢出漏洞能拿到Windows的权限，但是用同样的手法去溢出Linux只能徒劳。

根据这种特性，就产生了“伪系统蜜罐”，它利用一些工具程序强大的模仿能力，伪造出不属于自己平台的“漏洞”，入侵这样的“漏洞”，只能是在一个程序框架里打转，即使成功“渗透”，也仍然是程序制造的梦境，也就是说系统本来就没有让这种漏洞成立的条件，谈何“渗透”?实现一个“伪系统”并不困难，Windows平台下的一些虚拟机程序、Linux自身的脚本功能加上第三方工具就能轻松实现，甚至在Linux/Unix下还能实时由管理员产生一些根本不存在的“漏洞”，让入侵者自以为得逞的在里面瞎忙。

实现跟踪记录也很容易，只要在后台开着相应的记录程序即可。

这种蜜罐的好处在于，它可以最大程度防止被入侵者破坏，也能模拟不存在的漏洞，甚至可以让一些Windows蠕虫攻击Linux,即只要你模拟出符合条件的Windows特征!但是它也存在坏处，因为一个聪明的入侵者只要经过几个回合就会识破伪装，另者，编写脚本不是很简便的事情，除非那个管理员很有耐心或者十分悠闲。

4、蜜罐的关键技术蜜罐系统的优点之一就是它们大大减少了所要分析的数据。

对于通常的网站或邮件服务器，攻击流量通常会被合法流量所淹没。

而蜜罐进出的数据大部分是攻击流量。

因而，浏览数据、查明攻击者的实际行为也就容易多了。

(1)网络欺骗：是使入侵者相信信息系统存在有价值的、可利用的安全弱点。

它能够显著地增加入侵者的工作量、入侵复杂度以及不确定性，从而使入侵者不知道其进攻是否奏效或成功。

(2)数据的捕获技术：在攻击者入侵的同时，蜜罐系统将记录攻击者输入输出信息，键盘记录信息，屏幕信息，以及攻击者曾使用过的工具，并分析攻击者所要进行的下一步。

(3)端口重定向：是数据控制技术的一种，通过重定向器将网络各个子网中发现的恶意的或未授权的活动重定向到蜜罐中，以集中监控和捕获。

从而控制攻击者出入蜜罐的活动，使其不会以蜜罐为跳板攻击和危害别的主机。

(4)攻击分析与特征提取：是对捕获的各种攻击数据进行融合、挖掘，分析黑客的工具、策略和动机，提取未知攻击的特征。

(5)攻击(入侵)报警：是感知网络安全态势，分析系统的漏洞，在攻击发生前采取相应的防御措施，发现攻击时能自动报警，为系统管理员提供实时信息。

5、蜜罐技术优缺点蜜罐技术的优点包括:(1)收集数据的保真度,由于蜜罐不提供任何实际的作用，因此其收集到的数据很少，同时收集到的数据很大可能就是由于黑客攻击造成的，蜜罐不依赖于任何复杂的检测技术等，因此减少了漏报率和误报率。

(2)使用蜜罐技术能够收集到新的攻击工具和攻击方法，而不像目前的大部分人侵检测系统只能根据特征匹配的方法检测到已知的攻击。

(3)蜜罐技术不需要强大的资源支持，可以使用一些低成本的设备构建蜜罐，不需要大量的资金投人。

(4)相对人侵检测等其他技术，蜜罐技术比较简单，使得网络管理人员能够比较容易地掌握黑客攻击的一些知识。

蜜罐技术也存在着一些缺陷，主要有：(1)需要较多的时间和精力投人。

(2)蜜罐技术只能对针对蜜罐的攻击行为进行监视和分析，其视图较为有限，不像人侵检测系统能够通过旁路侦听等技术对整个网络进行监控。

(3)蜜罐技术不能直接防护有漏洞的信息系统。

(4)部署蜜罐会带来一定的安全风险。

6、常用的蜜罐技术工具(1)DTK:DTK是一项针对互联网普通用户的源代码开放的蜜罐技术软件，由C语言和Perl 脚本语言编写而成，该工具软件可以从网上免费下载。

(2)Honeyd:Honeyd是由Google公司研发的源代码开放的蜜罐技术软件，Honeyd是运行在UNIX下的软件，可以在网络上模拟主机的后台程序。

该工具软件也可以从网上免费下载。

（3）VMware:VMware是一种可以让你在同一时刻运行多种操作系统的虚拟软件。

V Mware 是通过在电脑上安装虚拟软件来工作的。

此虚拟软件允许你在同一时刻启动和运行多个操作系统。

（4)IPTables:IPTables是一种灵活性相当高的正式的防火墙，有连接限制，网络地址转换，日志记录的功能，和许多其他的特性。

我们把IPTables配置成我们HostOS上的过滤器，计算流出网络的数据报。

一旦对向外的连接到达了限制的数量，之后所有的连接尝试都会被阻止，保证被人侵的honeypot不会对其他系统造成损害。

（5)Snort:Snort是一种开放源代码的IDS产品，我们可以用它来捕获所有的网络活动，对已知的具有攻击特征的信息发出警告。

Snort有三种主要模式:信息包嗅探器、信息包记录器或成熟的侵人探测系统。

三、蜜罐技术的使用1、利用蜜罐取证的一般原则利用蜜罐进行取证分析时，一般遵循如下原则和步骤：（1）确定攻击的方法、日期和时间（假设IDS的时钟和NTP参考时间源同步）；（2）尽可能多的确定有关入侵者的信息；（3）列出所有入侵者添加或修改的文件，并对这些程序（包括未编译或未重组部分，因为这些部分可能对确定函数在此时间中的作用和角色有帮助）进行分析，并回答如下问题：●程序是否安装了嗅探器或密码，如果是，那么哪些文件与之相关，这些文件位于何处？●是否有“rootkit”或者其他特洛伊木马程序安装在系统中，如果有，安装了什么操作系统程序，进行什么操作可能会把这些程序传播出去？●系统中所发现的程序的来源是否公开？（4）建立一条时间时间线，对系统行为进行详细分析，注意支撑或确认证据的来源（可以考虑与系统其他地方或与具有相似配置的“干净”系统相比较）；（5）给出适合管理层面或新闻媒体需要的报告（包括入侵的常规方面而不必包括特殊的确定性数据）；（6）对事故进行费用估计；（7）最后提交报告应（包含index.txt timestnmp.txt costs.txt evidence.txt summary.txt advisory.txt files.tar)。