技术分享 | 基于windows操作系统的锦行蜜罐新节点技术

摘要

基于诱捕节点，蜜罐可以实现攻击欺骗转移和资产隔离防护。但是现有诱捕节点的实现技术存在IP地址资源的分配和冲突的风险，日常维护要求高，需要配备专业的网管人员，增加人力成本。

本文锦行科技提出了一种新的基于windows操作系统的诱捕节点实现技术，利用Libuv库以及采用多进程服务架构技术，在诱捕节点模拟主机网络服务，并通过采用linux虚拟网卡技术的中间层服务实时转发到蜜罐主机中，实现整个攻击者攻击行为的监控及告警功能，解决了现有技术中存在IP地址资源的分配和冲突的风险，增加诱捕节点密度，同时降低了部署成本和维护成本，提高了系统稳定性。

背景技术

为了把攻击者攻击引入到蜜网的蜜罐主机中来，目前除了须有具备完善的系统监控和告警能力的蜜罐主机外，还要看诱捕节点的能力及在客户网络中的部署密度，充分的将攻击行为引入到蜜罐主机中来，让安全管理人员及时知道攻击者渗透了内网、知道哪些服务器被攻击、以及攻击者的具体攻击行为等。

现有诱捕节点的实现技术主要采用：

1.在现有各网段中新增物理服务器
在各网段中添加专门的物理服务器，在此机的物理网卡上配置多个虚拟网卡，并分配相应IP，通过策略路由的方式实现与蜜罐主机IP的互连。

2.在现有不太关键的服务器上安装虚拟机
在各网段中找一台在用但重要程度不高的服务器上安装虚拟机，在虚拟系统中在现有的网卡下配置多个虚拟网卡，并分配相应IP，通过策略路由的方式实现与蜜罐主机IP的互连。

3.通过虚拟网卡及策略路由或端口转发技