Sebek简介

• 入侵者会使用加密工具来保护他们的传输通道，监视者如果没有密钥，基于网络的数据捕获工具将无法察看传输的数据，因此采用基于内核的Sebek来捕获数据。
  Sebek由客户端和服务端组成，客户端从蜜罐捕获数据并且输出到网络让服务端收集，Sebek使用udp进行通信。
  
• Sebek改变系统调用表的函数指针使read系统调用调用自己定义的函数，新函数只是简单的调用老read()函数，并且把内容拷贝到一个数据包缓存，然后加上一个头，再把这个数据包发送到服务端。
  
• 安装cleaner模块来隐藏Sebek模块，这个模块把Sebek从安装模块链表中删除记录，这样有两方面的效果。首先，用户将看不见Sebek被安装了。第二，如果已经安装，用户将无法卸载Sebek模块。
  Sebek修改内核使发到服务端的数据包不会被发现，每个read()调用请求Sebek都会产生一个或多个日志数据包，每个数据包都包含了一点关于这个调用内容的信息和这个调用访问的数据。每个包还包含了一个Sebek记录，这个记录包含一些产生调用的进程描述、调用产生的时间和记录数据的大小。这些报完全由Sebek产生，而不是使用TCP/IP协议栈来产生或发送数据包，所以系统无法看到或阻断这些数据包。当数据包创建好的时候就直接发送给驱动设备，这就绕过了原始套接字代码和包过滤代码。由于嗅探器是基于libpcap 的，而libpcap使用原始套接字接口来收集数据包，所以嗅探器不能看到运行Sebek主机上由Sebek产生的数据包。
  
  但是入侵者会在蜜罐A运行嗅探器来看到局域网上来自蜜罐B的Sebek数据包。为了解决这个问题，Sebek安装了自己的原始套接字实现，在Sebek数据包头定义了预先设定的目标UDP端口和固有的魔术数字来隐藏数据包。
  在Sebek客户端里决定对一个来自用户空间的数据包需要隐藏依据下面的标准：数据包必须使用UDP，UDP目标端口必须和预先定义值匹配，并且 Sebek头的Magic字段必须和预先设定的值匹配。如果只使用UDP目标端口的话将会被暴力破解方式识别出被隐藏的数据包，加上Magic值提高了暴力检测的难度，它和目标端口会产生281,000,000,000种组合。如果你有程序能够每秒检查500,000种组合，那么它需要花费6.5天的时间来测试。
  这个简单的实现不会对Sebek数据包有影响，只是丢弃它们并且移到队列里的下一个数据包，这使得入侵者即使使用嗅探器也无法捕获Sebek数据包。
• 为了确保所有版本的Sebek能协同工作定义了一个通用的协议，Sebek客户端和服务端的通信通道是单向的，通道使用udp协议，每个数据包都包含一个记录，记录有不同长度的MTU和一个固定长度的头。这个48字节的头结构如下：
  
  这个头在IP/UDP头后面，其后跟随蜜罐活动表现的数据（攻击者的击键、文件、密码等）
  字段名       数据类型                 描述
  Magic        Unsigned 32 bit Int      前面是目标端口，Sebek使用Magic来识别
  那些数据包需要隐藏
  Version      Unsigned 16bit Int       Sebek协议版本，当前版本是"1"
  Type         Unsigned 16bit Int       记录的类型。读数据是0，写数据是1。目
  前只实现了读。
  Counter      Unsigned 32bit Int       PDU计数器，用来识别数据包什么时候
  丢失。刚安装时计数器是0
  Time_sec     Unsigned 32bit Int       蜜罐从UNIX纪元开始的秒数
  Time_usec    Unsigned 32bit Int       剩余的微秒数
  PID          Unsigned 32bit Int       进程ID
  UID          Unsigned 32bit Int       用户ID
  FD           Unsigned 32bit Int       文件描述符
  Com          12 Character Array       记录命令名字的前12个字符
  Length       Unsigned 32bit Int       8位PDU实体的长度
• 如果数据长度大于MTU,会把读到的数据分成多个分片以适应局域网传输。每个分片都包含了完整的Sebek记录头。
• 用于检查基于内核模块技术rootkit的检测工具可能会检测到Sebek，所以入侵者检测到使用这种系统的可能性也是挺大的。在未来，一个减少被检测到风险的方法是在服务端检测Sebek什么时候被攻击并且马上关闭客户端。
• 作为一个非常棒的监视工具，Sebek可能被恶意用户不正当使用。比如入侵者在被攻陷的系统上用Sebek来获取口令和监视合法用户，但现在Sebek只对安装了Sebek的蜜罐进行隐藏,所以攻击者如果试图在自己攻陷的系统上安装Sebek，那么管理员可以在同网段其它主机上看到Sebek数据的传输，为了进一步减少被滥用的机会，我们还去除了Sebek的一些rootkit特性，所以入侵者没法使用一个单独的LKM来嗅探密码。