【网络安全】什么是蜜罐和蜜网

---

前言

原始的攻击，总是攻击者处于主动地位，防御者处于被动地位，蜜罐和蜜网可以扭转对抗不对称局面。蜜罐就像一个专门为攻击者设计的陷阱，只要攻击者进入陷阱，攻击者所作的一切操作都会被记录下来，这些攻击行为记录对攻击者来说会有一定的威慑作用。

---

1、蜜罐的作用

从前言里大概可以了解到蜜罐是干什么的，蜜罐的作用可以总结为如下几点：
1、增加攻击者攻击成本，攻击的是蜜罐模拟出来的假目标。

2、使用蜜罐可以捕获攻击者是谁、使用什么工具、怎么攻击的，借此推导出攻击原因。

3、降低资产损失，而且蜜罐记录的攻击行为可以作为证据，对攻击者产生威慑。

所有流入/流出蜜罐的流量都预示着扫描、攻击及攻陷。蜜罐就像是一个陷阱，正常人谁来这啊？用以监视、检测和分析攻击。蜜罐和蜜网就是防御者为攻击者精心准备的会战之地。

2、蜜罐的分类

角度不同，蜜罐分类也会有所不同。

从部署目标角度分类

• 产品型
• 研究型：对黑客攻击进行捕获和分析

从交互性角度分类：攻击者在蜜罐中活动的交互性级别

• 低交互型：仿真效果不好，但是攻击者获取不到更有用的信息，减少风险。实例：Dionaea, Honeyd, KFSensor。
• 高交互型：能够做到以假乱真，让攻击者以为这就是一个真的系统。但是系统模拟的越真，攻击者能获取到的信息也就越多，需要取舍。实例：Shadow Daemon, Lyrebird。
• 混合型

还有新型蜜罐

• 主动式蜜罐：钓鱼执法。
  • 动态蜜罐：即插即用的解决方案；自动调整。
  • 被动指纹识别技术：了解所处的网络环境。
  • 动态配置：虚拟蜜罐。
• 蜜场：honeyfarm，有很多很多漏洞的大型网络。
• 蜜信：honeytoken。留下蜜信的线索。
• 应用层蜜罐：honeyapp
  • 模拟应用程的服务对非自动化的攻击更具吸引力。
  • 在应用层能够更有效地对攻击进行分析。
• 客户端蜜罐：honeyclient
  • 模拟客户端去捕获攻击客户端得到攻击。

3、蜜罐的重定向机制

对高价值目标映射蜜罐系统。

不需创建新的目标，而使用已存在的目标。

将恶意的、未经授权的活动重定向到蜜罐。

监视和捕获攻击者在蜜罐中的活动。

计算机取证技术。

什么时候重定向

• 非预期的流量-Hot Zoning
  • 非业务目标端口
  • 非业务源端口
  • Time of day
• 已知攻击-Bait-n-Switch
  • Snort的修改版本，内联网关
  • 将检测到活动重定向到蜜罐中
• 基于主机的监控
  • 监控主机上的未授权活动、或恶意活动，然后重定向：Pax, Systrace

4、蜜罐的欺骗性

• 真实的系统环境

  • 系统标识
    • IP、traceroute路径（如果连这些命令都没有，可以考虑这是一个蜜罐。）
    • 主机名、操作系统内核版本（用的系统版本过于离谱，也可以考虑这是一个蜜罐。）

• 系统配置和应用程序

  • 开放的网络服务
  • 安装的应用程序，比如这个环境里什么软件都没有，连浏览器也没有或者浏览器记录为空，也可以考虑这是一个蜜罐环境。

• 数据内容

  • Proxy and Cache ，一些常用软件会有缓存，如果连缓存都没有或者十天半个月都没有新增缓存，可以考虑这是一个蜜罐。

综合以上多个维度，防御者可以加强蜜罐的欺骗性，而攻击者也可以从这些点去判断是否是蜜罐。

5、蜜信

蜜信HoneyToken

HoneyToken:正常情况不会使用的一些诱饵信息

• 数据库诱饵记录
• 伪造的弱用户名/口令对

如果HoneyToken一旦被访问，预示着攻击发生，对它进行监视跟踪。钓鱼执法。

6、其他

基于完整性测试判断是否遭受攻击：

• 程序本身
• 配置文件、注册表等

攻击面Attack Surface
系统中可被利用、遭受攻击的系统资源集合

• 攻击目标
• 通道和协议
• 访问控制

异构同效
原理：相当于是动态防御了，比如一个模块使用不同的方案实现，使用的时候随机使用某一个方案，以此来增大攻击者的攻击成本。

动态攻击 Moving Target Attacks MTA

多态: 改变恶意代码的签名，躲避杀软检测。

变形：恶意代码运行时自我修改，躲避杀软检测。

混淆：降低代码可读性，隐藏关键代码逻辑，对抗逆向工程。

自加密：用加密手段达到多态、变形和混淆等价效果。

反沙箱/沙盒：识别动态取证环境并在运行时改变关键代码逻辑。

反调试：识别调试环境并在运行时改变关键代码逻辑。

加密漏洞利用载荷：用加密手段达到对抗检测与取证分析目的。

蜜罐基本体系架构

决策：监听收集事件，根据策略与欺骗、诱导信息库中的记录进行比较后决定诱导或欺骗。

诱导：将攻击者的连接转向蜜罐系统

欺骗：误导

分析：系统所作的欺骗和诱导事件都记录到日志中，由分析模块进行分析，调整欺骗诱导策略。

蜜网技术的数据捕获的数据流

蜜罐拦截的一些信息

---

7、参考资料

以上内容是一边听课（蜜罐和蜜网）一边总结，对蜜罐和蜜网有了一个基础认识。对攻击者和防守方也有了一个清晰的认识，两者之间的博弈有三国谋士的味道了，非常精彩。