一种蜜网技术的介绍

一种蜜网技术的介绍

 

        蜜罐是一种安全资源，其价值在于被扫描、***和攻陷，它以牺牲真实的没有打补丁的操作系统(一般以 Linux 为平台)为代价欺骗***者以达到采集******方法和保护真实主机目标。传统蜜罐有着不少的优点，比如收集数据的保真度，蜜罐不依赖于任何复杂的检测技术等，因此减少了漏报率和误报率。使用蜜罐技术能够收集到新的***工具和***方法，而不像目前的大部分***检测系统只能根据特征匹配的方法检测到已知的***。但是随着应用的广泛，传统蜜罐的缺点也开始暴露了出来，综合起来主要有 3 个方面：
（1）蜜罐技术只能对针对蜜罐的***行为进行监视和分析，其视图不像***检测系统能够通过旁路侦听等技术对整个网络进行监控。
（2）蜜罐技术不能直接防护有漏洞的信息系统并有可能被***者利用带来一定的安全风险。
（3）***者的活动在加密通道上进行（ IPSec，SSH，SSL，等等）增多，数据捕获后需要花费时间破译，这给分析***行为增加了困难。
          针对以上问题出现了蜜网技术。蜜网技术实质上是一类研究型的高交互蜜罐技术，与传统蜜罐技术的差异在于，蜜网构成了一个***诱捕网络体系架构，在这个架构中，可以包含一个或多个蜜罐，同时保证了网络的高度可控性，以及提供多种工具以方便对***信息的采集和分析。图 1 给出了蜜网的结构及其蜜罐在蜜网中的位置。其中最为关键的部件为称为 HoneyWall 的蜜网网关，包括三个网络接口，网卡 1接入外网，网卡 2 连接蜜网，而网卡 3 作为一个秘密通道，连接到一个监控网络。HoneyWall 是一个工作在链路层的桥接设备，作为蜜网与其他网络的惟一连接点，所有流入流出蜜网的网络流量都将通过 HoneyWall，并受其控制和审计，同时不会对网络数据包进行 TTL 递减和网络路由，也不会提供本身的 MAC 地址，因此对***而言，HoneyWall 是完全不可见的，因此***不会识别出其所***的网络是蜜网。