基于Linux的蜜罐识别技术的研究

VIP免费

3.0 高德中 2024-11-19 7 4 3.22MB 70 页 15积分

侵权投诉

摘要

随着 Internet 的发展，基于网络的应用系统越来越多，现代社会对网络的依

赖日益增强，同时网络的安全也面临着巨大的挑战。面对威胁，众多安全机构研

发了许多安全产品，但攻击者的技术水平也在不断提高，安全产品的更新换代始

终跟不上新问题的出现，往往在某个攻击造成了巨大损失后，才采取补救措施。

单一的安全技术，如防火墙或入侵检测技术，不足以保护网络安全。因此，在防

火墙和 IDS 后加入入侵诱骗技术，既可以用作研究入侵者的有效工具，又可以作

为检测攻击者的有力武器，使得被动防御的网络安全技术加强了主动性，对网络

的保护更加及时和全面。

蜜罐技术是一种新兴的基于主动防御的网络安全技术，蜜罐是应用于网络安

全领域的信息系统资源，它的价值体现在被扫描、攻击和攻陷[1]。通过蜜罐可以

获取攻击者和攻击技术的相关信息，也可以用来吸引和分散攻击者的注意力，以

保护真实的网络系统。蜜罐技术的兴起和飞速发展、以及在实际应用中发挥的巨

大作用，促使越来越多的组织和个人开始研究反蜜罐技术。对于攻击者，他们希

望在攻击别人的时候更好的保护自己的攻击技术、工具和目标等不被发现，所以

进行反蜜罐的研究与试验，在攻击前进行蜜罐识别，如果目标主机是蜜罐，则放

弃攻击或进行进一步的攻击。对于蜜罐的部署者和维护者，他们也同样进行反蜜

罐的研究，目的是从反蜜罐的研究中发现蜜罐本身的薄弱环节和漏洞，完善蜜罐

系统，以使自己的蜜罐变得更加安全可靠，系统资源得到更有效的保护。

如今，蜜罐领域的研究刚刚起步，有着巨大的发展空间和应用前景。为了使

蜜罐捕获更多的入侵行为，在不断增强自身功能的同时必须加强自身的安全，不

然比任何一个有漏洞的主机都更可能成为入侵者的突破口。蜜罐技术和蜜罐识别

技术之间是一个博弈问题，将会在相互竞争中共同发展。

本文首先对国内外的研究现状进行了分析，并对现有的蜜罐和蜜罐识别技术

进行了深入的研究和分析，综合并扩展了现有的蜜罐识别技术，最后详细介绍了

蜜罐识别子系统的设计、实现和测试。

关键词：蜜罐蜜罐识别网络诱骗信息隐藏

ABSTRACT

With the development of the Internet, a growing number of Web-based applications,

modern society increasingly dependent on the network, and network security are also

faced with enormous challenges. In the face of threats, many security agencies to

develop a number of security products, but the attackers are constantly improving the

level of technology, security products always keep upgrading the emergence of new

issues, often resulting in a tremendous loss of attacks after remedial measures. The sole

security technology, like the firewall or the intrusion detection technology, is

insufficient to protect the network security. Thus, after joining in the firewall and IDs

invasion into technology can be used to study the invaders effective tool, and can serve

as a powerful weapon testing attackers make passive defense network security

technology to enhance the initiative for network protection more timely and

comprehensive.

Honeypot technology is a new initiative based on the defense network security

technology. Honeypot is a information system resource which is applied to the field of

network security, its value is lie in scanned, attacks and captures. Through the

honeypot we can gain information about the aggressor and the attack technology, and

can also be used to attract and disperse the attention of the attackers, in order to protect

the real network system. The emergence of honeypot technology and its rapid

development, as well as the tremendous effect which displays in the practical

application, urges more and more organization and individual starts to study the

anti-honeypot technology. About the aggressor, they hoped when they attack others

they can better protect their attack technology, tool and the goal and so on was not

discovered, therefore they do the study of anti-honeypot and do experiment about

anti-honeypot. Before attacks they will try to judge if the target host is a honeypot or

not, if the target host is honeypot, they will give up the attacks or carry out further

attacks. To the people who deploy and defend the honeypot, they also do the research

of the anti-honeypot, in order to find the weakness and leak of the honeypot they

deployed, and improve honeypot system to make their own honeypot become more

secure, reliable, and system resources to be more effective protection.

Today, and research in the field of honeypot has just begun, and enjoys huge room

for development and application prospects. In order to capture more honeypot invasion,

constantly strengthen its function at the same time they need to strengthen its own

security, otherwise they are more likely to become the starting point for an intruder

than other hosts. Honeypot technology and identification technology is a game, will be

competing in common development.

In this paper, we first analyzed the study of the status at home and abroad

analyzed, and about the existing honeypot honeypot recognition technology we

conducted in-depth research and analysis, we integrated and the expansed of existing

honeypot identification technology, finally we introduced the honeypot identification

subsystem design, implementation and testing.

Key Words: Honeypot, Anti-honeypot, Network trap, Information hiding

摘要

ABSTRACT

第一章绪论................................................................................................................ 1

§1.1 课题研究的目的和意义................................................................................ 1

§1.2 国内外的研究现状........................................................................................ 2

§1.3 论文的主要工作和内容................................................................................ 4

第二章蜜罐技术概要.................................................................................................. 5

§2.1 网络陷阱与网络诱骗.................................................................................... 5

§2.2 蜜罐技术原理................................................................................................ 6

第三章蜜罐识别的技术方法.................................................................................... 11

§3.1 蜜罐体系结构和部署方案.......................................................................... 11

§3.2 蜜罐识别技术.............................................................................................. 15

§3.3 对honeyd 和蜜罐部署工具的识别............................................................ 18

第四章蜜罐识别系统的设计和实现........................................................................ 32

§4.1 蜜罐识别系统的设计概述.......................................................................... 32

§4.1.1 设计原则.............................................................................................. 32

§4.1.2 设计目标.............................................................................................. 32

§4.2 蜜罐识别系统模型...................................................................................... 33

§4.3 蜜罐识别系统的实现.................................................................................. 34

§4.3.1 对honeyd 的识别................................................................................ 34

§4.3.2 对虚拟机 VMware 的识别 ..................................................................42

§4.3.3 对虚拟机 VMware 的识别的扩展 ......................................................49

第五章蜜罐识别系统的测试及结果分析................................................................ 56

§5.1 对honeyd 的识别的测试.............................................................................. 56

§5.2 对VMware 识别的测试 ................................................................................57

§5.3 对VMware 扩展识别的测试 ........................................................................59

§5.4 测试结果分析................................................................................................ 61

第六章结束语.......................................................................................................... 63

参考文献........................................................................................................................ 65

第一章绪论

§1.1 课题研究的目的和意义

互联网的应用越普及，安全问题就越严重。与过去相比，攻击者的数量和种

类，攻击的方法和手段都有质的变化，而传统的信息安全技术，如防火墙、入侵

检测系统、加密等等，都属于防御性的保护策略。这种方法的问题是：它只是纯

粹的防守，而攻击者掌握着主动。

蜜罐（Honeypot）就是为了扭转这种不利局面而提出的。蜜罐（Honeypot）是

一种在互联网上运行的计算机系统，它是专门为吸引并诱骗那些试图非法闯入他

人计算机系统的人（如电脑黑客等）而设计的。部署Honeypot 的目的有两个[2]：

一是在不被攻击者察觉的情况下监视他们的活动，收集与攻击者有关的所有信息；

二是牵制攻击者，让他们将时间和资源都耗费在攻击Honeypot上，使他们远离实

际的工作网络。也就是说，蜜罐就是诱捕攻击者的一个陷阱。

蜜罐系统是一个包含漏洞的计算机系统，它通过模拟一个或多个易受攻击的

主机，给攻击者提供一个容易攻击的目标。由于蜜罐并没有向外界提供有价值的

服务，因此所有对蜜罐的链接尝试都被视为是可疑的。蜜罐的另一个用途是拖延

攻击者对真正目标的攻击，让攻击者在蜜罐上浪费时间。这样最初的攻击目标得

到保护，真正有价值的内容没有受到侵犯。此外，蜜罐也可以为追踪攻击者提供

有用的线索，为计算机取证提供有力的证据。从这个意义上来说，蜜罐就是诱捕

攻击者的一个陷阱。

Honeypot发展至今，虽然还在起步阶段，但也产生了可观的研究成果，发布

了一些商用或开源的具体产品，在保护系统安全、观测黑客攻击活动等方面发挥

了巨大作用。

任何事物的发展都充斥着正与反、矛与盾的较量。正因为蜜罐的主动防御能

力越来越高，这给攻击者实施攻击带来了极大的制约，所以越来越多的攻击者开

始研究如何识别蜜罐，以及在识别出蜜罐的存在以后，如何绕过它、攻击它，甚

至利用攻陷的蜜罐作为跳板去攻击第三方资源，这就是反蜜罐(Anti-Honeypot)技

术。攻击者研究反蜜罐技术，必定带来防御者对反蜜罐技术的研究，进而产生反

反蜜罐技术，这是蜜罐技术在反蜜罐技术激励下的进一步成长。这一切争斗都可

以归结为蜜罐和反蜜罐两大阵营的较量，并且这场博弈已经开始。

基于 Linux 的蜜罐识别技术的研究

要进行反蜜罐，首先就要识别蜜罐。一些网络安全组织和大量的黑客也在进

行Honeypot的识别技术（Anti-Honeypot ）领域的研究并试图设计出一种检测

Honeypot或其它可疑环境的工具，并提出了一些识别技术，也出现了一个Honeypot

识别工具Send-Safe Honeypot Hunter，虽然功能非常有限，但标志着在蜜罐识别领

域的一高成果。到目前为止，没有一个组织或者研究者将对各种Honeypot的识别

技术应用化、工具化。很可能是黑客们怕泄密而没有公开他们的研究成果。所以

如何使各种Honeypot识别技术相融合、相综合，使Honeypot识别技术得到更好的实

际应用，成了网络安全技术业内和相关技术人员急需解决的课题。

本课题的目的就对现有不同类型的Honeypot进行研究，全面系统的分析其技

术特征及存在的漏洞，结合和扩展各种检测技术，设计出蜜罐的识别工具，目的

是为了进一步完善Honeypot，从而从另一个角度推动Honeypot技术以及网络安全技

术的发展。

§1.2 国内外的研究现状

由于Honeypot是一种主动防御的网络安全技术，与以往的被动防御在有效性

上有很大提高，所以很多安全组织都在研究Honeypot并取得了很大的成果。已经

开发出一些蜜罐系统，他们的功能、复杂性和易用度都有很大的区别。如Mantrap、

DTK、BOF(Back Orifice Friendly)、Specter、Honeyd、KFSensor、Honeynet 等。

下面对其中一些做些介绍。

ManTrap 是一个由赛门铁客公司开发的商业蜜罐系统，运行在Solaris上的系

统，支持Inter X-86和SunSparc架构。因为该公司调查显示最大的网络安全威胁是

来自内部的攻击，所以这个产品的主要设计用意是针对内部网络安全，当然我们

还是可以使用它来防范来自外部的攻蜜罐技术研究与设计实现击。ManTrap的特点

是它在系统上设置了一个虚拟的地雷区，如果一个来自内部的攻击者想要向系统

发起攻击，他必须首先通过这个地雷区，然后才能iA问真正的目标，如果攻击者

有一步走错了，那么它的所有行动都会暴露在ManTrap的监视之下。ManTrap提出

了“牢笼”主机的概念， “牢笼”是指一个基本的宿主操作系统的拷贝，他有直接相

连的网络界面。在一台计算机上ManTrap可以支持最多4个这样的操作系统。

ManTrap还提供了内核保护层，它可以控制虚拟机和真实宿主操作系统的联系。

ManTrap主机只存在于一台计算机上，但是从网络上却可以看到4各独立的操作系

统。

Specter是由NeoWorx公司出品的蜜罐系统，Specter可以模拟一个完全的计算

机，它提供了一些有趣的特性来吸引黑客的攻击目标，使得真正的计算机受到保

第一章绪论

护。Specter提供了对SMTP, FTP等Internet服务的完美的模拟，黑客会以为他们己经

连上了真正的系统，但是事实上他们己经被引诱到了陷阱之中，而且受到了严密

的监视。当攻击者在陷阱中活动时所有的信息都会被记录下来，而且会有报警信

息发送到相应的人员手中。当攻击者想利用各种尝试进入系统时Specter可以利用

whois记录、finger信息、端口扫描或者traceroute的方式追查到攻击地发起地址。

Specter由2部分组成:诱骗引擎和控制系统。诱骗引擎起着数据包嗅探和控制网络连

接的作用，而控制系统通过一个GUI用户图形界面来完成系统配置功能。Specter

可以提供对9种操作系统的虚拟(Windows NT,Windows 95/98, MacOS, Linux,

SunOS/Solaris, Digital UNIX, NeXTStep, Irixand Unisys UNIX)，同时可以提供对密

码文件的支持功能。

Deception Toolkit( DTK)是由Fred Cohen设计的一组免费工具，大都使用perl写

成。DTK工具被设计为帮助被攻击一方进行防御，它提供了一组强有力的工具，

使得防御方可以在与黑客的斗争中取得优势。DTK工具使用网络诱骗进行反击，

他的主要原理是使得操作系统看上去有很多安全漏洞和弱点，它的诱骗特性是可

编程的，所以用户可以方便的对各种特性进行配置，但是他的诱骗机制被限制在

通过对攻击者的输入信息作出反应的途径上，因此它对系统弱点的模拟是建立在

己知黑客攻击方式的基础之上。DTK的一个比较有特色的地方是它可以进行端口

欺骗，第365号端口被设计成DTK工具的通信端口，如果系统己经就绪，这个端口

就会被打开，如果DTK工具被广泛使用，那么黑客攻击之前一定会扫描该端口，

如果他发现了这个端口是活动的，那么对系统的攻击意图就会得到恐吓。

Back Oficer Friendly( BOF)是由Marcus Ranum和Andrew Lambeth开发，他们是

开发商业IDS NFR (Network Flight Recorder)团队成员.BOF工作在Windows平台，工

作方式类似于Specter，也是个低级别的蜜罐系统，唯一不同的是BOF要简单得多。

BOF所做的仅仅是模拟几个基本的Internet月及务，在服务的TCP端口上监听，记录

所有的连接企图，支持的服务有:FTP, Telnet, SMTP, HTTP, POP3和IMAP.BOF还有

一个选项就是能对连接某种服务的请求作出一定程度上的“虚假回应气回应的字

符串和服务相关，遗憾的是这种字符串不能配置。

国内的就是北京大学计算机研究所信息安全工程研究中心的狩猎女神项目，

狩猎女神项目的研究目标包括如下三个方面：通过部署蜜网对恶意代码及黑客攻

击行为进行捕获和分析，给入侵检测与关联研究提供知识和数据基础；为学生提

供一个网络攻防对抗的实验环境，使他们在部署蜜网以及利用蜜网对攻击活动进

行分析的过程中，提高实践动手能力以及加深对网络攻防对抗技术的理解；在掌

握现有的蜜网技术的基础上，能够在相关的一些研究方向（如 Honeyfarm ）上提

文档加载中……请稍候！
如果长时间未打开，您也可以点击刷新试试。

下载文档到电脑，查找使用更方便

15 积分 4人已下载

立即下载 VIP免费下载

摘要：

摘要随着Internet的发展，基于网络的应用系统越来越多，现代社会对网络的依赖日益增强，同时网络的安全也面临着巨大的挑战。面对威胁，众多安全机构研发了许多安全产品，但攻击者的技术水平也在不断提高，安全产品的更新换代始终跟不上新问题的出现，往往在某个攻击造成了巨大损失后，才采取补救措施。单一的安全技术，如防火墙或入侵检测技术，不足以保护网络安全。因此，在防火墙和IDS后加入入侵诱骗技术，既可以用作研究入侵者的有效工具，又可以作为检测攻击者的有力武器，使得被动防御的网络安全技术加强了主动性，对网络的保护更加及时和全面。蜜罐技术是一种新兴的基于主动防御的网络安全技术，蜜罐是应用于网络安全领域的信息...

展开>> 收起<<

基于Linux的蜜罐识别技术的研究.pdf

共70页,预览7页

还剩页未读，继续阅读

基于Linux的蜜罐识别技术的研究

相关推荐

开通VIP享超值会员特权

作者详情

相关内容

推荐作者

热门标签

举报选择: