第15章 入侵检测系统和网络诱骗系统26.pptVIP

南京邮电大学信息安全系 南京邮电大学信息安全系 第15章 入侵检测系统和网络诱骗系统 南京邮电大学信息安全系 《网络信息安全》教研组 主要内容 1 网络诱骗系统概述 2 网络诱骗技术 3 蜜罐的分类 4 常见的网络诱骗工具及产品 5 蜜罐的优缺点 1 网络诱骗系统概述 ? “蜜罐”（Honeypot）——主动防御技术 ? 对攻击者给予“诱骗”反应，使其相信被攻击系统安全性很差 作用： 消耗攻击者拥有的资源 增加攻击者的工作量 迷惑攻击者以延缓对真正目标的攻击 掌握攻击者行为跟踪攻击者 形成威慑攻击者的力量 Honeypot的设计考虑 ? 吸引并诱骗试图非法闯入他人计算机的人 ? 用被攻击系统的特征吸引攻击者，同时分析各种攻击行为 ? 开启通常被黑客窥探的危险端口来模拟漏洞系统 ? 故意留下安全后门来吸引攻击者上钩，或者故意放置虚假的敏感信息 网络诱骗系统的特点 1） Honeypot模拟易受攻击主机，本身未向外提供有价值服务，与其进行连接的行为均可疑。 2）Honeypot保护关键系统：它就像一台真实服务器，易吸引黑客。 3）Honeypot是用来被探测、被攻击和最后被攻陷的，利用蜜罐可发现新型攻击。 4）Honeypot是其他安全策略所不可替代的一种主动防御技术，可以与其他技术结合使用。 蜜罐配置图 实施蜜罐的注意点（1） 1）将蜜罐与任何真实产品系统隔离，一般将它放在离Internet最近的位置（如DMZ上）。 2）蜜罐不公开自己的IP地址和端口，对蜜罐的所有访问都可能是攻击。 3）蜜罐所捕获数据的针对性强，所以在一定程序上克服IDS的不足：误报率高及漏报新的攻击。 实施蜜罐的注意点（2） 4）将多种网络防御系统结合来防范网络攻击： 自动路由转发 被防火墙拦截的访问请求 蜜罐 因为这种访问请求很可能是攻击包。 5）蜜罐的日志记录系统应在物理上独立于蜜罐本身。 6）允许蜜罐与外网主机自由通信，但应限制蜜罐对一台内网/外网主机同时发起的连接数。 2 网络诱骗技术 2.1 蜜罐主机技术 （1）空系统 运行真实操作系统及应用程序的标准机器—— 从中可找到真实系统的各种漏洞，没有刻意模拟某种环境或故意使系统不安全。 （2）镜像系统 空系统易被发现——建立提供网络服务的与真实服务器基本一致的镜像系统，更能欺骗攻击者。 （3）虚拟系统 ? 在真实机器上运行仿真软件VMware来实现硬件模拟，使得可以在硬件仿真平台上运行多个不同操作系统——一台真实机器模拟出多台虚拟机。 ? VMware还支持网卡模拟：每个虚拟机拥有独立IP地址，即一台真实机器可模拟出连接在网上的多台主机，形成虚拟局域网。 这些虚拟系统不但逼真，且成本较低，部署和维护容易，资源利用率高。 基于同一硬件平台的虚拟系统 不允许虚拟机操 作系统访问宿主 机的文件系统 2.2 陷阱网络技术（Honeynet） 由多个蜜罐、路由器、防火墙、IDS、审计系统组成，为攻击者制造被攻击环境，供防御者研究攻击行为。 最新的陷阱网络技术——虚拟陷阱网络（Virtual Honeynet），将陷阱网络所需功能集中到一个物理设备中运行。 第三代陷阱网络体系结构 2.3 诱导技术 （1）基于网络地址转换技术的诱导 把攻击引向事先设定好的诱骗主机，优点是设置简单、转换速度快且成功率高。 （2）基于代理技术的诱导 欺骗系统设计得再逼真，真实目标还可能被攻击 ——目标主机使用代理技术将攻击数据流转向蜜 罐，自己成为攻击者和蜜罐之间的桥梁。 2.4 欺骗信息设计技术 （1）端口扫描欺骗信息设计 欺骗系统截获黑客发送的TCP扫描包，发回与实际情况相反的虚假数据包以欺骗攻击者，让他对端口状态判断失误。 （2）主机操作系统欺骗信息设计 1）修改系统提示信息 2）用修改堆栈指纹库欺骗协议栈指纹鉴别技术—— 欺骗的成功率大大提高 （3）口令欺骗信息设计 1）伪装口令产生器：构造的虚假口令会消耗攻击者的计算能力并欺骗攻击者，减少被破解口令个数。 ? 即使攻击者破解出复杂口令，但它们是伪装的； ? 即使攻击者知道有伪装口令，但判断口令真伪也降低了攻击效率。 2）口令过滤器：避免用户选择伪装口令产生器产生的口令。 3 蜜罐的分类 4 常见的网络诱骗工具及产品 1．