chap4-07-蜜罐技术-v3.2.pdfVIP

蜜罐技术 罗森林 信息安全与对抗技术实验室 内容 • 蜜罐的概念 • 蜜罐的安全价值 – 产品型、研究型 • 蜜罐的法律问题 • 蜜罐的基本配置 – 诱骗、弱化、强化、用户模式 • 蜜罐的分类 • 蜜网 • 蜜罐的发展趋势 蜜罐的概念 • 蜜罐是一种在互联网上运行的计算机系统，它是专门 为吸引并“诱骗”那些试图非法闯入他人计算机系统的 人而设计的。 • 蜜罐系统是一个包含漏洞的诱骗系统，它通过模拟一 个或多个易受攻击的主机，给攻击者提供一个容易攻 击的目标，由于蜜罐并没有向外界提供真正有价值的 服务，因此所有链接的尝试都将被视为是可疑的。 • 蜜罐的另一个用途是拖延攻击者对真正目标的攻击， 让攻击者在蜜罐上浪费时间。这样，最初的攻击目标 得到了保护，真正有价值的内容没有受到侵犯 蜜罐的概念 • 一种配置方式 蜜罐的概念 • L.Spiuner是一名蜜罐技术专家。他对蜜罐做了这样的 定义：蜜罐是一种资源，它的价值是被攻击或攻陷， 这就意味着蜜罐是用来被探测、被攻击甚至最后被攻 陷的，蜜罐不会修补任何东西，这样就为使用者提供 了额外的、有价值的信息。 • 蜜罐不会直接提高计算机网络安全，但它却是其他安 全策略所不可替代的一种主动防御技术。 蜜罐的安全价值 • 产品型蜜罐的价值 – 产品型蜜罐的价值一般运用于特定组织中以减小各种 网络威胁，它增强了产品资源的安全性。产品型蜜罐 最大的价值是检测，这是因为产品型蜜罐可以降低误 报率和漏报率，这极大地提高了检测非法入侵行为的 成功率，同时也会增强整个组织对意外事件的响应能 力。但是蜜罐不能阻止入侵者进入那些易受攻击的系 统。 蜜罐的安全价值 • 产品型蜜罐的价值 – 防护。蜜罐的防护作用很小，蜜罐不会将那些试图 攻击的入侵拒之门外。事实上，蜜罐希望有人闯入 系统，从而进行各项记录和分析工作。 – 检测。虽然蜜罐的防护功能很弱，但是它却具有很 强的检测功能。想要从大量的网络行为中检测出攻 击行为是一件非常困难的事情，甚至想检测出哪些 系统已经被攻陷也是一件十分困难的事债。 – 响应。尽管从一般意义上讲，蜜罐也可以进行响应 蜜罐的安全价值 • 研究型蜜罐的安全价值 – 谁在攻击、攻击的目的是什么、攻击者如何进行攻击、攻击 者使用什么方法攻击，以及攻击者何时进行攻击等 – 蜜罐可以为安全专家们提供一个学习各种攻击的平台 – 研究型蜜罐可以捕获自动攻击 • 研究型蜜罐并不会降低任何风险与威胁，但是它们可 以帮助使用者获得更多入侵者的信息。这些信息可以 用于更好地理解各种攻击并更好地保护应该受到保护 的系统。 蜜罐的法律问题 • 只要谈及蜜罐，就会使人联想到“诱骗”。诱骗的法律 定义是，在本没有意图触犯法律的情况下，在法律实 施者或者其代理人引诱或者劝诱下触犯法律。 • 蜜罐也触及与隐私相关的事宜。 – 无论是入侵者放置在被入侵系统上的文件还是通过Honeynet 转交的通信内容都与此问题相关。虽然侵犯存储在被盗计算 机上的文件，或者入侵者威胁机主的权利或者在末核准的情 况下使用机主的权利属于明显的侵犯隐私的行为，但很少有 人会认为对通过被入侵计算机转交的通信进行拦截是一种侵 犯隐私的法律行为。