虚拟蜜罐软件honeyd.docVIP

虚拟蜜罐软件honeyd 1．摘要 本文主要介绍了虚拟蜜罐产生的相关背景，重点放在对流行的虚拟蜜罐软件honeyd的介绍上，对honeyd的安装，配置，运行和测试结果，以及honeyd的软件架构做了介绍和剖析。 2．相关问题 2.1 蜜罐（honeypot）和蜜网（honeynet）技术 蜜罐技术是一种欺骗入侵者以达到采集黑客攻击方法和保护真实主机目标的诱骗技术Honeypot不同与大多数传统安全机制，它的安全资源的价值是在于它被探测，被攻击，或者被威胁。 Honetpot能够是任何计算机资源，它能是工作站，文件服务器，邮件服务器，打印机，路由器，任何网络设备，甚至整个网络。 Honetpot是故意被部署再危险的环境中，以便它被攻击，并且相对于部署honeypot的目的来说，honeypot没有合法的产品价值，即它不能用于对外的正常服务。如果你的web server经常被访问，并且你分析服务器上的信息，这就不代表你把他配置成一个honeypot，而仅仅是一个缺乏安全防护措施的web server. Honeynet是一组honeypot的集合，这些honeypot是在一个人或者一个组织的控制之下，一个honeynet上可以运行多种不同的操作系统，可以有一个或者多个不同的主题。 2.2 虚拟蜜罐（virtual honeypot） 虚拟蜜罐可以一种快速的方式配置若干个蜜罐，虚拟蜜罐软件能够模仿IP栈，OS，和真实系统的应用程序，一旦你建立了你的虚拟蜜罐系统，在它被攻陷了后你也很容易重建。通常情况下，模仿是完全在内存中实现的。虚拟蜜罐软件也允许在单一的物理主机上配置一个完全的密网，一个虚拟蜜罐系统可被用来模仿成千上万个系统，每个系统使用成千上万个端口且使用不同的IP. 由于整个Honeynet可以部署在一台机器上，可以大大的减少费用，只要足够大的内存与虚拟软件的支持，我们可以在一台机器上安装任意多的操作系统。 Honeyd就是一款优秀的虚拟蜜罐软件。 3。Honeyd软件 3.1简介 Honeyd是一个小的守护程序，它能够产生虚拟的主机，这些主机能够被配置以提供任意的服务，系统特征也是与之相适应，以至于使之看起来像真实的系统在运行。在一个局域网的网络仿真中，Honeyd能够使单个主机拥有许多IP（多达65536个）。通过提供对威胁探测和评估的机制，增强了计算机的安全性，通过隐藏真实的系统在虚拟的系统中，也达到了阻止敌手的目的。 3.2 安装 Honeyd不能单独运行，需要如下三个函数库作为配套，libenvent,libdnet,libdcap. 3.2.1 libenvent libevent API提供了一种机制：当一个特殊事件在一个文件描述符上发生或者一个事先设定的时间到达的时候执行一个callback函数，另外，callback也支持由信号或者规则的timeout引发的callback. 最新版下载地址：/~provos/libevent-1.1a.tar.gz 相关网站：/ 3.2.2 libdnet libdnet为若干个低层的网络例程提供了一个简单的可移植的接口，包括网络地址处理，内核arp缓冲和路由表查找和管理，网络防火墙（IP filter, ipfw, ipchains, pf, PktFilter, ...)，网络接口查找和管理，IP隧道（BSD/Linux tun, Universal TUN/TAP device)，未加工的IP包和以太网帧的传输。 支持的语言包括：C, C++， Python ，Perl (see below) 支持的平台包括：BSD (OpenBSD, FreeBSD, NetBSD, BSD/OS) ，Linux (Redhat, Debian, Slackware, etc.) ，MacOS X ，Windows (NT/2000/XP) ，Solaris ，IRIX ，HP-UX ，Tru64 下载地址：/libdnet/libdnet-1.10.tar.gz 相关网站：/ 3.2.3 libdcap libpcap 是 unix/linux 平台下的网络数据包捕获函数包，大多数网络监控软件都以它为基础。Libpcap 可以在绝大多数类 unix 平台下工作/release/libpcap-0.9.1.tar.gz 相关网站：/#needs 3.2.4 arpd 在运行honeyd之前，我们需要保证honeyd的主机对我们配置的honeypot的ip做出arp请求的应答。可以通过运行arpd软件来做出arp应答。arpd将对指定的IP地址范围内未使用的IP 用honeyd主机的MAC地址做出arp应答。 下载地址：/u/provos/honeyd/ar