全球蜜网严控网络攻击

团臣垂翻匾重蛰圜——■文／杨望全球蜜网严控网络攻击ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ组织机构Ｈｏｎｅｙｎａ是在一种高交互型、研究型的用来获取广泛的安全威胁信息的蜜罐技术，其主要目的是收集黑客的攻击信息≥但它又不同于传统的蜜罐技术，它不是单一的系统而是一个网络，即构成了一个诱捕黑客行为的网络体系架构，在这个架构中包含了一个或多个蜜罐。

一个典型的蜜网通常由防火墙、网关、入侵检测系统和多个蜜罐主机组成，也可以使用虚拟化软件来构建虚拟蜜网。

今天介绍的ＨｏｎｅｙｎｅｔＰｒＮｅｃｔ就是一个依托于Ｈｏｎｅｙｎｅｔ技术的互联网安全组织。

ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ是ＬａｎｃｅＳｐｉｔｚｎｅｒ（Ｓｕｎ公司的前安全架构师）等人于１９９９年在美国伊利诺斯州（ＩｌｌｉｎｏＮ）ＮａｐｅｎｒｉⅡｅ市建立的一个国际非盈利性组织。

与ＳＡＮＳ／ＩＳＣ类似，ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ也是～个分散型拓扑的组织，由位于美国的核心和遍布全世界的１９个分部（Ｃｈａｒｔｅｒ）组成（图１）。

美国的核心包括指导委员会（ＢｏａｒｄｏｆＤｉｒｅｃｔｏｒ）和各类执行官（ＯｆｆｉｃｅｒＳ），大约１０—２０人，负责整个组织的未来发展规划幽１ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ分部分布图２４中国教育月终２∞８４和核心业务的处理，每个分部则处理负责ＨｏｎｅｙｎｅｔＰｒＯｊｅｃｔ在本地的业务，如在当地进行Ｈｏｎｅｙｎａ的架设和研究工作，分部要求至少有一名全值人员。

在２００７年以前，ＨｏｎｅｙｎａＰｒｏｊｅｃｔ没有分部，而有一个独立于组织之外的研究联盟（ＲｅｓｅａｒｃｈＡ１ｌｉａｎ＠），研究联盟的成员只要求关注蜜网的研究和推广工作，而并不要求隶属于ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ。

由于没有统一的管理，随着ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ的发展，联盟内的沟通和合作发生了很大问题，所以在２００７年，联盟的各成员正式加入ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ，变成了各地的分部。

这个组织的目标提高Ｉｎｔｅｒｎａ的安全水平，并且要做得“与众不同”（ｍａｋｅａｄｉｆｆｅｒｅｎｃｅ）。

他们从三个方面来实现自己的目标。

首先是唤起公众的注意，唤起公众对存在于Ｉｎ．ｍｅｔ上的威胁和漏洞的注意。

许多组织和个人没有发现自己成为了被攻击的目标，也没有理解是谁在攻击他们和为什么攻击他们。

Ｈｏｎｅｙｎｅｔｐｒｏｊｅｃｔ提供了关于攻击的信息，让人们更好地理解自己是如何成为被攻击的目标，并理解一些消除威胁的基本手段。

这些信息通过著名的ＫＹＥ（ＫｎｏｗＹｏｕｒＥｎｅｍｙ）系列文章来向公众公布。

其次是信息共享。

过去一般人了解关于攻击的信息仅限于攻击者使用的攻击工具，ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ通过ＫＹＥ系列文章和每月举办的ＳｃａｎｏｆＭｏｎｔｈ竞赛向那些已经意识到并关注自己的安全状况的组织或个人提供了更多关于攻击的信息，包括攻击者的意图，攻击者通讯的方式，已经攻击者入侵系统的详细步骤。

最后是工具。

对那些有兴趣继续对互联网安全进行研究的组织或个人，ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ以开源软件的形式提供自己开发的各类工具。

ＫＹＥ发布研究成果ＫｎｏｗＹＯＵｒＥｎｅｍｙ（ＫＹＥ）是ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ著名的论文系列，介绍了ＨｏｎｅｙｎａＰｒ＠ｅｃｔ和它的各个分部成员研究的技术以及在安全实践中学习到的经验。

为了保证ＫＹＥ系列的质量，每一篇ＫＹＥ文章的题目首先要通过ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ内部ＫＹＥ委员会的讨论，然后文章的初稿在委员会要有大约五周的审稿期，最后是在所有ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ的成员进行同行评审（ｐｅｅｒｒｅｖｉｅｗ），大约只有５０％的文章能通过最后的审稿而发表。

ＫＹＥ的研究覆盖面十分广泛，有的关注黑客的攻击目的、动机，如“ＫｎｏｗＹｏｕｒＥｎｅｍｙ：Ｍｏｔｉｖｅｓ”；有的关注安全技术，如“ＫｎｏｗＹｏｕｒＥｎｅｍｙ：ＡＦｏ－ｒｅｎｓｉｃｓＡｎａｌｙｓｉｓ”关注取证技术，“ＫｎｏｗＹｏｕｒＥｎｅｍｙ：ＴｒａｃｋｉｎｇＢｏｔｎｅＮ”讨论Ｂｏｔｎｅｔ的追踪技术；还有的直接解析攻击方法，如“ＫｎｏｗＹｏｕｒＥｎｅｍｙ：Ｆａａ－ＦｌｕｘｓｅｒｖｉｃｅＮｅｔｗｏｒｋＳ”讨论了僵尸网络的通讯机制发展，“ＫｎｏｗＹｏｕｒＥｎｅｍｙ：Ｐｈｊｓｍｎｇ”介绍了钓鱼攻击的基本技术。

由于ＫＹＥ的标准过于严格，今年ｈｏｎｅｙｎｅｔｐｒｏｊｅｃｔ又推出了—个ＫＹＥ№系列，其标准较ＫＹＥ要低—些，主要为针对一些专门问题的短文，如最新的一篇文章ＫｎｏｗＹｏｕｒＥｎｅｍｙＬ地：ＰｒｏｘｙＴｈｒｅａ谯一Ｓ０ｃ１（ｓｖ６６６就是第一篇ＫＹＥＵ＿ｃｅ系列。

同时ｈｏｎｅｙｎｅｔｐｒＮｅｃｔ还出版了两本以“Ｋｎｏｗｙｏｕｒｅｎｅｍｙ”为名的书籍，详万方数据细介绍了ｈｏｎｅｙｎｅｔ技术及其应用。

采用工具架设蜜网ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ开发的工具基于开源软件的思想都是免费发行，他们遵循的是ＧＰＬ的第二版规则。

目前发布的工具包括高交互蜜罐、低交互蜜罐、客户端蜜罐、蜜罐基础设施和数据分析工具。

其中最主要的是用于蜜网架设的ＨｏｎｅｙｗａｌｌＣＤＲＯＭ。

蜜网架设是一个较为复杂的过程，为了简化这个过程，ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ发布了ＨｏｎｅｙｗａｌｌＣＤＲＯＭ，将蜜网中的数据控制、数据采集和数据分析工具的安装半自动化。

该ＣＤＲＯＭ以ＣｅｎｔＯＳ（Ｒｅｄｈａｔ企业版的一个独立开源版本）为基础操作系统，用户在安装过程中可以定制ｉｐｔａｂｌｅｓ和ｓｎｏｒｔ—ｉｎｌｉｎｅ这些数据控制和收集工具的配置，使之符合试验环境需求。

目前ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ的软件开发重点是自动化分布式Ｈｏｎｅｙｎｅｔ（ＧＤＨ）配置，使组织或个人可以容易地配置多个标准的Ｈｏｎｅｙｎｅｔ和一个集中的数据收集和管理中心。

目前这个配置工具是由ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ的英国分部负责研究。

中国的Ｈｏｎｅｙｎｅｔ中国蜜网项目组是ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ在中国的分部（Ｃｈａｒｔｅｒ），负责人是北京大学的诸葛建伟博士。

其前身是北京大学计算机研究所信息安全工程研究中心的Ａｒｔｅｍｉｓ（狩猎女神）项目，该项目于２００５年１月向ＨｏｎｅｙｎｅｔＰｒｏｊｅｃｔ提出申请，并于２００５年２月正式加入，成为该组织研究联盟中的中国第一支研究团队。

中国蜜网联盟在对Ｈｏｎｅｙｎｅｔ的研究和推广上做了很多工作。

一方面他们对ＫＹＥ系列文章进行中文化，同时和ＣＮＣＥＲＴ合作建立了中国的ＧＤＨ系统。

另一方面开发了自动恶意软件收集系统ＨｏｎｅｙＢｏｗ。

最近中国蜜网联盟还推出了开放课题基金，欢迎感兴趣的学生和独立研究人员参与并开源发布研究成果。

他们的主页是ｗｗｗ．ｈｏｎｅｙｎｅｔ．ｏｒｇ．ｃｎ，对Ｈｏｎｅｙｎｅｔ有兴趣的研究者可以关注他们的主页。

目（作者单位为东南大学计算机科学与工程学院）ＣＣＳＡ制定完成网络安全防护系列标准根据《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发［２００３１２７号）以及国家网络与信息安全协调小组办公室关于开展等级保护、风险评估和灾难备份及恢复等丁作的有关意见，中国通信标准化协会于２００６年１０月启动了网络安全防护系列标准的制定工作，经过一年多的努力，该系列３２项标准已经制定完成，日前已由信产部正式批准发布。

电信网和互联网安全防护体系就是将等级保护，风险评估、灾难备份及恢复这三者有机结合，其目的就是要加强电信网和瓦联网的安全防护能力，确保网络的安全性和可靠性，尽可能实现对电信刚和互联网安全状况的实时掌控。

该系列标准以指导安全防护工作为目的．结合电信网全程全网、网络分层的特点，其安全防护范围包括公共电信网，与互联网有关的数据中心．域名服务机构，信息服务接入服务单位等，支撑和管理公共电信网及电信业务的业务单元和控制单元，以及企业办公系统，客服呼叫中心，企业门户网站等。

该系列标准由一个管理指南即《电信网和互联网安全防护管理指南》，三个实施指南即《电信网和互联网安全等级保护实施指南》，《电信网和互联网安全风险评估实施指南》和《电信网和互联网灾难备份及恢复实施指南》，以及覆盖固定网、移动网、互联网、消息网，智能网、接入网、传送网、ＩＰ承载网、信令网，同步网、支撑网、非核心生产单元等１２个具体网络的安全防护标准组成。

该系列标准对电信网和互联网安全防护体系各部分内容及其关系，安全等级划分和定级方法，安全等级保护实施过程中的基本原则，风险评估的要素及实施流程、工作形式，遵循的原则，灾难备份及恢复工作的目标和原则等做出了具体规定。

该系列标准的发布实施，对电子政务、电子商务、远程教育，远程医疗等的建设具有重要作用，将加强信息安全技术性工作和基础设施建设，为保障和促进我国信息化健康发展奠定了基础。

（ＣＣＳＡ谭泳供稿）无线网络蠕虫传播随着智能电话和其他移动设备的流行，无线蠕虫已经逐渐成为大家关注的热点，目前已经有一些概念验证型的蠕虫被发现，其中ＣａｂｉｒａｎｄＣｏｍｍｗａｒｒｉｏｒ两个蠕虫成功地在现实网络中进行了传播，但其传播效率不高。

根据最近伦敦帝国理工学院的Ｃｈｆｉｓｔｏ—ｐｈｅｒＲｈｏｄｅｓ和ＢＴ公司的ＭａｚｉａｒＮｅｋｏｖｅｅ联合发布的数学模型，无线网络蠕虫将有可能以类似于流感病毒的传播模型进行高效率传播。

２００７年中，美国Ｉｎｄｉａｎａ大学的ＳｔｅｖｅｎＭｙｅｒｓ展示了一个模型演示无线计算机蠕虫在无线路由器间传播的过程。

Ｒｈｏｄｅｓ和Ｎｅｋｏｖｅｅ的模型加入了新的维度，考虑携带设备的人的移动过程。

在他们的模型中，设定一组人群，人群的每个成员携带有打开蓝牙功能的智能电话，每个电话可以与一定距离内的其他电话进行连接。

每个人都沿固定的路径以固定的速率前进，其中有一都电话被植入蠕虫。

当被感染的电话的连接半径内有其他电话时，蠕虫会以固定的概率感染其他电话。

Ｒｈｏｄｅｓ和Ｎｅｋｏｖｅｅ的模型演示了蠕虫可以像真实的病毒一样有效地传播和在不同地理区域间随着人群的移动而进行跳跃。

Ｓｙｍａｎｔｅｃ公司安全响应酃门的ＥｒｉｃＣｈｉｅｎ说，蓝牙蠕虫的问题在于“人与人之间的交互”，或者说。

在本质上是机器与机器的交互”，并建议在不需要时要关闭设备蓝牙功能，就像。

在潜在感染区戴上外科口罩一样”。

安全专家ＢｒｕｃｅＳｃｈｎｅｉｅｒ则指出，（移动）电话网络的性质和现有刚络的性质不同，所以蠕虫的传播机制也是不同。

（杨望供穰）２。

８４中雎教青罔络２５　万方数据全球蜜网严控网络攻击作者：杨望作者单位：东南大学计算机科学与工程学院刊名：中国教育网络英文刊名：CHINA EDUCATION NETWORK年，卷(期)：2008(4)本文链接：/Periodical_zgjywl200804011.aspx。