蜜罐与蜜网技术介绍
网络安全蜜罐”技术研究与实现
2、软件层面：在操作系统和应用软件层面进行优化，增强其抗攻击能力。例 如，设计伪装软件应用，使蜜罐在受到攻击时能够进行伪装响应，诱导攻击者 中计。
3、网络层面：通过网络架构优化和网络安全策略配置，实现网络通信的安全 性和可靠性。例如，设置蜜罐网络与真实网络的隔离，防止攻击者在蜜罐网络 中进一步渗透。
五、总结与展望
网络安全蜜罐作为一种主动防御技术，可以有效发现和防范各种网络攻击行为。 通过对潜在攻击者的诱导和监控，蜜罐能够获取丰富的攻击信息，提高网络防 御的针对性和效果。然而，蜜罐技术也存在一定的挑战和限制，例如如何提高 诱骗的准确性和防御效果、如何避免自身被攻破等问题。
未来，随着技术的不断进步和应用场景的不断扩展，网络安全蜜罐技术将会有 更多的发展机遇和挑战。结合、机器学习等技术，智能蜜罐将会更加普及和高 效；随着云计算、物联网等技术的广泛应用，蜜罐技术也将扩展到更大规模和 更为复杂的网络环境中。因此，我们期待未来网络安全蜜罐技术能够为网络安 全领域带来更多的创新和突破。
1、本次演示所实现的蜜罐网络诱骗技术能够有效诱骗攻击者进入预设陷阱， 提高了防御效果。
2、通过多层次、全方位的蜜罐设计，实现了对多种攻击手法的有效应对。 3、通过对攻击数据的分析，能够准确识别出攻击者的行为特征和意图。
谢谢观看
4、威慑作用：通过展示网络安全蜜罐的能力和效果，威慑潜在的攻击者，降 低网络攻击的风险。
三、技术研究
网络安全蜜罐的技术研究主要包括以下几个方面：
1、技术原理：网络安全蜜罐的技术原理是通过模拟或构造各种漏洞，吸引攻 击者进行扫描和攻击，记录攻击者的行为并进行分析，从而获取网络攻击的相 关信息。
2、实现方式：网络安全蜜罐的实现方式包括软件和硬件两种方式。软件蜜罐 可以通过虚拟机或容器技术模拟漏洞，硬件蜜罐则可以通过定制硬件或路由器 等设备实现。
蜜罐技术是什么
第一章蜜罐技术蜜罐（Honeypot Technology）技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。
蜜罐好比是情报收集系统。
蜜罐好像是故意让人攻击的目标，引诱黑客前来攻击。
所以攻击者入侵后，你就可以知道他是如何得逞的，随时了解针对服务器发动的最新的攻击和漏洞。
还可以通过窃听黑客之间的联系，收集黑客所用的种种工具，并且掌握他们的社交网络。
第二章详细解释2.1蜜罐的定义首先我们要弄清楚一台蜜罐和一台没有任何防范措施的计算机的区别，虽然这两者都有可能被入侵破坏，但是本质却完全不同，蜜罐是网络管理员经过周密布置而设下的“黑匣子”，看似漏洞百出却尽在掌握之中，它收集的入侵数据十分有价值；而后者，根本就是送给入侵者的礼物，即使被入侵也不一定查得到痕迹……因此，蜜罐的定义是：“蜜罐是一个安全资源，它的价值在于被探测、攻击和损害。
”设计蜜罐的初衷就是让黑客入侵，借此收集证据，同时隐藏真实的服务器地址，因此我们要求一台合格的蜜罐拥有这些功能：发现攻击、产生警告、强大的记录能力、欺骗、协助调查。
另外一个功能由管理员去完成，那就是在必要时候根据蜜罐收集的证据来起诉入侵者。
2.2涉及的法律问题蜜罐是用来给黑客入侵的，它必须提供一定的漏洞，但是我们也知道，很多漏洞都属于“高危”级别，稍有不慎就会导致系统被渗透，一旦蜜罐被破坏，入侵者要做的事情是管理员无法预料的。
例如，一个入侵者成功进入了一台蜜罐，并且用它做“跳板”（指入侵者远程控制一台或多台被入侵的计算机对别的计算机进行入侵行为）去攻击别人，那么这个损失由谁来负责？设置一台蜜罐必须面对三个问题：设陷技术、隐私、责任。
设陷技术关系到设置这台蜜罐的管理员的技术，一台设置不周全或者隐蔽性不够的蜜罐会被入侵者轻易识破或者破坏，由此导致的后果将十分严重。
企业级蜜罐技术：引诱并追踪攻击者
数据应用：将 分析结果应用 于防御策略的 制定和优化， 提高企业网络
安全水平
蜜罐技术：通过 模拟真实环境， 吸引攻击者，收 集攻击行为和信 息
威胁情报：通过 蜜罐技术收集到 的攻击行为和信 息
共享方式：通过 互联网、安全社 区、安全厂商等 渠道共享威胁情 报
利用方式：通过 对威胁情报的分 析和利用，提高 企业安全防护能 力，及时发现和 应对攻击行为
XX,a click to unlimited possibilities
汇报人：XX
CONTENTS
PART ONE
PART TWO
蜜罐技术是一种网络安全技术，用 于吸引和检测恶意攻击者。
蜜罐系统可以记录攻击者的行为， 帮助网络安全人员了解攻击者的攻 击手段和意图。
添加标题
添加标题
添加标题
蜜罐技术可以收集攻击者的信息，帮助企业了解攻击者的行为和意图，从而制定更有效的防御策略
蜜罐技术可以提供实时的预警和响应机制，帮助企业及时发现和应对攻击
蜜罐技术可以提供攻击者的行为分析和报告，帮助企业了解攻击者的攻击方式和技术，从而提高防御能力
PART FOUR
物理部署：将 蜜罐设备放置 在企业网络中， 模拟真实环境
蜜罐技术的原理：通过模拟真实环境，吸引攻击者，从而获取攻击信息
蜜罐技术的分类：包括低交互蜜罐、高交互蜜罐、蜜网等
蜜罐技术的应用：在金融、政府、教育等领域广泛应用
蜜罐能力和防御效 果
PART FIVE
蜜罐技术的挑战：误报和漏报
解决方案：提高蜜罐的仿真度， 使其更接近真实环境
蜜罐系统的监控：蜜罐系统的监控需要实时监控蜜罐系统的运行状态，包括蜜罐系统的流量、 蜜罐系统的日志、蜜罐系统的异常等。
蜜罐及蜜网技术
信息系统安全与对抗技术蜜罐及蜜网技术❖L.Spiuner是一名蜜罐技术专家，他对蜜罐的定义：蜜罐是一种资源，它的价值是被攻击或攻陷，这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东西，这样就为使用者提供了额外的、有价值的信息。
❖蜜罐不会直接提高计算机网络安全，但它却是其他安全策略所不可替代的一种主动防御技术。
❖产品型蜜罐的价值•运用于特定组织中以减小各种网络威胁，它增强了产品资源的安全性•防护•检测•响应❖研究型蜜罐的安全价值•研究型蜜罐可以捕获自动攻击•研究型蜜罐并不会降低任何风险与威胁，但是它们可以帮助使用者获得更多入侵者的信息❖诱骗服务（Deception Service）❖弱化系统（Weakened System）❖强化系统（Hardened System）❖用户模式服务器❖诱骗服务（Deception Service）•足以让攻击者相信是一件非常困难的事情❖弱化系统（Weakened System）❖强化系统（Hardened System）❖用户模式服务器❖诱骗服务（Deception Service ）❖弱化系统（Weakened System ）❖强化系统（Hardened System ）❖用户模式服务器•是一个配置有已知攻击弱点的操作系统•恶意攻击者更容易进入系统❖诱骗服务（Deception Service）❖弱化系统（Weakened System）❖强化系统（Hardened System）•强化系统并不配置一个看似有效的系统❖用户模式服务器❖诱骗服务（Deception Service）❖弱化系统（Weakened System）❖强化系统（Hardened System）❖用户模式服务器❖配置蜜罐的实例•蜜罐系统应该与任何真实的产品系统隔离•尽量将蜜罐放置在距离外网最近的位置•需要有步骤地记录所有通过蜜罐的信息❖配置蜜罐的实例❖产品型蜜罐❖研究型蜜罐❖根据交互的程度分类•低交互蜜罐：只提供—些特殊的虚假服务低交互蜜罐蜜罐的分类❖根据交互的程度分类•低交互蜜罐：只提供—些特殊的虚假服务•中交互蜜罐：中交互蜜罐提供了更多的交互信息，但还是没有提供一个真实的操作系统中交互蜜罐蜜罐的分类❖根据交互的程度分类•低交互蜜罐：只提供—些特殊的虚假服务•中交互蜜罐：中交互蜜罐提供了更多的交互信息，但还是没有提供一个真实的操作系统•高交互蜜罐：高交互蜜罐具有一个真实的操作系统高交互蜜罐蜜罐的分类❖蜜罐基本分类•牺牲型蜜罐•外观型蜜罐•测量型蜜罐❖由多个系统和多个攻击检测应用组成的网络❖信息控制❖信息捕获❖信息收集密网（Honeynet）分布式蜜网❖只要谈及蜜罐，就会使人联想到“诱骗”。
网络诱骗技术之蜜罐
网络诱骗技术之蜜罐摘要：基于主动防御理论系统而提出的新兴蜜罐技术，日益受到网络安全领域的重视，蜜罐主要通过精心布置的诱骗环境来吸引和容忍入侵，进而了解攻击思路、攻击工具和攻击目的等行为信息，特别是对各种未知攻击行为信息的学习。
根据获取的攻击者得情报，安全组织就能更好地理解网络系统当前面临的危险，并知道如何阻止危险的发生。
本文首先系统地介绍了蜜罐和蜜罐网络诱骗系统的原理知识及关键技术,重点阐述了蜜罐的发展趋势及研究方向。
关键词：蜜罐、网络诱骗、网络安全、蜜网Phishing technology Honeypot(Northeastern University at Qinhuangdao, Qinhuangdao, 066004) Abstract: Based on active defense system proposed by the emerging theory of honeypot technology, increasingly the importance of network security, honeypots, mainly through careful layout of the environment to attract and tolerance decoy invasion, and then understand the idea of attack, attack tools, and the purpose of acts such as attacks information, especially information on a variety of learning unknown attacks. According to the attacker have access to intelligence and security organizations can better understand the danger facing the network system, and how to prevent dangerous place. This article first systematic introduction to honeypots and honeypot network decoy system, the principle knowledge and key technologies, focusing on trends and honeypot research.Keywords: Honeypot, Phishing, network security, Honeynet0引言“蜜罐”这一概念最初出现在1990年出版的一本小说《The Cuckoo’s Egg》中，在这本小说中描述了作者作为一个公司的网络管理员，如何追踪并发现一起商业间谍案的故事。
技术培训-蜜罐与蜜网技术介绍
蜜罐的分类
交互性：攻击者在蜜罐中活动的交互性级别 低交互型－虚拟蜜罐
• 模拟服务和操作系统 • 只能捕获少量信息 / 容易部署，减少风险 • 例: Honeyd
高交互型－物理蜜罐
• 提供真实的操作系统和服务，而不是模拟 • 可以捕获更丰富的信息 / 部署复杂，高安全风险 • 例: 蜜网
虚拟机蜜罐－虚拟硬件、真实操作系统/网络服务
蜜罐技术优势
高度保真的小数据集
• 低误报率 • 低漏报率
能够捕获新的攻击方法及技术 并不是资源密集型 原理简单，贴近实际
蜜罐技术概述
蜜罐技术的提出 蜜罐技术基本概念、分类及优势 虚拟蜜罐工具－Honeyd 蜜罐技术发展历程，当前研究热点
16
Honeyd
A virtual honeypot framework
• Honeyd 1.0 (Jan 22, 2005) by Niels Provos, Google Inc.
支持同时模拟多个IP地址主机
• 经过测试，最多同时支持65535个IP地址 • 支持模拟任意的网络拓扑结构
通过服务模拟脚本可以模拟任意TCP/UDP网络服务
• IIS, Telnet, pop3…
• 仅限对讲解内容相关的问题 • 对问题不感兴趣的可自由活动
讲座结束后留充分时间问答
• 欢迎任何问题 • 欢迎加入HoneynetCN邮件组讨论
蜜罐技术概述
蜜罐技术的提出 蜜罐技术基本概念、分类及优势 虚拟蜜罐工具－Honeyd 蜜罐技术发展历程，当前研究热点
8
互联网安全状况
安全基础薄弱
络攻防知识建模，恶意软件分析及防范技术 • 博士论文方向：基于数据融合框架的网络攻击关联分
析技术研究 • 2004年微软学者，2005年IBM Ph.D. Fellowship • Email: zhugejianwei@
蜜罐和蜜网
低交互度Honeypot的实现
-Kfsensor
部署目标 检测攻击 增加攻击代价 为应急响应提供丰富信 息研究 部署位置 直接接入互联网DMZ非 军事区 内部网络 攻击检测、诱骗网络
低交互度Honeypot的实现
-Honeyd /
经过测试，最多同时支持65535个IP地址 对ping和traceroute做出响应
支持同时模拟多个IP地址主机
支持ICMP
通过代理和重定向支持对实际主机、网络服务的整 合-重定向使得我们可以将一个到虚拟蜜罐上的服务 的连接请求转发到一台真实服务器运行的服务进程。
add windows tcp port 23 proxy “162.105.204.159 23”
因此架设一个中交互系统是比较复杂的，要求实施者对网络协议与服务有深 刻的认识。同时，因为中交互系统提供了较多的网络服务，有可能被攻击者 利用成为跳板，因此，在实施该系统的网络内，因经常检查系统日志，并严 格检查是否有安全漏洞已经被黑客利用。
Honeypot的类型
高交互度的Honeypot-复杂度大大增加,面对攻击者的是真实操作系统 的真实应用服务。高交互度Honeypot为攻击者提供对实际操作系统的 访问权,在此环境下无任何实体模拟或受限, Honeypot收集攻击者信息 的能力也大大增强,但同时它也面临高风险,一旦攻击者掌握了对某个 Honeypot的控制权,即拥有了被侵入机器完整可操作系统的控制权,从 而会在被侵入系统内进一步扩大侵害。 高交互系统可以提供真实的操作系统环境，攻击者完全可以认为它就 是一台真实的服务器主机，因此，它可以对攻击者的攻击方法进行详 细的日志记录。当攻击者自认为成功入侵时，系统也成功的记录了它 的入侵过程，这样可以帮助系统发现当前系统漏洞并采取相应措施修 补漏洞。 当然，因为部署了真实的操作系统，就难免有攻击者可以通过蜜罐系 统对其它内网主机进行攻击，因此，管理员应定期检查蜜罐主机的安 全性和完整性，也可通过其它方法将蜜罐主机与受保护主机隔离，使 攻击者即使攻破了蜜罐系统也无法跳板攻击其它主机。
蜜罐与蜜网技术
击 者 劳而 无功 ． 而 降低 黑 客攻 击 系 （ 从 欺骗 工具 包 ） ｉｌ Ｐｏ ｏ 开发 的 的商业产 品 。研究型 蜜罐 则是 专 门用 、Ｎｅｓ ｒｖ ｓ 通 统 的 兴趣 减少 重 要 系统 被攻 击 的危 Ｈ ｎ ｙ ｏ ｅ ｄ等 ， 同时也 出现 了像Ｋ Ｓ ｎｏ ， 于 对黑 客攻 击 的 捕获 和 分析 ． 过部 Ｆ ｅｓ ｒ
维普资讯
Ｔ ｌｃ ｍ ｒ ｅ ｅｅ ｏ ｍａ ｋ ｔ技 术 前 沿
蜜罐与蜜网技术
牛少彰 张 玮 （ 北京邮电大学
摘要： 网络Байду номын сангаас全领域 日益受到重视 ， 新兴的蜜罐与蜜网技术 。 基于主动防御理论而提出。蜜罐与 蜜网技术通过精心布置的诱骗环境来吸引容忍入侵 ，进而了解攻击思路 ．攻击工具和攻击 目的等行为 信息 根据获取的攻击者的情报能更好地理解 网络系统当前面临的危险 ，并且知道如何阻止这些危险 的发生。在 网络安全防护 中做到有的放矢 ，获得最大的主动权 。 关键词 ：网络安全 。蜜罐技术 。蜜网技术
术． 一类是 蜜网 （ｏ ｅ ｎ ｔ ｈ ｎ ｙ ｅ ）工程 。
一
种思 想 ． 常 由网络 管理人 员应 用 ． 蜜罐 的目的在 于为一 个组 织的 网络提 通
包括 检 测攻 击 防止 攻 国际 上的一 些安全 组 织首 先研究 通 过 欺骗 黑客达 到追 踪 的 目的。这 ～ 供 安全 保 护 ．
网络 诱骗 系统 ． 网络 诱骗 系统是 进 出该 网络 的数 据和 网络 诱骗 主机 上 于使 用真 实 的主机 、操 作 系统 和应 用
网络信息安全的蜜罐与蜜网技术
网络信息安全的蜜罐与蜜网技术网络信息安全是当今社会中不可忽视的重要议题之一。
为了应对不断增长的网络攻击和威胁，各种安全技术被研发出来，其中蜜罐与蜜网技术在网络安全领域中扮演着重要的角色。
蜜罐与蜜网技术可以说是网络防御体系中的“绊脚石”，通过诱使攻击者的注意力转移到虚假目标上，保护真实系统的安全。
本文将深入探讨蜜罐与蜜网技术的原理、应用以及其对网络安全的影响。
一、蜜罐技术蜜罐技术是一种利用安全漏洞吸引攻击者并收集攻击信息的方法。
蜜罐可以是一个虚拟机、一个系统、一个应用程序等，并通过实施合适的伪造，使攻击者产生对其价值的错觉。
当攻击者攻击了蜜罐，管理员就可以获取攻击者的信息以及攻击方式。
这种技术可以帮助安全专家识别攻击者的手段和目的，提供关于攻击者行为的详细记录，进一步优化网络防御策略。
蜜罐可以分为低交互蜜罐和高交互蜜罐两种类型。
低交互蜜罐主要用于攻击者获取目标及攻击信息，并能提供类似真实环境的部分服务；而高交互蜜罐则可以模拟完整的网络环境和服务，与攻击者进行实时互动，收集更多的信息并增加攻击者暴露自身的风险。
在实际应用中，蜜罐技术主要用于安全研究、网络攻击监测、攻击溯源和黑客防范等方面。
通过搭建蜜罐系统，安全专家能够分析攻击者的行为，预测新的攻击模式，从而提前采取相应的安全措施。
同时，蜜罐技术也可以用于对抗黑客，并增加网络安全的整体强度。
二、蜜网技术蜜网技术是指将多个蜜罐组成一个密集的网络环境，形成一个蜜罐阵列。
蜜网技术通过在网络中分布多个虚拟、伪造或易受攻击的系统，吸引攻击者进行攻击。
与蜜罐单独使用相比，蜜网技术可以提供更大规模和复杂度的攻击模拟环境，更好地了解攻击者的动机、行为以及他们之间可能存在的关联。
蜜网技术在网络安全中具有重要作用。
首先，它为安全人员提供更多真实攻击事件的数据，帮助他们分析攻击者的行为和策略，改善网络安全防护。
其次，蜜网技术可以用于主动监控攻击行为，及时发现并阻止未知安全威胁。
防黑阻击-入侵检测之蜜罐蜜网
防黑阻击 入侵检测之蜜罐与蜜网入侵诱骗技术是较传统入侵检测技术更为主动的一种安全技术。
主要包括蜜罐(Honeypot)和蜜网(Honeynet)两种。
它是用特有的特征吸引攻击者，同时对攻击者的各种攻击行为进行分析，并找到有效的对付方法。
为了吸引攻击者，网络管理员通常还在Honeypot上故意留下一些安全后门，或者放置一些攻击者希望得到的敏感信息，当然这些信息都是虚假。
当入侵者正为攻入目标系统而沾沾自喜时，殊不知自己在目标系统中的所做所为，包括输入的字符，执行的操作等都已经被Honeypot所纪录。
蜜罐技术Honeypot是一个资源，它的价值在于它会受到探测，攻击或攻陷。
蜜罐并不修正任何问题，它们仅提供额外的、有价值的信息。
所以说Honeypot并非是一种安全的解决方案，这是因为它并不会“修理”任何错误。
它只是一种工具，如何使用这个工具取决于用户想做什么。
Honeypot可以对其他系统和应用进行仿真，创建一个监禁环境将攻击者困在其中。
无论用户如何建立和使用Honeypot，只有Honeypot受到攻击，它的作用才能发挥出来。
所以为了方便攻击，最好是将Honeypot设置成域名服务器WEB或电子邮件转发服务等流行应用中的一种。
蜜罐的部署蜜罐并不需要一个特定的支撑环境，它可以放置在一个标准服务器能够放置的任何地方。
当然，根据所需要的服务，某些位置可能比其他位置更好一些。
如图(1)显示了通常放置的三个位置：1.在防火墙前面；2.DMZ中；3.在防火墙后面。
如果把蜜罐放在防火墙的前面，不会增加内部网络的任何安全风险，可以消除在防火墙后面出现一台失陷主机的可能性（因为蜜罐主机很容易被攻陷）。
但是同时也不能吸引和产生不可预期的通信量，如端口扫描或网络攻击所导致的通信流，无法定位内部的攻击信息，也捕获不到内部攻击者。
如果把蜜罐放在防火墙的后面，那么有可能给内部网络引入新的安全威胁，特别是如果蜜罐和内部网络之间没有额外的防火墙保护。
蜜罐与诱捕技术
1.蜜罐是一种网络安全技术，通过模拟真实系统或服务，引诱 并侦测攻击者的行为。 2.诱捕技术则是通过设置陷阱，捕获并分析攻击者的手法和工 具，以便更好地防御。 3.蜜罐与诱捕技术结合使用，可以有效提升网络安全的防护能 力。
▪ 蜜罐与诱捕技术的应用场景
1.蜜罐与诱捕技术适用于各种网络环境，包括企业内网、云计 算环境等。 2.可以用于侦测各种攻击行为，如恶意软件、僵尸网络等。 3.通过分析攻击者的行为，可以为防御措施提供有针对性的改 进。
▪ 诱捕技术的合规与道德考虑
1.在实施诱捕技术时，需要遵守相关法律法规和道德规范，确保合法合规。 2.诱捕技术的使用需要在确保网络安全和保护个人隐私之间进行平衡。 3.需要在诱捕技术的实施过程中，充分考虑道德和伦理因素，避免滥用和不当使用。
蜜罐与诱捕技术
蜜罐与诱捕的部署策略
蜜罐与诱捕的部署策略
▪ 分布式部署
蜜罐与诱捕技术
诱捕技术的原理与应用
诱捕技术的原理与应用
▪ 诱捕技术的原理
1.诱捕技术是一种通过模拟真实系统或资源，引诱攻击者进行攻击，从而对其进行 监测、分析和防御的技术。 2.诱捕技术利用欺骗和伪装手段，创建虚假的网络资产或信息，使攻击者误入歧途 ，暴露其攻击行为和工具。 3.诱捕技术的核心是构建一个具有高度仿真性和吸引力的诱饵环境，以引起攻击者 的注意并诱导其进行攻击。
蜜罐与诱捕的部署策略
▪ 动态调整策略
1.蜜罐和诱捕技术的部署策略应随着网络环境和威胁情况的变化进行动态调整。 2.通过实时监控网络流量和行为，及时发现新的威胁，调整蜜罐设置以应对。 3.动态调整策略要求具备高效的威胁情报获取和分析能力，以及快速的响应机制。
▪ 模拟真实环境
蜜罐主机和蜜罐网络
网络攻防原理与实践
蜜罐的优点
❖ 简捷性
无需开发奇异的算法，无需维护签名数据库，不会出 现错误配置的规则库。只要把蜜罐拿过来，放到组织 中的某个地方，然后就可以静观其变了。
❖ 投资回报
蜜罐迅速且不断地展现着其自身的价值所在，它不仅 可以用来证实其自身的价值，而且还包括对其他安全 资源所做的投资。
威慑型蜜罐 对攻击者产生心理上的威吓及迷惑作用的蜜罐系 统，其主要职责就是告诉攻击者自己是个蜜罐系 统，这样可以形成一定的阻吓作用，减弱攻击者 的攻击意图。
高等教育出版社
网络攻防原理与实践
蜜罐的分类
检测型蜜罐 通过提高蜜罐系统的检测能力，用户不只可以通过 蜜罐系统的活动情况判断攻击行为的发生，还可以 更加广泛和细致的监测攻击活动。
高等教育出版社
网络攻防原理与实践
蜜罐的缺点
❖ 视野有限
蜜罐只能看到何种活动是直接针对它们自身的，而漏 掉周围的事件。
❖ 指纹识别
指纹识别指的是由于蜜罐具备一些特定的预期特征或 者行为，因而能够被攻击者识别出其真实身份的情况。
❖ 风险
一旦一个蜜罐遭受了攻击，就可以被用于攻击、渗透， 甚至危害其他的系统或者组织。
高等教育出版社
网络攻防原理与实践
蜜罐的伪装
❖ 采用真实系统作蜜罐，能提供黑客与系统的交互能力， 伪装程度明显提高。
❖ 还要对这些真实系统进行配置，最为逼真的配置办法是 把一个修改过敏感信息的工作系统的内容直接拷贝到蜜 罐上。
❖ 目前蜜罐的主要网络欺骗技术有：
模拟端口 模拟系统漏洞和应用服务 IP空间欺骗 流量仿真 网络动态配置 组织信息欺骗 网络服务 蜜罐主机
防火墙 可以配置防火墙记录所有的出入数据，供以后仔 细地检查。
蜜罐技术讲解
蜜罐技术背景描述针对目前网络严重的安全威胁，网络安全人员和管理员却仍然对黑客社团所知甚少。
当网络被攻陷破坏后，甚至还不知道幕后黑手是谁。
对他们使用了哪些工具、以何种方式达成攻击目标，以及为什么进行攻击更是一无所知。
“知己知彼，百战不殆”，安全防护工作者，无论是安全研究人员、安全产品研发人员、安全管理人员和安全响应服务人员，都需要首先对黑客社团有深入的了解，包括他们所掌握的攻击技术、技巧和战术、甚至心理和习惯等。
只有在充分了解对手的前提下，安全技术人员和网络管理员才能更有效地维护互联网安全。
而蜜罐和蜜网技术为捕获黑客的攻击行为，并深入分析黑客提供了基础。
工作原理1.蜜罐蜜罐(Honeypot)是一种在互联网上运行的计算机系统，它是专门为吸引并“诱骗”那些试图非法闯入他人计算机系统的人而设计的。
蜜罐系统是一个包含漏洞的诱骗系统，它通过模拟一个或多个易受攻击的主机，给攻击者提供一个容易攻击的目标。
蜜罐的另一个用途是拖延攻击者对真正目标的攻击，让攻击者在蜜罐上浪费时间。
此外，蜜罐也可以为追踪攻击者提供有力的线索，为起诉攻击者搜集有力的证据。
简单地说，蜜罐就是诱捕攻击者的一个陷阱。
一些专门用于欺骗黑客的开源工具，如Fred Cohen 所开发的DTK(欺骗工具包)、Niels Provos 开发的Honeyd 等，同时也出现了像KFSensor、Specter 等一些商业蜜罐产品。
这一阶段的蜜罐可以称为是虚拟蜜罐，即开发的这些蜜罐工具能够模拟成虚拟的操作系统和网络服务，并对黑客的攻击行为做出回应，从而欺骗黑客。
虚拟蜜罐工具的出现也使得部署蜜罐也变得比较方便。
但是由于虚拟蜜罐工具存在着交互程度低，较容易被黑客识别等问题，从2000年之后，安全研究人员更倾向于使用真实的主机、操作系统和应用程序搭建蜜罐，但与之前不同的是，融入了更强大的数据捕获、数据分析和数据控制的工具，并且将蜜罐纳入到一个完整的蜜网体系中，使得研究人员能够更方便地追踪侵入到蜜网中的黑客并对他们的攻击行为进行分析。
蜜罐技术
logs
用于记录蜜罐的连接信息
nmap.prints
nmap指纹识别库
nmap.assoc
联合指纹文件
17
四.实验步骤
pf.os
被动操作系统指纹识别库
scripts
用于模拟蜜罐服务的脚本
start-arpd.sh
开始监听流量
start-honeyd.sh
开始honeyd进程
xprobe2.conf
Edition" set default default tcp action reset set default default udp action reset set default default icmp action open add default tcp port 80 "/honeyd_kit-1.0c-
5
2.2 蜜罐技术的优点(1)
Honeypot是一个相对新的安全技术，其价值就在被检 测、攻击，以致攻击者的行为能够被发现、分析和研究。 它的概念很简单：Honeypot没有任何产品性目的，没有授 权任何人对它访问，所以任何对Honeypot的访问都有可能 是检测、扫描甚至是攻击。
Honeypot的检测价值在于它的工作方式。正如前文所 提到的，由于Honeypot没有任何产品性功能，没有任何授 权的合法访问，所以在任何时间来自任何地方对Honeypot 的任何访问都有可能是非法的可疑行为。Honeypot 的工作 方式同NIDS 等其他的传统检测技术正好相反，NIDS不能解 决的问题，Honeypot却能轻易解决。
a/scripts/telnet/faketelnet.pl" add default tcp port 110 "/honeyd_kit-1.0c-
蜜罐技术详解与案例分析
1.引言随着人类社会生活对Internet需求的日益增长，网络安全逐渐成为Internet及各项网络服务和应用进一步发展的关键问题，特别是1993年以后Internet开始商用化，通过Internet进行的各种电子商务业务日益增多，加之Internet/Intranet技术日趋成熟，很多组织和企业都建立了自己的内部网络并将之与Internet联通。
上述上电子商务应用和企业网络中的商业秘密均成为攻击者的目标。
据美国商业杂志《信息周刊》公布的一项调查报告称，黑客攻击和病毒等安全问题在2000年造成了上万亿美元的经济损失，在全球范围内每数秒钟就发生一起网络攻击事件。
2003年夏天，对于运行着Microsoft Windows的成千上万台主机来说简直就是场噩梦！也给广大网民留下了悲伤的回忆，这一些都归结于冲击波蠕虫的全世界范围的传播。
2.蜜罐技术的发展背景网络与信息安全技术的核心问题是对计算机系统和网络进行有效的防护。
网络安全防护涉及面很广，从技术层面上讲主要包括防火墙技术、入侵检测技术,病毒防护技术,数据加密和认证技术等。
在这些安全技术中，大多数技术都是在攻击者对网络进行攻击时对系统进行被动的防护。
而蜜罐技术可以采取主动的方式。
顾名思义，就是用特有的特征吸引攻击者，同时对攻击者的各种攻击行为进行分析并找到有效的对付办法。
（在这里，可能要声明一下，刚才也说了，“用特有的特征去吸引攻击者”，也许有人会认为你去吸引攻击者，这是不是一种自找麻烦呢，但是，我想，如果攻击者不对你进行攻击的话，你又怎么能吸引他呢？换一种说话，也许就叫诱敌深入了）。
3. 蜜罐的概念在这里，我们首先就提出蜜罐的概念。
美国 L．Spizner是一个著名的蜜罐技术专家。
他曾对蜜罐做了这样的一个定义：蜜罐是一种资源，它的价值是被攻击或攻陷。
这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东西，这样就为使用者提供了额外的、有价值的信息。
蜜罐和蜜网专利技术
link邓 成 王务鹏（等同第一作者）国家知识产权局专利局专利审查协作四川中心邓成，男，硕士研究生，从事发明专利审查工作；王务鹏，男，硕士研究生，从事发明专利审查工作。
本文针对蜜罐和蜜网专利进行了分析并梳理了其技术分支和重点申请人、国内外申请量情况，提出中国相关领域的技术发展不落后于国外，但是仍然需要持续努力发展以取得进一步优势的观点。
在蜜罐和蜜网专利技术领中国科技信息2020年第17期·CHINA SCIENCE AND TECHNOLOGY INFORMATION Sep.2020◎专利分析始出现大的增加，基本占到全球申请量的一半，这一现象也与蜜罐技术在中国的发展历史相契合，北京大学在2004年组建了“狩猎女神项目组”着手研究蜜罐技术，并在2005年正式加入了蜜网项目组织开始承担网络安全研究。
专利技术分布分析如图2所示，蜜罐和蜜网的专利技术主要集中在中国和美国，二者的申请总量占据了全球申请量的80%以上，其次是韩国、欧洲和日本等。
在上述图中也反映出，在当前，中国和美国在蜜罐和蜜网技术领域各自申请量所占的比例基本相同。
历年申请量分析 由于2018和2019之后的部分专利申请尚未公开，这之后的发展趋势并未完全体现在图3中。
如图3所示，在2006年之前，在蜜罐和蜜网技术领域，美国的专利申请量遥遥领先于全球其他国家和地区，而自2006年开始，中国的专利申请量开始出现大的增长，并且呈现出逐渐追、持平并超越美国申请量的趋势，而这也反映出中国在蜜罐和蜜网技术领域虽然起步略晚于美国，但经过多年的技术努力和快速发展，当前总体技术发展上与美国持平。
全球主要申请人分析如图4所示，居于全球申请量首位的是IBM 公司，IBM 公司作为全球著名的老牌IT 技术公司，自然十分重视网络安全。
紧随IBM 位居申请量第二的是中国的技术公司哈尔滨安天科技股份有限公司，这说明国内已有网络安全相关技术企业对蜜罐和蜜网技术领域做了研究，但从整体分布情况看，全球前十的申请人中仅有三家属于中国，由此也说明中国的其他网络安全相关企业或组织在蜜罐和蜜网技术领域仍然有较大的提升空间。
蜜罐技术的研究和分析
１蜜罐 的 定 义 和 分 类
低交互蜜罐
只是运 行于现有系统 上的一个仿真服务 ，在特 定的端
口监听记录所有进入 的数据包 ， 提供少量 的交互 功能， 黑客
只能在仿真服务预设 的范围内动作。低交互蜜罐上 没有真
罐的风险性。
关键词 蜜罐
蜜网 虚拟蜜网
文 献 标识 码
入侵检测 系统
Ａ
防火墙
中 图分 类 号 ｒ ３ ３０ Ｐ ９ ．８
文章 编 号 ：０ ２ ２ ２ ２ ｏ ０ － ０ ９ ｏ １ ０ — ４ ２（ Ｏ ６） ３ ｏ １ － ３
Ｒ ｓａ ｃ ｎ ｎ ｌｓ ｆＨｏ ｅ ｐ ｔＴ ｃ ｎ ｌｇ ｅｅ ｒ ｈ ａ ｄ Ａ ａｙ ｉ ｏ ｎ ｙ ｏ ｅ ｈ ｏｏ ｙ ｓ
为起诉 黑客 的依 据一 但这种应用在法律方 面仍 然具有争议 。
・
研 究型蜜罐
主要应 用于研究 ， 引攻 击 ， 吸 搜集 信息 ，
・
蜜罐 本身并不直 接增强 网络 的安全性 ，相 反它吸引入
侵 来搜集信息 。将 蜜罐和现有 的安全防卫手段 如入侵检测 系统 （Ｄ ）、 Ｉｓ 防火墙 （ ｉ ｗ Ｕ 杀毒软件等 结合使用 ， 以 Ｆｒ ａ ）、 ｅ 可 有效提 高系统安全性 。
１２蜜罐 的分类 ．
高交互蜜罐
给黑客提供一个 真实的操作系统 ，可以掌握学 习黑客
・
产 晶型 蜜罐
指 由网络安全厂商 开发的商用蜜罐 ， 一
３从具体实现 的角 台或多 台拥有独 立 Ｉ 真实操 Ｐ和
作系统 的物 理机器 ， 提供部分 或完全真 实的网络服 务， 这种 蜜罐 叫物理 蜜罐 。 中低交互的蜜罐可以是虚拟的机器、 虚拟
主动防御技术之蜜罐总结
主动防御技术之蜜罐总结传统防御技术在在攻防演练中仍然有精彩的表现，同时也能感受到主动防御技术发挥的巨大作用，最典型的莫过于蜜罐了，红方人员误入蜜罐，被蓝方人员捕捉到并进行身份画像，从而实现追踪溯源。
下面我们来聊聊蜜罐技术。
一、从被动防御到主动防御一直以来，被动防御是通过面向已知特征的威胁，基于特征库精确匹配来发现可疑行为，将目标程序与特征库进行逐一比对，实现对异常行为进行监控和阻断，这些特征库是建立在已经发生的基础之上，这就很好的解释了为什么被动防御是一种“事后”的行为。
典型的技术有防火墙、入侵检测等。
但是对于未知的攻击如0day，依赖于特征库匹配的防御是无法有效应对的，为了应对这种攻防不对等的格局，主动防御技术出现了，典型的技术有网络空间拟态防御等。
二、引入主动防御策略随着攻击技术的进一步提高，越来越多的方法可以绕过传统的被动防御技术来对目标系统发动攻击，传统的被动防御技术也引进了主动防御策略，除此之外，也有新型的主动防御技术如沙箱、蜜罐等相继出现，进一步弥补了攻防不对称的局面。
这类技术主要解决“已知的未知威胁”，例如，蜜罐通过构建伪装的业务主动引诱攻击者，从而捕获行为。
在攻防演练期间，就存在将蜜罐伪装成某服的VPN映射在外网引诱攻击者攻击，从而迷惑攻击者，通过捕获IP进行封堵来提高攻击者的时间成本，也可对攻击者进行溯源，但是蜜罐技术还是无法应对0day。
三、沙箱技术沙箱技术源于软件错误隔离技术（software-based fault isolation,SFI）。
SFI 主要思想是隔离。
沙箱通过采用虚拟化等技术构造一个隔离的运行环境，并且为其中运行的程序提供基本的计算资源抽象，通过对目标程序进行检测分析，准确发现程序中的恶意代码等，进而达到保护宿主机的目的。
如默安的架构采用kvm，长亭采用的是docker。
由于沙箱具有隔离性，恶意程序不会影响到沙箱隔离外的系统，而且沙箱还具有检测分析的功能，来分析程序是否为恶意程序。
蜜网技术
浅议蜜网技术摘要：蜜罐技术改变了传统网络安全防御技术一律将入侵者“拒之门外”的被动做法，而是提出全新的“请君入瓮”主动防御概念。
虽然蜜罐技术目前仍存在很多争议，但它无疑是学习敌方情报最好的工具。
本文主要从蜜网的功能、蜜网系统的总体设计、蜜网系统的测试三方面对蜜网技术进行了浅议。
关键词：蜜网；蜜罐；功能；测试；总体设计蜜罐技术思想本质就是使用“蜜”来诱骗入侵者入侵，通过精心布置的“罐”来监控入侵者的入侵行为，尽可能多地捕获并学习入侵者相关信息，从而间接或直接地保护系统安全。
它改变了传统网络安全防御技术一律将入侵者“拒之门外”的被动做法，而是提出全新的“请君入瓮”主动防御概念。
虽然蜜罐技术目前仍存在很多争议，但它无疑是学习敌方情报最好的工具。
一、简述蜜网的功能1.欺骗功能。
在蜜网内设置多个有不同操作系统的蜜罐主机，如windows系统和linux系统，在不同的蜜罐主机上开放不同的网络服务，以此来模拟真实的系统和真实的服务。
在这个系统中，其欺骗功能程度主要依赖于各蜜罐主机仿真的逼真程度。
由此可见，该蜜网系统实质是一个实施欺骗的蜜罐主机的集合。
2.数据控制功能。
构建蜜网时，通常在防火墙与各蜜罐群集之间，还会设置一个路由器。
放置路由器的原因有二：首先，路由器的存在使防火墙具有“不可见”性，入侵者攻入蜜罐后可能会察看蜜罐外发的路由，放置路由器更接近真实的网络环境，入侵者一般不能注意到防火墙的存在；其次，路由器可以作为对防火墙访问控制的很好补充，我们可以设置一些路由规则进行路由控制，确保各蜜罐不会被用来攻击蜜网之外的机器。
3.数据捕获功能。
蜜网系统的一个非常重要的功能就是数据捕获，而这些捕获数据一直是入侵者们想删除或者篡改的。
在蜜网系统中，对数据捕获的方式是对防火墙日志、ids日志及各蜜罐系统日志的收集、分析及保护。
为防止入侵者攻破蜜网之后修改各蜜罐主机的日志，蜜罐主机通常会利用操作系统自身提供的日志功能，这充分体现了基于网络的信息收集策略，为蜜网提供了安全强大的数据捕获功能。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
蜜罐技术弱势
劳力/技术密集型 局限的视图 不能直接防护信息系统 带来的安全风险
17
北京大学计算机科学技术研究所
安全风险
发现蜜罐
黑客知道要避免进入哪些系统 向蜜罐反馈虚假、伪造的信息 消除蜜罐的指纹 蜜罐-反蜜罐技术：博弈问题! 期望黑客获得蜜罐的root权限 黑客会将其用作危害第三方的跳板 引入多层次的数据控制机制 人为分析和干预
团队协作
5
北京大学计算机科学技术研究所
网络攻防的不对称博弈
工作量不对称
攻击方：夜深人静, 攻其弱点 防守方：24*7*365, 全面防护 攻击方：通过网络扫描、探测、踩点对攻击目标 全面了解 防守方：对攻击方一无所知 攻击方：任务失败，极少受到损失 防守方：安全策略被破坏，利益受损
6
信息不对称
提供真实的操作系统和服务，而不是模 拟 可以捕获更丰富的信息 部署复杂，高安全风险 实例：ManTrap, Gen II蜜网
15
北京大学计算机科学技术研究所
蜜罐技术优势
高保真－高质量的小数据集
很小的误报率 很小的漏报率
捕获新的攻击及战术 并不是资源密集型 简单
16
北京大学计算机科学技术研究所
18
利用蜜罐攻击第三方
北京大学计算机科学技术研究所
蜜罐工具实例
DTK
Deception Toolkit (1997) by Fred Cohen Fred Cohen, A Framework for Deception.
Honeyd
A virtual honeypot framework Honeyd 1.0 (Jan 22, 2005) by Niels Provos, Google Inc.
19
北京大学计算机科学技术研究所
DTK
用户：普通互联网用户 目标
在几分钟内部署一系列的陷阱 显著提高攻击代价，同时降低防御代价 欺骗自动攻击程序，使其无效
20
北京大学计算机科学技术研究所
从物理蜜罐到DTK
21
北京大学计算机科学技术研究所
从物理蜜罐到DTK
22
北京大学计算机科学技术研究所
DTK如何工作？
# 0 0
0
…
模拟有漏洞的网络服务 基于状态机变迁脚本 State Input NexStat Exit ln/file output/filename START 0 1 1 220 ESMTP Sendmail 8.1.2/8.1.3; ERROR 0 1 1 500 Command unrecognized - please say "Helo" help 0 1 1 214-No help available
需要大量时间和精力投入！！ 实例：Gen II蜜网, Honeyd
13
北京大学计算机科学技术研究所
低交互型蜜罐
模拟服务和操作系统 只能捕获少量信息 容易部署，减少风险 实例：Specter, KFSensor, and Honeyd.
14
北京大学计算机科学技术研究所
高交互型蜜罐
蜜罐技术
什么是蜜罐？ 蜜罐的发展历史 Fred Cohen – DTK Honeyd
北京大学计算机科学技术研究所
蜜罐的概念
Honeypot: 首次出现在Cliff Stoll的 小说“The Cuckoo’s Egg”(1990) 蜜网项目组给出如下定义：
“A security resource who’s value lies
11
北京大学计算机科学技术研究所
产品型蜜罐
部署目标: 保护单位网络
防御 检测 帮助对攻击的响应
需要网管尽可能少的工作 商业产品
KFSensor, Specter, ManTrap
12
北京大学计算机科学技术研究所
研究型蜜罐
部署目标：对黑客攻击进行捕获和分析
这些“坏家伙”在干什么 了解攻击方法 捕获他们的键击记录 捕获他们的攻击工具 监控他们的会话
北京大学计算机科学技术研究所 北京大学计算机科学技术研究所
蜜罐与蜜网技术介绍
诸葛建伟 狩猎女神项目/The Artemis Project 2005-4-27 presented at CCERT
北京大学计算机科学技术研究所
内容
蜜罐技术的提出 蜜罐技术
蜜罐概念 实例工具：DTK, honeyd 蜜网概念、蜜网项目组 实例工具：Gen II 蜜网
in being probed, attacked or compromised”
没有业务上的用途，因此所有流入/流出 蜜罐的流量都预示着扫描、攻击及攻陷 用以监视、检测和分析攻击
9
北京大学计算机科学技术研究所
蜜罐技术的发展历史
被攻陷的真实主机 (1990 ~)
<< The Cuckoo’s Egg >> An Evening with Berferd 模拟网络服务，虚拟系统 Fred Cohen: DTK
蜜网技术
神项目
2
北京大学计算机科学技术研究所
蜜罐技术的提出
要解决什么问题？
北京大学计算机科学技术研究所
互联网安全状况
安全基础薄弱
操作系统/软件存在大量漏洞 安全意识弱、安全加强 rarely done
任何主机都是攻击目标！
DDoS、跳板攻击需要大量傀儡主机 蠕虫、病毒的泛滥 并不再仅仅为了炫耀
4
北京大学计算机科学技术研究所
互联网安全状况 (2)
攻击者不需要太多技术
攻击工具的不断完善
更多的目标：Linux、Windows 更容易使用，工具整合
– Metasploit: 30+ Exploits
更强力 0-day exploits: packetstorm
攻击脚本和工具可以很容易得到和使用
后果不对称
北京大学计算机科学技术研究所
蜜罐技术的提出
扭转工作量不对称
增加攻击代价－假目标
扭转信息不对称－了解你的敌人！
他们是谁？ 他们使用什么工具？如何操作？ 为什么攻击你？
防守方不受影响损失 计算机取证－对攻击方的威慑
7
扭转后果不对称
北京大学计算机科学技术研究所
虚拟蜜罐工具 (1997 ~)
被监控的真实系统 (2000 ~)
更多的数据捕获、分析、控制工具 在一个蜜网的框架中 蜜网项目组: Gen II蜜网
10
北京大学计算机科学技术研究所
蜜罐的分类
部署目标
产品型 研究型
交互性：攻击者在蜜罐中活动的交互性 级别
低交互型 高交互型