honeyd蜜罐部署与应用

1.0李伊龙刘尚东第一章Honeypot简介1.1Honeypot的起源蜜罐这个概念已经出现了至少20年之久了。

蜜罐(honeypot)，首次出现在Cliff Stoll的小说«The Cuckoo’s Egg»[1]中，这部小说主要讲述的是作者自己身为公司的网络管理员，如何追踪并发现一起商业间谍案的故事。

在作者追踪的过程中，为了吸引黑客在线足够长的时间以便安全人员能够跟踪到他，Stoll 搭建了一个名叫“elaborate hoax”的东西，在其中放上黑客所感兴趣的一些东西，这个“elaborate hoax”，就是现在我们通常所说的蜜罐，蜜罐。

但是毋庸置疑在那之前已经有大量组织对其进行了很好的开发和使用，也进行了大量的研究和部署，只不过在1990年之前很少为公众所知而已。

1.2Honeypot的发展历程蜜罐技术的发展历程分为以下三个阶段。

从九十年代初蜜罐概念的提出直到1998年左右，“蜜罐”还仅仅限于一种思想，通常由网络管理人员应用，通过欺骗黑客达到追踪的目的。

这一阶段的蜜罐实质上是一些真正被黑客所攻击的主机和系统。

1990/1991——第一本阐述蜜罐概念的公开发表的著作——Clifford Stoll的The Cuckoo’s Egg及Bill Cheswick的an evening with Berferd.从1998年开始，蜜罐技术开始吸引了一些安全研究人员的注意，并开发出一些专门用于欺骗黑客的开源工具，如Fred Cohen所开发的DTK（欺骗工具包）、Niels Provos开发的Honeyd等，同时也出现了像KFSensor、Specter等一些商业蜜罐产品。

这一阶段的蜜罐可以称为是虚拟蜜罐，即开发的这些蜜罐工具能够模拟成虚拟的操作系统和网络服务，并对黑客的攻击行为做出回应，从而欺骗黑客。

1997——Fred Cohen的Deception Toolkit0.1版本发行，这是可为安全界所用的首批蜜罐解决方案之一。

1998——开始研发公开出售的首批商用蜜罐之一，CyberCop Sting。

其中引入了将多个虚拟系统与单个蜜罐相绑定的概念。

1998——Marty Roech及GRE Internetworking开始开发后来演化成NetFacade的蜜罐解决方案。

这项工作同时也开启了Snort的概念。

1998——BackOfficer Friendly发布——一种免费的、只用于windows的蜜罐，并将包括Lance Spitzner在内的许多人引入到了蜜罐的概念中。

1999——Honeypot Project形成，“Know Your Enemy”系列论文发布。

这项工作使人们加深了对蜜罐的认识并验证了蜜罐及其相关技术的价值。

2000、/2001——使用蜜罐来捕获和研究蠕虫活动。

更多的组织采用蜜罐来检测攻击和研究新威胁。

2002——一个蜜罐当场检测并捕获到一种新型的未知攻击，即Solarisdtspcd exploit。

2003-02-15——Niels Provos发布了Honeyd0.5版。

虚拟蜜罐工具的出现也使得部署蜜罐也变得比较方便。

但是由于虚拟蜜罐工具存在着交互程度低，较容易被黑客识别等问题，从2000年之后，安全研究人员更倾向于使用真实的主机、操作系统和应用程序搭建蜜罐，但与之前不同的是，融入了更强大的数据捕获、数据分析和数据控制的工具，并且将蜜罐纳入到一个完整的蜜网体系中，使得研究人员能够更方便地追踪侵入到蜜网中的黑客并对他们的攻击行为进行分析。

1.3Honeypot的定义“蜜网项目组”（The Honeynet Project）的创始人Lance Spitzner给出了对蜜罐的权威定义：蜜罐是一种安全资源，其价值在于被扫描、攻击和攻陷。

这就意味着无论我们将何物指定为蜜罐，我们的期望和目标就是让系统被别人探测，攻击和被攻破的可能性。

而这种资源是路由，或者是模拟脚本，或者是主机，之类的，究竟的什么倒没什么关系。

如果该系统从未被扫描或者被攻击过，那么它就是没有任何价值的。

这正是大部分产品系统的对立面，一般大家都不会希望它们被扫描和被攻击。

蜜罐和大部分安全工具的不同也在于，它可以非常的灵活，可以使用它实现很多不同的目标，譬如，蜜罐可以用于阻止攻击，类似于防火墙；蜜罐还可以用于检测攻击，类似于入侵检测系统；无论是伪装一个端口，还是模拟一个网络拓扑，蜜罐都可以胜任。

蜜罐是一种毫无产品价值可言的安全资源，没有任何人或者资源应该和它们进行通信。

因此，从本质上说任何发送给它们的活动都会受到怀疑。

任何发送给它们的流量都很有可能是一次探测、扫描或者攻击。

由蜜罐所启动的任何流量都意味着系统很有可能被攻破了，并且攻击者正在进行出境连接。

1.4Honeypot的优势和劣势蜜罐本身也具有一定优势和劣势。

优势：①数据价值，收集数据的保真度，由于蜜罐不提供任何实际的作用，因此其收集到的数据很少，同时收集到的数据很大可能就是由于黑客攻击造成的，蜜罐不依赖于任何复杂的检测技术等，因此减少了漏报率和误报率。

②资源，蜜罐技术不需要强大的资源支持，可以使用一些低成本的设备构建蜜罐，不需要大量的资金投入。

大多数安全机制都会面临资源限制和资源枯竭，譬如防火墙和IDS，会因为流量过大，超负荷而失效。

由于蜜罐只会对少量活动进行捕获和监视，所以通常不会资源枯竭。

部署蜜罐也不需要最新的尖端技术或者大量的内存，超高的带宽，并不需要对硬件进行大量投入。

③相对入侵检测等其他技术，蜜罐技术比较简单，使得网络管理人员能够比较容易地掌握黑客攻击的一些知识。

劣势①视野有限，蜜罐只能看到何种活动是直接针对他们自身的，如果某个攻击者并不攻击蜜罐，或者说识别出蜜罐的存在而刻意避开该系统，蜜罐将永远无法得知他已经溜进来了。

甚至他会向蜜罐提供错误和虚假的数据，从而误导安全防护和研究人员。

②指纹识别，蜜罐具备一些特定的预期特征或者行为，因而能够被攻击者识别出其真实身份。

如果一个黑客识别出一个蜜罐，他可以利用它，对它欺骗，导致安全人员做出错误判断，以此趁乱作出攻击。

③风险，蜜罐会带来下游风险，可能作为跳板，攻击第三方。

蜜罐技术的初衷即是让黑客攻破蜜罐并获得蜜罐的控制权限，并跟踪其攻破蜜罐、在蜜罐潜伏等攻击行为，但我们必须防止黑客利用蜜罐作为跳板对第三方网络发起攻击。

为了确保黑客活动不对外构成威胁，必须引入多个层次的数据控制措施，必要的时候需要研究人员的人工干预。

1.5Honeypot的部署类型蜜罐可以按照其部署目的分为产品型蜜罐和研究型蜜罐两类。

产品型蜜罐的目的在于为一个组织的网络提供安全保护，包括检测攻击、防止攻击造成破坏及帮助管理员对攻击做出及时正确的响应等功能。

一般产品型蜜罐较容易部署，而且不需要管理员投入大量的工作。

较具代表性的产品型蜜罐包括DTK、honeyd等开源工具和KFSensor、ManTraq等一系列的商业产品。

产品型蜜罐通过阻止，检测和响应3个部分来为系统和网络提供安全保障。

阻止，分为欺骗和威慑，前者是为了让攻击者在蜜罐上浪费时间和资源，后者则是告诫攻击者，有蜜罐存在，攻击者可能被吓跑。

蜜罐在检测中叶不会出现误报，漏报等现象。

研究型蜜罐则是专门用于对黑客攻击的捕获和分析，通过部署研究型蜜罐，对黑客攻击进行追踪和分析，能够捕获黑客的键击记录，了解到黑客所使用的攻击工具及攻击方法，甚至能够监听到黑客之间的交谈，从而掌握他们的心理状态等信息。

也可以同时用于以下几个方面，捕获自动攻击，如蠕虫等；作为早期预警；捕获未知的工具和技术；更好地理解攻击者的动机和组织。

研究型蜜罐需要研究人员投入大量的时间和精力进行攻击监视和分析工作，具有代表性的工具是“蜜网项目组”所推出的第二代蜜网技术。

1.6Honeypot的交互等级蜜罐还可以按照其交互度的等级划分为低交互蜜罐和高交互蜜罐。

交互度反应了黑客在蜜罐上进行攻击活动的自由度。

低交互蜜罐一般仅仅模拟操作系统和网络服务，较容易部署且风险较小，但黑客在低交互蜜罐中能够进行的攻击活动较为有限，因此通过低交互蜜罐能够收集的信息也比较有限，同时由于低交互蜜罐通常是模拟的虚拟蜜罐，或多或少存在着一些容易被黑客所识别的指纹（Fingerprinting）信息。

低交互蜜罐主要是用于协助保护特定组织的产品型蜜罐。

高交互蜜罐则完全提供真实的操作系统和网络服务，没有任何的模拟，从黑客角度上看，高交互蜜罐完全是其垂涎已久的“活靶子”，因此在高交互蜜罐中，我们能够获得许多黑客攻击的信息。

高交互蜜罐在提升黑客活动自由度的同时，自然地加大了部署和维护的复杂度及风险的扩大。

研究型蜜罐一般都属于高交互蜜罐，也有部分蜜罐产品，如ManTrap，属于高交互蜜罐。

究竟是使用高交互的蜜罐还是使用低交互度的蜜罐，要取决于所要实现的目的。

交互级别安装和配置工作部署和维护工作所收集的信息风险级别低简单简单有限低中棘手棘手可变中高复杂复杂大量高1.7Honeypot的价值蜜罐并不修正任何问题，它们仅提供额外的、有价值的信息。

所以说蜜罐并非是一种安全的解决方案，这是因为它并不会“修理”任何错误，它只是一种工具，如何使用这个工具取决于用户想做什么，它可以对其他系统和应用进行仿真，创建一个监禁环境将攻击者困在其中。

无论用户如何建立和使用蜜罐，只有蜜罐受到攻击，它的作用才能发挥出来。

蜜罐主要是一种研究工具，但同样有着真正的商业应用，它常常被用来跟踪僵尸网络或是收集恶意代码等。

在当前商业社会，蜜罐系统的主要作用主要体现为“家庭医生”的角色。

大多数企业在防范黑客攻击、蠕虫等网络风险时主要依靠网络安全厂商所提供的安全预警通报、入侵检测特征库升级来对近期常见的风险进行预警，而针对特定的攻击行为或变种的病毒则无能为力。

从这个观点中，我们可以看出网络安全厂商可比作“国家卫生厅”，可以发布常见的风险，但对于针对某个个体本身可能存在什么风险则无从而知了。

为保证企业的资源得到更有效的保护，必须引入专门针对个体的“家庭医生”-蜜罐系统，透过其内部固有的特征检测、沙箱检测模块确认个体本身已经存在的风险，并分析得出“药房”-风险分析结果。

最后由企业网络管理员根据分析结果并依靠安全产品作为支撑手段实现动态的安全预警。

对于通常的网站或邮件服务器，攻击流量通常会被合法流量所淹没，而蜜罐进出的数据大部分是攻击流量，因而，浏览数据、查明攻击者的实际行为也就容易多了。

信息安全已经成为网络管理员所面对的最严重问题，管理员必须花费大量的时间来确保网络已经部署了防火墙并为操作系统安装了最新的补丁，同时使用入侵检测系统去记录所有的可疑活动。

不幸的是，当前的防火墙和入侵检测系统已经不再有效，因为随着网络的不安全因素的增多，防火墙和入侵检测系统的日志内容也日益庞大，甚至有些系统每天的日志量就达1GB，企业再也没有过多的人力用来每天处理如此大量的日志内容。