Sine安全-网络安全背后的巨人,提供服务器安全_服务器维护_网站安全解决方案

蜜罐如何对网络攻击进行防御?



     在网络攻防中,蜜罐是一种检测威胁的重要产品。防卫人经常使用蜜罐来分析攻击行为,捕

捉漏洞,甚至对抗攻击者。利用蜜罐识别技术,攻击方可以发现并规避蜜罐。所以有必要站在

红色攻击者的立场,深入研究蜜罐识别的方法和手段。

 
 
蜜罐简介
 
 
作为一种安全威胁检测技术,蜜罐的本质就是对攻击者进行诱骗和欺骗,它通过记录攻击者的

攻击日志而产生价值。通过分析被攻击的蜜罐记录,安全研究者可以推测攻击者的用意和手段

等信息。按其交互性特点,可分为低交互性和高交互性两种类型。后一种方式提供了一种真正

易受攻击的系统,其目的是使攻击者觉得自己在攻击一个真正的系统,在某些真正的甲方蜜罐

建设中也提出了用真正的服务组件来构建蜜罐系统的想法。低交互式蜜罐则没有那么复杂,它

提供了一种不完美的交互系统,有的甚至只是模拟一个响应。因特网上交互式蜜罐大多是开源

的。因为它独特的开放性,使得人们能够识别和规避它的特征。

 
 
这一分析过程中,探测的目标是使用默认配置的开放源码蜜罐。这篇文章分析了21种开放源码

和Fuzztesting特色蜜罐。这篇文章的目的在于从攻击者的角度来寻找开源蜜罐的特点,同时完

成了多个开源蜜罐的全网分发。这个蜜罐的分析结果见表2-1。有些开放源码的蜜罐在模拟各

种协议时,响应中会有一些明显的特征,可以根据这些特征进行蜜罐检测。
 
 
举个事例,Dureaecs4a的Memiached协议在实现Memiached协议时,会动态随机许多参数,

但其中一些参数如:versure、libevent和rusblue_system等是固定不动的。模拟实现部分协议

在部分开放源码的蜜罐中并不完美,我们可以通过发送某些特定请求包所得到的响应来判断是

否是蜜罐。

 
 
SSH协议(SeTasteShella)是一种用以网络传输的加密方式,具体用以远程登录。当SSH服务端

与客户端建立连接时,需要执行以下五步:咨询版本号阶段,磋商具体算法阶段,鉴定阶段,

对话要求阶段,交互式会话阶段。在模拟该协议时,SSH蜜罐也要执行这五个步骤。Kippo是

一个经典的SSH蜜罐,已经停止了更新,使用twisted模拟SSH协议。最新版的kippo使用了非

常悠久的twistd15.1.0。这个版本有一个显著的特点。交互阶段要求客户机的SSH版本是类似

于SSH-主-次版本的软件版本号,如果版本号是一个不受支持的版本,例如SSH-1.9-OpenSS

H_5.9p1,则将报错'badversure1.9',并断开连接。从Kippo的配置来看,只有SSH-2.0-X和S

SH-1.99-X两个主版本是受支持的,而其他主版本则会出现报错。
分享: