基于管理制度缺失的“管理蜜罐”新思维“管理蜜罐”创新探索

西安电子科技大学硕士学位论文蜜罐系统的研究和应用姓名：檀玉恒申请学位级别：硕士专业：计算机系统结构指导教师：***20040101摘要捅要蜜罐系统是应用于计算机网络安全领域的资源，它的价值就是引诱攻击者攻击以获取攻击者和他们技术的相关信息，它也可以用来吸引和分散攻击者的注意力，以保护真实的网络系统。

本文展示了蜜罐系统的相关概念、研究领域和产品领域的价值以及在整个安全策略中发挥的作用，同时也指出了蜜罐系统的缺点。

本文对几种商业和研究型的蜜罐系统做了逐一比较分析，给出了他们的优缺点。

在此基础上，对蜜罐系统的各种理论做出了研究，包括它的交互级别、信息收集的方式和对第三方的保护以限制风险。

最后给出了一个易于实现的蜜罐系统的解决方案－－ＸｉｄｉａｎＴｅｃｈＨｏｎｅｙｎｅｔ，它的设计、实现和关键技术！总之，本文总结了蜜罐系统眼下这一新的安全技术和对未来的展望！关键词：网络安全蜜罐系统蜜罐网络入侵检测ＡｂｓｔｒａｃｔＡｂｓｔｒａｃｔＡｈｏｎｅｙｐｏｔｉｓｕｓｅｄｉｎｔｈｅａｒｅａｏｆｃｏｍｐｕｔｅｒａｎｄＩｎｔｅｒｎｅｔｓｅｃｕｒｉｔｙ．Ｉｔｉｓａｒｅｓｏｕｒｃｅ，ｗｈｉｃｈｉｓｉｎｔｅｎｄｅｄｔｏｂｅａｔｔａｃｋｅｄａｎｄｃｏｍｐｒｏｍｉｓｅｄｔｏｇａｉｎｍｏｒｅｉｎｆｏｒｍａｔｉｏｎａｂｏｕｔｔｈｅａｔｔａｃｋｅｒａｎｄｈｉｓａｔｔａｃｋｔｅｃｈｎｉｑｕｅｓ．ＩｔＣａｎａｌｓｏｂｅｕｓｅｄｔｏａｔｔｒａｃｔａｎｄｄｉｖｅｒｔａｎａｔｔａｃｋｅｒｆｒｏｍｔｈｅｒｅａｌｔａｒｇｅｔｓ．Ｏｎｅｇｏａｌｏｆｔｈｉｓｐａｐｅｒｉｓｔｏｓｈｏｗｔｈｅｐｏｓｓｉｂｉｌｉｔｉｅｓｏｆｈｏｎｅｙｐｏｔｓａｎｄｔｈｅｉｒｕｓｅｉｎａｎｅｄｕｃａｔｉｏｎａｌａｓｗｅｌｌａｓｐｒｏｄｕｃｔｉｖｅｅｎｖｉｒｏｎｍｅｎｔ．Ｔｈｅｄｉｓａｄｖａｎｔａｇｅｓｏｆｈｏｎｅｙｐｏｔｓａｒｅａｌｓｏｇｉｖｅｎｉｎｔｈｉｓｐａｐｅｒ．Ｔｈｉｓｗｏｒｋｅｖａｌｕａｔｅｓｄｉｆｆｅｒｅｎｔａｖａｉｌａｂｌｅｈｏｎｅｙｐｏｔｐｒｏｄｕｃｔｓａｎｄｃｏｍｐａｒｅｓｔｈｅｍｔｏｅａｃｈｏｔｈｅｒ．Ｔｈｅｎ，ｔｈｅｔｈｅｏｒｅｔｉｃｓｔｕｄｙｏｆｈｏｎｅｙｐｏｔｓｉｓｍａｄｅ，ｉｎｃｌｕｄｉｎｇｌｅｖｅｌｏｆｉｎｖｏｌｖｅｍｅｎｔ，ｉｎｆｏｒｍａｔｉｏｎｃｏｌｌｅｃｔｉｎｇａｎｄｐｒｏｔｅｃｔｉｎｇｔｈｉｒｔｙｐａｒｔｉｅｓｔｏｌｉｍｉｔｒｉｓｋｓ．Ｉｎｔｈｅｍｏｄｅｌ－－ＸｉｄｉａｎＴｅｃｈＨｏｎｅｙｎｅｔ，ｉｎｔｒｏｄｕｃｅｓｔｈｅｅｎｄ，ｔｈｉｓａｒｔｉｃｌｅｐｒｅｓｅｎｔｓａｈｏｎｅｙｎｅｔｓｔｒｕｃｔｕｒｅ，ｉｍｐｌｅｍｅｎｔａｔｉｏｎａｎｄｓｅｖｅｒａｌｋｅｙｔｅｃｈｎｏｌｏｇｉｅｓｏｆｔｈｅｈｏｎｅｙｎｅｔ．Ａｆｔｅｒａｌｌ，ａｃｏｎｃｌｕｓｉｏｎａｂｏｕｔｔｈｅｎｅｗｔｅｃｈｎｏｌｏｇｙｏｆｈｏｎｅｙｐｏｔｓａｎｄａｌｏｏｋｉｎｔｏｔｈｅｆｕｔｕｒｅｏｆｈｏｎｅｙｐｏｔｓｗｉｌｌｂｅｄａｒｅｄ．Ｋｅｙｗｏｒｄ：ＮｅｔｗｏｒｋＳｅｅｕｒｉｔｙＨｏｎｅｙｐｏｔＨｏｎｅｙｎｅｔＩＤＳ声明创新性声明本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研究成果。

实验23“蜜罐”配置实验1．实验目的通过安装和配置“蜜罐”，了解“蜜罐”的原理，及其配置使用方法。

2．实验原理2.1“蜜罐”技术的起源入侵检测系统能够对网络和系统的活动情况进行监视,及时发现并报告异常现象。

但是,入侵检测系统在使用中存在着难以检测新类型黑客攻击方法,可能漏报和误报的问题。

蜜罐使这些问题有望得到进一步的解决，通过观察和记录黑客在蜜罐上的活动,人们可以了解黑客的动向、黑客使用的攻击方法等有用信息。

如果将蜜罐采集的信息与IDS采集的信息联系起来,则有可能减少IDS的漏报和误报,并能用于进一步改进IDS的设计,增强IDS的检测能力。

“蜜罐”的思想最早是由Clifford Stoll于1988年5月提出。

该作者在跟踪黑客的过程中，利用了一些包含虚假信息的文件作为黑客“诱饵”来检测入侵,这就是蜜罐的基本构想，但他并没有提供一个专门让黑客攻击的系统。

蜜罐正式出现是Bill Cheswick提到采用服务仿真和漏洞仿真技术来吸引黑客。

服务仿真技术是蜜罐作为应用层程序打开一些常用服务端口监听,仿效实际服务器软件的行为响应黑客请求。

例如,提示访问者输入用户名和口令,从而吸引黑客进行登录尝试。

所谓漏洞仿真是指返回黑客的响应信息会使黑客认为该服务器上存在某种漏洞,从而引诱黑客继续攻击。

2.2蜜罐技术的优点Honeypot是一个相对新的安全技术，其价值就在被检测、攻击，以致攻击者的行为能够被发现、分析和研究。

它的概念很简单：Honeypot没有任何产品性目的，没有授权任何人对它访问，所以任何对Honeypot的访问都有可能是检测、扫描甚至是攻击。

Honeypot的检测价值在于它的工作方式。

正如前文所提到的，由于Honeypot没有任何产品性功能，没有任何授权的合法访问，所以在任何时间来自任何地方对Honeypot的任何访问都有可能是非法的可疑行为。

Honeypot的工作方式同NIDS等其他的传统检测技术正好相反，NIDS不能解决的问题，Honeypot却能轻易解决。

有关“蜜罐（honeypot）”技术在网络安全中的探讨余晓东（广东电网公司潮州供电局，广东潮州 521000）摘 要：随着计算机网络发展越来越快，网络安全也随之下降，在保护网络安全上，传统的方法是利用防火墙。

比较普遍的防火墙、防毒软件及其运行机制、监察入侵活动和内容过滤等已对网络安全起不了很大的作用了，本文就对“蜜罐”技术及其在网络安全中的应用做出相应探讨，以供大家一起来参考及借鉴。

关键词：蜜罐；功能；蜜网；发展中图分类号：TN915.08 文献标识码：A 文章编号：1007-9599 （2010） 09-0056-02The "honey pot" Technology in the Network SecurityYu Xiaodong(Chaozhou Power Supply Bureau of Guangdong Power Grid Company,Chaozhou 521000,China) Abstract:With the increasingly rapid development of computer networks,network security was declining,in the protection of network security,the traditional method is to use firewall.More common firewall,antivirus software and its operating mechanism,monitoring intrusions,and content filtering for network security can not played a significant role,and this article on the "honey pot" technique and its application in network security and make the corresponding discussion,for all to reference and learn together.Keywords:Honey pot;Function;Honeynet;Development一、防火墙技术的局限性和脆弱性防火墙是网络上使用最多的安全设备，是网络安全的重要基石。

网络安全管理制度中的蜜罐与欺骗防护技术在当今信息化时代，网络安全成为各行各业关注的焦点。

为了保护网络系统免受攻击，企业和组织需要建立有效的网络安全管理制度。

在这个管理制度中，蜜罐与欺骗防护技术成为了重要的组成部分。

本文将介绍蜜罐与欺骗防护技术在网络安全管理制度中的应用。

一、蜜罐技术的概念与原理蜜罐技术是一种被动的安全防护措施，它通过模拟真实的网络环境来吸引黑客进攻，以便获取攻击者的行为信息和攻击手法。

蜜罐系统由管理员精心构建，包含一系列看似易受攻击的计算机系统、数据库或应用程序。

这些系统没有实际价值，只用于诱骗攻击者进入。

蜜罐技术的工作原理如下：当攻击者发起攻击时，蜜罐系统会记录攻击源的IP地址、攻击流量、攻击方式等信息，并将这些信息报告给网络管理员。

管理员可以通过分析这些信息来了解攻击者的意图和手法，并采取相应的对策来提升网络安全。

二、蜜罐在网络安全管理制度中的应用1. 攻击情报收集通过部署蜜罐系统，网络管理员可以收集到来自真实攻击者的攻击情报。

这些情报对于分析攻击手法、寻找潜在威胁以及制定安全策略都非常有价值。

通过蜜罐系统收集到的信息可以揭示黑客的攻击方式、工具和行为模式，有助于建立防御策略和优化安全措施。

2. 降低漏洞利用风险蜜罐系统中的虚假漏洞往往会吸引攻击者花费时间和精力去攻击，从而减少了真实系统面临的风险。

通过引导攻击者集中攻击蜜罐系统，网络管理员可以在攻击发生时快速采取应对措施，修复漏洞并增强真实系统的安全性。

3. 资源分配与安全监测蜜罐系统能够将攻击者引导至特定的网络节点，这样可以提高网络带宽的利用率，并对攻击进行监测。

通过实时监测蜜罐系统的攻击情况，网络管理员可以及时发现并应对网络攻击，避免恶意攻击影响到正常的网络系统。

三、欺骗防护技术的概念与应用欺骗防护技术是网络安全中的一种主动防护措施。

它通过欺骗攻击者的感知、跟踪和目标，有效地保护了真实的网络系统。

欺骗防护技术主要包括欺骗IP、欺骗协议和欺骗服务等。

《网络安全管理员》技师理论知识练习题库+参考答案一、单选题（共60题，每题1分，共60分）1、在缺省配置的情况下，交换机的所有端口（）。

A、处于直通状态B、属于同一VLANC、属于不同VLAND、地址都相同正确答案：B2、在安全通用要求-安全区域边界-边界防护的访问控制中，应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则的（）A、最小化B、唯一化C、合理化D、最大化正确答案：A3、社会工程学常被黑客用于（踩点阶段信息收集）（）。

A、口令获取B、ARPC、TCPD、DDOS正确答案：A4、Windows系统中对所有时间进行审核是不现实的，下面不建议审核的事件是（）A、用户及用户组管理B、系统重新启动和关机C、用户登录及注销D、用户打开关闭应用程序正确答案：D5、某单位计划在今年开发一套办公自动化（ＯＡ）系统，将集团公司各地的机构通过互联网进行协同办公，在ＯＡ系统的设计方案评审会上，提出了不少安全开发的建设，作为安全专家，请指出大家提的建议中不太合适的一条：（）。

A、要求软件开发商对软件进行模块化设计，各模块明确输入和输出数据格式，并在使用前对数据进行校验B、对软件开发商提出安全相关要求，确保软件开发商对安全足够的重视，投入资源解决软件安全问题C、要求软件开发商使用Ｊａｖａ而不是ＡＳＰ作为开发语言，避免ＳＱＬ注入漏洞D、要求软件开发人员进行安全开发培训，使开发人员掌握基本软件安全开发知识正确答案：C6、安全基础设施的主要组成是（）。

A、上面3项都是B、网络和平台C、物理设施和处理过程D、平台和物理设施正确答案：C7、Windows Server 是主要用于的（）服务器版本。

A、工作组B、数据组C、网络D、数据库正确答案：A8、微软提出了 STRIDE 模型，其中 Repudation（抵赖）的缩写，关于此项安全要求，下面描述错误的是（）。

A、某用户在登陆系统并下载数据后，却声称“我没有下载过数据”，软件系统中的这种威胁就属于 R 威胁B、解决 R 威胁，可以选择使用抗抵赖性服务技术来解决，如强认证、数字签名、安全审计等技术措施C、R 威胁是 STRIDE 六种威胁中第三严重的威胁，比 D 威胁和 E 威胁的严重程度更高D、解决 R 威胁，也应按照确定建模对象、识别威胁、评估威胁以及消减威胁等四个步骤来进行正确答案：C9、在生产控制大区纵向网络边界上，应避免使用默认路由，仅开放特定通信端口，禁止开通telnet等高风险网络服务。

蜜罐技术的探讨蜜罐技术的发展背景网络与信息安全技术的核心问题是对计算机系统和网络进行有效的防护。

网络安全防护涉及面很广，从技术层面上讲主要包括防火墙技术、入侵检测技术,病毒防护技术,数据加密和认证技术等。

在这些安全技术中，大多数技术都是在攻击者对网络进行攻击时对系统进行被动的防护。

而蜜罐技术可以采取主动的方式。

顾名思义，就是用特有的特征吸引攻击者，同时对攻击者的各种攻击行为进行分析并找到有效的对付办法。

蜜罐的定义“蜜网项目组”（The Honeynet Project）的创始人Lance Spitzner给出了对蜜罐的权威定义：蜜罐是一种安全资源，其价值在于被扫描、攻击和攻陷。

这个定义表明蜜罐并无其他实际作用，因此所有流入/流出蜜罐的网络流量都可能预示了扫描、攻击和攻陷。

而蜜罐的核心价值就在于对这些攻击活动进行监视、检测和分析。

这就意味着蜜罐是用来被探测、被攻击甚至最后被攻陷的，蜜罐不会修补任何东西，这样就为使用者提供了额外的、有价值的信息。

蜜罐不会直接提高计算机网络安全，但是它却是其他安全策略所不可替代的一种主动防御技术。

具体的来讲，蜜罐系统最为重要的功能是对系统中所有操作和行为进行监视和记录，可以网络安全专家通过精心的伪装，使得攻击者在进入到目标系统后仍不知道自己所有的行为已经处于系统的监视下。

为了吸引攻击者，通常在蜜罐系统上留下一些安全后门以吸引攻击者上钩，或者放置一些网络攻击者希望得到的敏感信息，当然这些信息都是虚假的信息。

另外一些蜜罐系统对攻击者的聊天内容进行记录，管理员通过研究和分析这些记录，可以得到攻击者采用的攻击工具、攻击手段、攻击目的和攻击水平等信息，还能对攻击者的活动范围以及下一个攻击目标进行了解。

同时在某种程度上，这些信息将会成为对攻击者进行起诉的证据。

不过，它仅仅是一个对其他系统和应用的仿真，可以创建一个监禁环境将攻击者困在其中，还可以是一个标准的产品系统。

无论使用者如何建立和使用蜜罐，只有它受到攻击，它的作用才能发挥出来。