下载文档原格式
篡霎Ⅵ渊一_；蜜罐技术在校园网安全系统的研究与设计万红珍(华立科技职业学院计算机学部广东广州511325)【摘要]介绍一种主动防御技术一蜜罐，通过研究蜜罐、防火墙和入侵枪测等技术．提出并设计一种基于主动策略的校园网安全系统．对其关键技术进行实现，并测试该系统的功能。
测试结果及分析表明，该系统能较好地在校园网络中检测出未知的攻击，并详细收集攻击者的信息。
达到了设计的目标．[关键词】主动防御防火墙入侵检测蜜罐蜜网中图分类号：TP3文献标识码：^文章编号：1871--7597(2∞8)9220058--02●一、引膏目前主流的网络信息安全的防护技术有防火墙、入侵检测等，校园网络由于资金或观念等方面的原因，大多都用之防范外网的攻击，对来自内部的威胁没有良好的防范手段。
而且防火墙依赖于现成的规则库，入侵检测系统需要现成的模式库，通过进行匹配来识别非法连接和攻击，就是说这两种技术都是被动的手段，都依赖j二事先对非法连接、非法访问有一个清楚的认识。
随着攻击技术的不断发展，新的攻击方法层出不穷，攻击的发起时间、攻击者、攻击发起地点和攻击目标都具有很大的不确定性。
被动防御技术对新的攻击方法往往不能正确识别，从而陷入被动的地位。
主动防御技术能牵制和转移网络攻击行为，并且对攻击方法进行技术分析，有可能获得未知的攻击技术资料。
对网络攻击进行取证并且对攻击者进行监视和跟踪。
主动防御技术与原有的安全技术一起，能够弥补原有安全体系的不足，提高网络的安全性能。
=、主动防■技术一一■(一)蜜罐基本概念蜜罐是一种安全资源，其价值在于被扫描、攻击和攻陷。
蜜罐并不向外界用户提供任何服务，所有进出蜜罐的嘲络流量都口，能预示着一次扫描、攻击和攻陷，蜜罐的核心价值在于对这些非法活动进行监视、检测和分析。
一般说来，大多数产品型蜜罐都部署在组织的安伞防线后面。
部署在内部网或高风险网络上的蜜罐可以提供最高的价值，如D M Z。
像防火墙这样的访问控制设备将入侵者挡在门外，但蜜罐是与所有的穿过安全防线的行为进行交互，因此能发挥很好的作用。
蜜罐实现原理蜜罐（Honeypot）是一种用于诱捕黑客的安全机制，它模拟了一个看似易受攻击的系统或网络，吸引攻击者入侵并收集其攻击行为和手段。
蜜罐的实现原理主要包括以下几个方面。
1. 诱饵设置蜜罐的首要任务是诱使攻击者感兴趣并试图攻击。
为了实现这一目标，蜜罐需要设置一些诱饵，例如开放的端口、弱密码账户、易受漏洞影响的应用程序等。
这些诱饵看似真实，但实际上是对攻击者进行诱导和引导的。
2. 日志记录蜜罐需要详细记录攻击者的所有行为和操作，包括攻击手段、攻击目的、攻击时间等信息。
通过对攻击行为的分析，可以及时发现攻击者的新手段和攻击趋势，为安全防护提供重要参考。
3. 网络监控蜜罐通常会与真实网络环境相隔离，以避免攻击对真实系统造成影响。
但同时，蜜罐也需要与网络环境保持连接，并监控网络流量。
通过对网络流量的监控和分析，可以及时发现攻击者的扫描行为、漏洞利用等攻击活动。
4. 虚拟化技术为了提高蜜罐的安全性和可靠性，通常会使用虚拟化技术。
通过将蜜罐部署在虚拟机中，可以有效隔离蜜罐与真实系统，防止攻击对真实系统造成影响。
同时，虚拟化技术还可以方便地进行蜜罐的部署和管理。
5. 威胁情报分享蜜罐收集到的攻击行为和手段可以作为威胁情报分享给其他安全团队或组织。
通过分享威胁情报，可以提高整个安全社区对新型攻击的认知和防范能力，从而共同应对不断演变的威胁。
6. 响应机制当蜜罐检测到攻击行为时，需要采取相应的响应措施。
这些响应措施可以包括拦截攻击流量、阻止攻击者的访问、向攻击者发送虚假信息等。
通过灵活和及时的响应机制，可以最大程度地阻止攻击者的进一步攻击。
7. 学习分析蜜罐不仅仅是用来吸引攻击者的陷阱，还是一个用于学习和分析攻击手段的平台。
通过对攻击者的行为和手段进行分析，可以及时发现新的攻击方式和漏洞利用技术，从而改进系统的安全性。
蜜罐的实现原理是通过设置诱饵、记录日志、监控网络、使用虚拟化技术、分享威胁情报、响应攻击和学习分析等手段来吸引攻击者，并收集其攻击行为和手段。
网络安全协议的蜜罐技术网络安全协议是保障互联网上数据传输和通信安全的重要手段，但随着网络攻击技术的不断发展和演变，传统的网络安全协议面临着越来越多的挑战。
为了更好地应对这些挑战，并确保网络的安全性和完整性，研究人员提出了蜜罐技术，作为一种有效的网络安全协议补充手段。
一、蜜罐技术的基本概念和原理蜜罐技术是一种主动性的防御策略，通过设置虚拟的漏洞系统和服务来吸引攻击者，将其引诱进入一个安全控制环境，并监测和记录其攻击行为。
蜜罐技术的基本原理是通过模拟网络中的脆弱目标以吸引黑客攻击，并将攻击行为加以分析，从而获取对攻击手法和攻击者行为进行研究的相关信息，为网络安全防护提供有力的支持。
二、蜜罐技术的分类根据部署的位置和角色，蜜罐技术可以分为外置式蜜罐和内置式蜜罐。
外置式蜜罐一般部署于内部网络的边界或者DMZ区域，用于吸引外部入侵者进行攻击。
内置式蜜罐则部署在内部网络环境中，用于吸引内部人员的攻击行为。
三、蜜罐技术的优势与应用蜜罐技术在网络安全协议中具有以下优势：1. 提供实时监测和情报收集：通过分析攻击者的行为，蜜罐技术可以获得对网络攻击的实时监测和分析报告，进而实现对新型攻击手段和攻击者行为的识别和追踪。
2. 降低风险和损失：通过引诱攻击者进入蜜罐环境，有效地将攻击行为隔离开来，从而避免了实际网络中的风险和损失。
3. 学习攻击手法和提升防御能力：蜜罐技术可以深入研究攻击者的手法和策略，为网络安全防御提供宝贵的经验和技术支持。
蜜罐技术广泛应用于网络安全协议中，其中的典型应用方案包括：1. 收集网络攻击情报：通过分析蜜罐中的攻击数据，可以获取攻击者的IP地址、攻击路径、攻击载荷等信息，为安全厂商和安全团队提供重要的情报支持。
2. 学习攻击技术和行为：通过分析攻击者的行为和攻击路径，可以深入研究攻击者的攻击手法和恶意代码特征，提升安全团队对网络攻击的认知和防御能力。
3. 监测内部网络安全：内置式蜜罐技术可用于监测内部员工的攻击行为，发现员工的安全风险和安全漏洞，并及时修补网络安全漏洞。
西安电子科技大学硕士学位论文蜜罐系统的研究和应用姓名：檀玉恒申请学位级别：硕士专业：计算机系统结构指导教师：***20040101摘要捅要蜜罐系统是应用于计算机网络安全领域的资源，它的价值就是引诱攻击者攻击以获取攻击者和他们技术的相关信息，它也可以用来吸引和分散攻击者的注意力，以保护真实的网络系统。
本文展示了蜜罐系统的相关概念、研究领域和产品领域的价值以及在整个安全策略中发挥的作用，同时也指出了蜜罐系统的缺点。
本文对几种商业和研究型的蜜罐系统做了逐一比较分析，给出了他们的优缺点。
在此基础上，对蜜罐系统的各种理论做出了研究，包括它的交互级别、信息收集的方式和对第三方的保护以限制风险。
最后给出了一个易于实现的蜜罐系统的解决方案－－ＸｉｄｉａｎＴｅｃｈＨｏｎｅｙｎｅｔ，它的设计、实现和关键技术！总之，本文总结了蜜罐系统眼下这一新的安全技术和对未来的展望！关键词：网络安全蜜罐系统蜜罐网络入侵检测ＡｂｓｔｒａｃｔＡｂｓｔｒａｃｔＡｈｏｎｅｙｐｏｔｉｓｕｓｅｄｉｎｔｈｅａｒｅａｏｆｃｏｍｐｕｔｅｒａｎｄＩｎｔｅｒｎｅｔｓｅｃｕｒｉｔｙ．Ｉｔｉｓａｒｅｓｏｕｒｃｅ，ｗｈｉｃｈｉｓｉｎｔｅｎｄｅｄｔｏｂｅａｔｔａｃｋｅｄａｎｄｃｏｍｐｒｏｍｉｓｅｄｔｏｇａｉｎｍｏｒｅｉｎｆｏｒｍａｔｉｏｎａｂｏｕｔｔｈｅａｔｔａｃｋｅｒａｎｄｈｉｓａｔｔａｃｋｔｅｃｈｎｉｑｕｅｓ．ＩｔＣａｎａｌｓｏｂｅｕｓｅｄｔｏａｔｔｒａｃｔａｎｄｄｉｖｅｒｔａｎａｔｔａｃｋｅｒｆｒｏｍｔｈｅｒｅａｌｔａｒｇｅｔｓ．Ｏｎｅｇｏａｌｏｆｔｈｉｓｐａｐｅｒｉｓｔｏｓｈｏｗｔｈｅｐｏｓｓｉｂｉｌｉｔｉｅｓｏｆｈｏｎｅｙｐｏｔｓａｎｄｔｈｅｉｒｕｓｅｉｎａｎｅｄｕｃａｔｉｏｎａｌａｓｗｅｌｌａｓｐｒｏｄｕｃｔｉｖｅｅｎｖｉｒｏｎｍｅｎｔ．Ｔｈｅｄｉｓａｄｖａｎｔａｇｅｓｏｆｈｏｎｅｙｐｏｔｓａｒｅａｌｓｏｇｉｖｅｎｉｎｔｈｉｓｐａｐｅｒ．Ｔｈｉｓｗｏｒｋｅｖａｌｕａｔｅｓｄｉｆｆｅｒｅｎｔａｖａｉｌａｂｌｅｈｏｎｅｙｐｏｔｐｒｏｄｕｃｔｓａｎｄｃｏｍｐａｒｅｓｔｈｅｍｔｏｅａｃｈｏｔｈｅｒ．Ｔｈｅｎ，ｔｈｅｔｈｅｏｒｅｔｉｃｓｔｕｄｙｏｆｈｏｎｅｙｐｏｔｓｉｓｍａｄｅ，ｉｎｃｌｕｄｉｎｇｌｅｖｅｌｏｆｉｎｖｏｌｖｅｍｅｎｔ，ｉｎｆｏｒｍａｔｉｏｎｃｏｌｌｅｃｔｉｎｇａｎｄｐｒｏｔｅｃｔｉｎｇｔｈｉｒｔｙｐａｒｔｉｅｓｔｏｌｉｍｉｔｒｉｓｋｓ．Ｉｎｔｈｅｍｏｄｅｌ－－ＸｉｄｉａｎＴｅｃｈＨｏｎｅｙｎｅｔ，ｉｎｔｒｏｄｕｃｅｓｔｈｅｅｎｄ，ｔｈｉｓａｒｔｉｃｌｅｐｒｅｓｅｎｔｓａｈｏｎｅｙｎｅｔｓｔｒｕｃｔｕｒｅ，ｉｍｐｌｅｍｅｎｔａｔｉｏｎａｎｄｓｅｖｅｒａｌｋｅｙｔｅｃｈｎｏｌｏｇｉｅｓｏｆｔｈｅｈｏｎｅｙｎｅｔ．Ａｆｔｅｒａｌｌ，ａｃｏｎｃｌｕｓｉｏｎａｂｏｕｔｔｈｅｎｅｗｔｅｃｈｎｏｌｏｇｙｏｆｈｏｎｅｙｐｏｔｓａｎｄａｌｏｏｋｉｎｔｏｔｈｅｆｕｔｕｒｅｏｆｈｏｎｅｙｐｏｔｓｗｉｌｌｂｅｄａｒｅｄ．Ｋｅｙｗｏｒｄ：ＮｅｔｗｏｒｋＳｅｅｕｒｉｔｙＨｏｎｅｙｐｏｔＨｏｎｅｙｎｅｔＩＤＳ声明创新性声明本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研究成果。
简述蜜罐的定义和作用蜜罐，又称为蜜罐技术，是一种用于识别、记录和分析网络攻击的安全工具。
蜜罐本质上是一种虚拟或实体的计算机系统，它模拟了一个真实的网络系统或应用程序，但实际上是专门用来吸引黑客攻击的“陷阱”。
蜜罐的作用主要有三个方面：一是吸引黑客攻击，以便监测和分析攻击行为；二是收集攻击数据，以便研究攻击技术和行为规律；三是提高网络安全防御能力，通过分析攻击数据，及时发现网络安全漏洞并加以修复。
蜜罐通过模拟真实系统或应用程序的漏洞，吸引黑客对其进行攻击。
一旦黑客入侵了蜜罐，蜜罐系统就会记录下黑客的攻击行为，包括攻击方式、攻击工具、攻击者的IP地址等信息。
这些数据对于安全研究人员来说非常宝贵，可以帮助他们了解黑客的攻击手段和策略，从而更好地制定防御策略。
蜜罐可以收集大量的攻击数据，用于分析攻击方式和攻击流程。
通过对攻击数据的分析，安全专家可以发现攻击者的行为规律，了解攻击的趋势和演变，为网络安全防御提供重要参考。
此外，攻击数据还可以帮助安全厂商及时更新安全防御软件，提高网络系统的安全性。
蜜罐可以提高网络安全的防御能力。
通过监测和分析攻击数据，可以及时发现网络安全漏洞并进行修复，从而加强网络系统的安全性。
同时，蜜罐还可以帮助企业建立安全意识，提高员工对网络安全的重视程度，减少安全事故的发生。
总的来说，蜜罐作为一种先进的网络安全技术，对于提高网络安全防御能力、保护网络系统安全具有重要意义。
通过吸引黑客攻击，收集攻击数据，分析攻击信息，蜜罐可以帮助安全专家及时发现网络安全威胁，并制定相应的防御措施，为网络安全保驾护航。
希望未来蜜罐技术能够不断发展，更好地服务于网络安全领域，为网络安全事业做出更大的贡献。
蜜罐技术原理
蜜罐技术，也称为“蜜盘技术”，是一种安全防护技术，它通过模拟攻击的漏洞或者设定一些疑似易受攻击的平台或服务，来吸引潜在的黑客或攻击者，将他们吸引至蜜罐内部，搜集攻击信息，分析攻击手法和攻击者的目的，最终达到防范和控制攻击的目的。
蜜罐技术的原理主要是依靠目标欺骗和攻击记录。
目标欺骗是指在网络上设定虚拟的网络资产、漏洞和服务器等，迷惑攻击者，引诱他们进入蜜罐系统中。
攻击记录则是通过记录攻击者在蜜罐中的攻击行为和手法，从而提高安全防御的能力。
蜜罐技术的应用已经很广泛，可以分为两大类，即研究类和安全类。
研究类蜜罐主要是为安全研究人员提供样本数据，以建立攻击模型、攻击行为分析和漏洞挖掘等方面的研究。
安全类蜜罐则是为了对抗现实中的真实攻击，需要在企业内部或者互联网环境中设置多个虚假的目标，吸引攻击者进入，挖掘攻击者的行为信息，提高网络安全防护能力。
蜜罐技术的部署有许多注意事项，其中最重要的一点是保证蜜罐与真实系统分离，避免攻击者在攻击蜜罐系统时攻击到企业真实的系统，从而带来无法修复的损失。
其次，需要确保蜜罐与企业的真实系统保持同步更新，避免由于过期漏洞和软件缺陷导致攻击者利用漏洞入侵企业真实系统。
总之，蜜罐技术对于提高网络安全防护能力和提高攻击检测、响应能力都有着重要的意义。
对于企业来说，应当根据自己的情况，科学合理地选择蜜罐设备、部署策略和技术方案，从而确保自身网络安全。
蜜罐技术的分析与研究 郑文婷。，张艳华 ，杨磊。，庞玲。 （１．海军７０５厂，广东湛江５２４０１６；２．中国热带农业科学院农产品加工研究所，广东，湛江，５２４０１６）
摘要：蜜罐是一种旨在诱骗、拖延和搜集有关攻击的诱饵，作为一种主动防御技术，在网络安全的防护中，蜜罐技术可以用 来分析攻击行为和设计新的防御系统。从蜜罐技术的原理和体系结构出发，针对国内外蜜罐技术的发展现状，分析了蜜罐技 术未来的研究趋势；同时根据其关键技术，提出了合理的蜜罐部署方式。 关键词：蜜罐；信息安全；蜜网
Ａｎａｌｙｓｉｓ ａｎｄ Ｒｅｓｅａｒｃｈ ｏｎ Ｈｏｎｅｙｐｏｔ Ｔｅｃｈｎｏｌｏｇｙ ＺＨＥＮＧ Ｗｅｎ—ｔｊｎｇ ， ＺＨＡＮＧ Ｙａｎ－ｈｕａ ， ＹＡＮＧ Ｌｅｉ ，ＰＡＮＧ Ｌｉｎｇ ｆ ７ №眇７０５ Ｆａｃｔｏｒｙ， Ｚｍｎｊｌａｎｇ， ＧＬｉａｎｇｄｏｎｇ ５２４０１６．Ｃｈｌｈａ； Ｐ．Ａｇｒｌｃｕｌｔｏｍｌ Ｐｒｏｄｕｃｔｓ Ｐｒｏｃｅｍｌｈｇ Ｒｅｓｅａｒｃｈ Ｉｎｓｍｕ￣ｅ， ＣＡ ｚｉｓ￣ｎ／ａｎｇ， Ｇｕａｎｇｄｏｎｇ ５２４０１６，Ｏｈ／ｈａ） Ａｂｓｔｒａｃｔ：Ｈｏｎｅｙｐｏｔ ｉｓ ａ ｋｉｎｄ ｏｆ ｂａｉｔ ｔｈａｔ ａｉｍｅｄ ａｔ ｉｎｖｅｉｇｌｅｓ ｏｒ ｄｅｌａｙｓ ｏｒ ｃｏｌｌｅｃｔｓ ｔｈｅ ｍａｌｉｃｉｏｕｓ ａｔｔａｃｋｓ．Ａｓ ａ ｖｏｌｕｎｔａｒｙ ｐｒｏｔｅｃｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ， Ｈｏｎｅｙｐｏｔ ｔｅｃｈｎｏｌｏｇｙ ｃａｎ ｂｅ ｕｓｅｄ ｆｏｒ ａｎａｌｙｚｅ ｔｈｅ ａｔｔａｃｋ ａｃｔｉｏｎ ａｎｄ ｄｅｓｉｇｎ ｎｅｗ ｄｅｆｅｎｄｉｎｇ ｓｙｓｔｅｍｓ ｉｎ ｔｈｅ ｐｒｏｔｅｃｔｉｏｎ ｏｆ ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ．Ｂａｓｅｄ ｏｎ ｔｈｅ ｅｌｅｍｅｎｔｓ ａｎｄ ｓｔｒｕｃｔｕｒｅｓ ｏｆ ｔｈｅ ｈｏｎｅｙｐｏｔ ａｎｄ ａｉｍｅｄ ａｔ ｔｈｅ ｄｅｖｅｌｏｐｅｄ ａｃｔｕａｌｉｔｙ ｏｆ ｔｈｅ ｈｏｎｅｙｐｏｔ ｉｎ ｏｒ ｏｕｔｅｒ ｔｈｅ ｃｏｕｎｔｒｙ，ｔｈｅ ｄｅｖｅｌｏｐｉｎｇ ｃｕｒｒｅｎｔ ｏｆ ｔｈｅ ｆｕｔｕｒｅ ｈｏｎｅｙｐｏｔ ｔｅｃｈｎｏｌｏｇｙ ｉｓ ｓｔｕｄｉｅｄ ｉｎ ｔｈｉｓ ｐａｐｅｒ．Ａｔ ｔｈｅ ｓａｍｅ ｔｉｍｅ，ｔｈｅ ｒｅａｓｏｎａｂｌｅ ｄｉｓｐｏｓａｌ ｏｆ ｈｏｎｅｙｐｏｔ ｉｓ ｐｒｏｐｏｓｅｄ ｂａｓｅｄ ｏｎ ｔｈｅ ｋｅｙ ｔｅｃｈｎｏｌｏｇｙ． Ｋｅｙ ｗｏｒｄｓ：Ｈｏｎｅｙｐｏｔ；Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ；Ｈｏｎｅｙｐｏｔ Ｎｅｔｗｏｒｋ
１引言 长期以来，在实现计算机安全的保密性、完整 性、有效性这三大中心目标的过程中，人们进行了 不断的探索和研究。从最初的访问控制机制，到后 来逐步发展起来的防火墙技术、入侵检测技术、漏 洞扫描技术等，这些被动的防御措施基于规则或者 特征匹配方式工作，并针对现有攻的击技术，在降 低网络安全的隐患上起到了一定的作用。然而在攻 击技术不断发展的今天，新的攻击方法层出不穷， 攻击的发起时间、攻击者、攻击发起地点和攻击目 标都具有很大的不确定性。因此，主动防御技术作 为新的网络安全技术正逐渐受到人们的关注。 主动防御技术试图牵制和转移网络攻击行为， 并且对攻击方法进行技术分析，有可能获得未知的 攻击技术资料，对网络攻击进行取证并且对攻击者 进行监视和跟踪。主动防御技术在网络防火墙、入 侵检测系统等安全措施的配合下，能够弥补原有安 全防御的不足，提升网络的安全性能。蜜罐技术是 ３７ 圃ｌ＝＝晒圈２ ０ １ １．０ ８
目前主要的主动防御技术之一。 ２蜜罐技术概述 ２．１蜜罐的原理 蜜罐（Ｈｏｎｅｙｐｏｔ）是指受到严密监控的网络诱 骗系统，通过真实或模拟的网络和服务来吸引攻击， 从而在黑客攻击蜜罐期间对其行为和过程进行记录 分析，以搜集信息，对新攻击发出预警，也可以延 缓攻击和转移攻击Ｍ标。蜜罐是一种相对较新的安 全技术，其价值就在于被检测、攻击，以致攻击者 的行为能够被发现、分析和研究。 蜜罐技术主要是利用网络欺骗诱导攻击者，使 得可能存在的安全弱点有了很好的伪装场所，真实 服务与诱骗服务几乎融为一体，使入侵者难以区分。 诱骗服务相对于真实服务更容易被发现，通过诱惑 使入侵者上当，延长入侵时间，使得真正的网络服 务被探测到的可能性大大减少，并且通过网络探测， 迅速地检测到入侵者的进攻企图，及时修补系统可 能存在的安全漏洞，并获知敌方的进攻技术和意图， 通过与入侵者周旋，消耗掉入侵者的资源，搜集到 电子证据，进一步做好计算机取证工作。这里，我 们可以通过图１所示，了解蜜罐技术的原理…。 图１蜜罐技术原理图 ２．２体系结构 虽然与蜜罐系统进行的网络通信一般都被认为 是入侵行为，但是也应排除如搜索引擎的网络连接 等正常的网络通信。在这里提出的是针对未知攻击 的蜜罐系统框架，该系统框架对已知攻击进行过滤 采取了有效措施。如图２所示，可使用网络入侵检 测系统Ｓｎｏｒｔ来过滤掉已知的攻击。图２的虚线部 分是蜜罐系统框架。该框架由日志系统、蜜罐服务 系统（提供真实的应用层服务）、主机入侵检测系 统这三部分构成。蜜罐服务系统是由一系列运行在 应用层的网络服务组成，如ＨＴＴＰ、ＦＴＰ等服务。 日志系统充当入侵者与蜜罐服务系统的“中问人” 角色，负责网络连接的转发、日志记录等 。基于 主机的入侵检测系统则实时地对连接进行基于系统 调用策略的攻击检测，以及时中断攻击连接保护蜜 罐系统，同时通知日志系统标记攻击会话，从而 “过滤”正常的网络通信。 图２蜜罐系统的体系结构 ３蜜罐技术的国内外现状及发展趋势 ３．１国外研究现状 国外研究蜜罐网络诱骗技术的主要是蜜网研究 联盟（Ｈｏｎｅｙｎｅｔ Ｒｅｓｅａｒｃｈ Ａｌｌｉａｎｃｅ）。该机构是 １９９９年４月由３０多位计算机安全专家成立的非盈 利性的研究组织，专注于信息安全的研究，其中主 要是通过使用蜜罐网络这样一个真实的网络来研究 入侵者使用的工具、策略和动机，其所有的研究成 果都是开放的，向整个安全研究领域公布。蜜网项 目的目标是： （１）运用真实系统的演示，提高人们对Ｉｎｔｅｒｎｅｔ 存在的威胁和漏洞的认识。 （２）向社会提供更多的关于入侵者的信息，使用 户更好地保护自己的系统。 （３）为大学、研究机构提供信息收集的技术和方 法，以用于安全的研究。 ３．２国内研究现状 在国内，北京大学计算机研究所信息安全工程 研究中心在２００４年９月正式成立了蜜网项目研究 组，启动狩猎女神项目研究。２００４年ｌ２月发布狩 猎女神项目网站，２００４年ｌ２月部署了一个Ｇｅｎ １１ 蜜网，并连入Ｉｎｔｅｒｎｅｔ。２００５年１月，向世界蜜 网研究联盟提交加入申请。２００５年２月２２日，蜜 网项目组和蜜网研究联盟的创始人Ｍｒ．Ｌａｎｃｅ Ｓｐｉｔｚｎｅｒ宣布联盟接收狩猎女神项目，这是我国第
一个正式研究蜜罐技术的组织，标志着我国蜜罐技 术研究与世界的接轨 。狩猎女神项目研究目标有 如下三个方面： （１）通过部署蜜网对恶意代码及黑客攻击行为进 行捕获和分析，给入侵检测与关联研究提供知识和 数据基础。 （２）为学生提供一个网络攻防对抗的实验环境， 使他们在部署蜜网以及利用蜜网对攻击活动进行分 析的过程中，提高实践动手能力以及加深对网络攻 防对抗技术的理解。 （３）在掌握现有的蜜网技术的基础上，能够在相 关的一些研究方面（如Ｈｏｎｅｙｆａｒｍ）提出自己的观
２ ０ １ １．０ ８￣［３８ ｗｗ ｔ ｒｌｓｃ ｏ ｒ９ ｃｒ］Ｉ 点和看法，并加以实现，促进蜜网技术的发展。 ３．３发展趋势 纵观国内外蜜罐技术研究情况可知，蜜罐为整 个安全界注入了新鲜的血液。它不仅可以作为独立 的信息安全工具， 还与其他的安全工具（如防火墙 和ＩＤＳ等）协作使用。蜜罐可以查找并发现新型攻 击和新型攻击工具，从而解决了ＩＤＳ中无法对新型 攻击迅速作出反应的缺点。面对不断改进的黑客技 术，蜜罐技术要想保持目前所具有的功能就必须不 断地发展和更新 。 １）增加蜜罐可以模拟的服务 只有不断增多可以模拟的服务类型，才可以获 得更多的黑客信息，从而达到蜜罐的设计目的。攻 击者不断发现各种服务中的弱点和漏洞，并使用各 种不同的方法对攻击对象采取行动，试图绕过安全 工作者的监视达到自己的目的。蜜罐可以模仿的服 务类型越多，可以捕获的入侵行为就越多，从而可 以更好地保护重要的资源和数据。 ２）能够跨平台工作的蜜罐 目前，大部分蜜罐只能在特定的操作系统下工 作。如果蜜罐可以在任何操作系统下生效，使用者 的范围就会不断增加、扩大，同时，使用者也可以 更加方便地使用蜜罐。跨平台蜜罐带来的不仅是方 便，还可以将蜜罐的适用范围变得更加宽泛，使更 多的人了解蜜罐，从而使用蜜罐。 ３）不断提高蜜罐与入侵者之间的交互程度 蜜罐如果仅仅支持简单的交互行为，入侵者会很 快发现自己所处的环境，并迅速全身而退。因此蜜 罐技术在不断进步的过程中，必须要以尽量降低风 险为前提条件，努力提高自身与入侵者之间的交互 程度，以便能够更好地了解入侵者的行为并得出结论。 ４）降低蜜罐的引入风险 交互的程度越高，模拟得越像，自己陷入危险 的概率就越大。既要获得更多有价值的信息和数据， ３９溺【＝ｊ匝圈２ ０ １ １．０ ８ ｗｗｗ ］ｓｃ ０ｆ９ ｃ” 又要求系统保持足够的安全，这的确难倒了安全专 家。目前，虽然安全专家们已经找到很多方式防止 蜜罐在被攻陷以后成为入侵者进行攻击的工具，但 是这种方式也会引起入侵者的注意，使入侵者发现 自己所处的是蜜罐系统，从而不能够进一步记录攻 击者接下来的行为。 目前，大部分分布式的攻击成为一种攻击时尚， 因此了解攻击者在攻陷一台机器之后的所作所为， 成为安全工作中必不可少的一部分，也是十分重要 的一项工作。作为安全工具的蜜罐自然成为这项工 作的最佳承担者。
４蜜罐关键技术 蜜罐研究主要涉及五类关键技术：网络欺骗、 攻击捕获、数据控制、攻击分析与预警技术。 １）网络欺骗技术 若蜜罐没有受到攻击，也就没有任何价值了。 因此，将攻击者的注意力吸引到蜜罐上，是蜜罐进 行工作的前提。欺骗的成功与否取决与于欺骗的质 量。常用的欺骗技术有以下四种 ： （１）ＩＰ空间欺骗 使用网络中未分配的ＩＰ地址，当入侵者试图访 问这些不存在的地址时，由蜜罐接管这些连接。常 用的方法是利用计算机系统的多宿主能力，在一块 以太网卡的计算机上实现具有众多ＩＰ地址的主机， 而且每个ＩＰ地址还具有自己的ＭＡ Ｃ地址。ＩＰ空 间欺骗通过增加搜索空间，增加了入侵者的工作量， 耗费了入侵者的时间和资源，间接达到了安全防护 的目的。 （２）漏洞模拟 通过模拟操作系统和各种应用软件存在的漏洞， 吸引入侵者进入设置好的蜜罐。漏洞模拟的关键是 要恰到好处，如果没有漏洞会使入侵者望而生畏， 然而，漏洞百出又会使入侵者心生疑虑。
