基于蜜罐的高交互性校园网络安全防御系统

·54·基于高度交互的Honeypot校园网络安全防御系统的计算机和信息技术网络世界唐骏赵晓娟（湖南城市建设职业技术学院信息工程系，湖南湘潭411101）单机蜜罐和蜜罐网络欺骗该系统的原理知识和关键技术，分析同类研究的内容和成果，根据校园网的特点设计一个高度互动的蜜罐系统，并通过控制蜜罐系统来实现. 防火墙和入侵检测系统. . 应用结果表明，安全系统之间的联动控制可以最大限度地发挥安全设备的作用. 关键词高度互动；蜜罐;链接1简介作为一种积极的防御策略，蜜罐技术近年来取得了长足的进步，并且有许多产品和研究应用. 传统的网络安全系统主要建立在成熟的被动防御技术上，例如防火墙，入侵检测，漏洞扫描等，很少使用有效的主动防御措施. 现有的各种安全防御机制都有其自身的局限性，因此网络的安全性不能仅依赖于单一的安全防御技术和防御机制. 作为一种新的安全工具，蜜罐在攻击检测，分析和研究，尤其是在捕获，分析和研究未知攻击方面日益显示出其优势. 本文首先分析了校园网中常见的安全攻击以及蜜罐技术的分类和发展. 针对校园网的安全防御特性，提出了一种基于高交互蜜罐的校园网安全防御系统.

2校园网络上的典型攻击2.1拒绝服务攻击拒绝服务试图通过使服务计算机崩溃或对服务计算机施压来阻止您提供服务. 拒绝服务攻击是最容易执行的攻击，包括死亡Ping（死亡Ping），泪珠（Teardrop），UDP Flood（UDP Flood），SYN Flood（SYN Flood），Land攻击，Smurf攻击，Fraggle攻击，电子邮件. 2.2剥削攻击剥削攻击是一种尝试直接控制您的计算机的攻击. 最常见的是密码猜测，木马和缓冲区溢出. 2.3信息收集攻击信息收集攻击不会损害目标本身. 顾名思义，此类攻击用于为进一步的入侵提供有用的信息. 主要包括: 扫描技术，系统探测，使用信息服务，地址扫描. 2.4虚假邮件攻击用于攻击目标配置不正确的邮件，主要包括: DNS缓存污染和伪造邮件. 3 Honeypot和密集网络技术3.1 Honeypot技术从来没有一个准确的蜜罐定义. 不同的人对蜜罐有不同的定义. 美国蜜网计划研究小组成员之一兰斯·斯皮兹纳（Lance Spitzner）对蜜罐的定义如下: 蜜罐是一种信息系统资源，其价值在于对该资源的未经授权或非法使用[1]. ].

由于蜜罐不修补任何东西，因此它为用户提供了更多有价值的信息. Honeypot不会直接提高计算机网络的安全性，但是它是一种主动防御技术，无法用其他安全策略替代. 图1 Honeypot系统结构典型的Honeypot系统使用两台计算机作为系统的目标主机，然后引入入侵检测（IDS）作为网络数据收集和已知攻击警报的工具，并使用防火墙和路由器作为数据控制工具. 同时，它们的存在也使蜜罐看起来更像一个真实的网络系统. 远程计算机和信息技术（LogServer）用于备份蜜罐收集和记录的各种数据和日志. 蜜罐由上述组件，HUB和几根网络电缆组成，如图1所示. 3.2秘密网络秘密网络（Honeyne）是一个网络系统，而不是单个主机. 该网络系统隐藏在防火墙后面. 所有传入和传出的数据都受到监视，捕获和控制. 这些捕获的数据可用于研究和分析入侵者的工具，方法和动机. 在Honeynet中，研究人员可以使用各种操作系统和设备，例如Solaris，Linux，Windows Server，多层交换机和路由器. 通过这种方式建立的网络环境将看起来更加真实可信，并且还将在不同的系统平台上运行不同的服务.

由于某些入侵者的最初目标可能仅位于少数特定的系统漏洞中，因此配置这样一个多样化的网络系统可能会揭示更多其特征. 4高度互动的蜜罐系统交互性是蜜罐的重要属性. 交互性反映了入侵者与实现此蜜罐的操作系统之间的交互程度. 互动程度为我们提供了一个可以测量和比较蜜罐的量表. 蜜罐可以做的事越多，攻击者对蜜罐所做的越多，从蜜罐中获取的信息就越多，但是同时，攻击者对蜜罐的做得越多，危害就越大. 根据交互作用，蜜罐分为三类: 低交互蜜罐，中交互蜜罐和高交互蜜罐[2]. 图2高交互蜜罐系统图2所示的高交互蜜罐结构可以提供有关攻击者的大量信息，但是构建和维护它们非常耗时，并且伴随着最高的风险. 它为攻击者提供了一个真实的环境. 但是这些系统被定义为没有产品价值. 一旦攻击者控制了蜜罐，他就具有与之交互的完整操作系统. 最常见的高交互蜜罐通常放置在受控环境中，例如在防火墙后面[3]. 借助这些访问控制设备来控制攻击者的攻击能力，防火墙允许攻击者破坏位于其后面的蜜罐，但不允许攻击者使用蜜罐来发起外部攻击.

此体系结构的部署和维护非常复杂，并且这种类型的蜜罐还需要防火墙的适当过滤规则库. 同时，需要配合IDS的功能，更新IDS的签名，并不断监视蜜罐的活动. 提供攻击的互动越多，错误就越多. 一旦正确实施，高度互动的蜜罐可以为攻击者提供最深入的了解. 5基于高交互蜜罐的校园网安全防御系统5.1高交互蜜罐系统的部署高交互蜜罐系统部署在园区网络的DMZ区域中[4]，主要针对服务器攻击，并要求已部署的蜜罐可以镜像提供公共服务的服务器. 在每个园区中都部署了一个由检测蜜罐组成的蜜网. 如果攻击者访问任何校园网，则蜜网中应该有一个蜜罐，可以检测到攻击. DMZ中高度交互的蜜罐必须以各种可能的方式为Web服务器提供一个镜像，以了解攻击如何进入系统并对攻击做出响应. 到蜜罐的流量应尽可能减少. 同时，应增加黑客攻击蜜罐的可能性，以使黑客认为他们正在攻击Web服务器. 对于部署在DMZ区域中的高交互蜜罐，有必要确保一旦蜜罐系统受到攻击，就可以使用有效的数据控制机制来确保蜜罐不用作攻击内部网络的跳板. 可以通过设置防火墙的规则库来实现数据控制.

限制Web服务器蜜罐在受到攻击后无法启动与Intranet的连接. 这可以防止黑客将蜜罐用作攻击Intranet的跳板. 5.2使用ManTrap构建高度交互的蜜罐系统ManTrap可以在单个物理系统上创建四个虚拟操作环境[5]. 实际上，在一个物理系统中创建了四个蜜罐. ManTrap不模拟系统，而是使用笼式技术，因此逻辑笼与基本操作系统相同. ManTrap使用两种不同的功能进行测试. 首先，它有一个侦听特定端口的应用程序，并且该应用程序执行攻击检测和交互. 它运行有效的应用程序而不是模拟服务. 它的检测功能还表现为它可以检测未的端口或服务. ，这主要是通过使用嗅探器来被动检测到任何笼子任何端口的所有连接. ManTrap对攻击的反应是，一旦攻击者摧毁并获得了对笼子的访问权邮件攻击主要是，即使他们使用诸如SSH手段之类的加密方法来访问系统，他们的所有活动也会被记录下来，包括新进程和击键的开始. 仍然被捕获，并且此信息对于响应攻击尤为重要. 6蜜罐与IDS协作系统的实现6.1信息收集蜜罐系统的基本功能是信息收集，它的可靠性，准确性和效率直接影响到整个系统的性能[6].

如果捕获的数据不完整，则生成的入侵规则将不准确，并且系统的检测能力将大大降低. 如果数据本身不准确，则系统将无法检测到某些攻击，并且后果将是无法想象的. 6.2信息存储为了防止黑客在将蜜罐存储和将数据存储到日志服务器之前假装成蜜罐，当蜜罐申请用于存储数据时，需要身份验证. 身份认证的过程如图3所示. ·56·计算机和信息技术网络天空图3身份认证的过程6.3应用协议分析网络协议分析是指通过程序分析网络数据包的协议头和尾，从而了解信息和相关数据包在生成和传输过程中的行为[7]. 秘密坦克系统需要与IDS链接. 这两个设备需要在应用程序层数据内容上相互交互，因此需要分析两者的应用程序层协议. 6.4提取入侵规则蜜罐中记录的数据不知道哪些是入侵数据，哪些是正常数据，因此有必要使用无监督聚类算法对数据进行分类，然后标记出各种类型. 因为蜜罐旨在吸引黑客进入系统，然后记录入侵过程. 因此，蜜罐收集的数据的入侵行为绝大多数，因此您可以根据所有类别中包含的数据进行排序，并设置一个比例数字. 包含少于数据量的类别标记为正常，其余类别标记为入侵. 类. 7总结Honeypot系统在校园网中的应用不仅可以成为校园网安全性的必要补充，而且可以为学校的教学和学生实践提供良好的环境.

本文将高交互蜜罐系统部署在园区网络的DMZ区域中，并将蜜罐与入侵监控系统集成和控制. 这种部署方法提高了园区网络的整体安全性，但也应该看到蜜罐只是增强网络项目: 湖南城市建设职业技术学院自然科学项目（07KTZ04）作者简介: 唐军（1980-），男，湖南人民来自湘潭，硕士，高级工程师，系统分析员，CCF成员（E20-0012235M），研究方向: SOA，人工智能，信息安全；赵晓娟（1981-），女，湖南湘潭人，本科，助理研究员，研究方向: 人工智能与信息安全.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-267773-1.html