基于蜜罐技术的网络攻击预警系统的分析与应用-analysis and application of network attack early warning system based on honeypot technology.docx

了入侵者看起来很有用的信息，但是这些信息实际上是“诱饵”。当检测到对蜜罐 的访问时，很可能就有攻击者闯入了。1.2.1国外发展现状蜜罐技术是一种主动的防御方式，能够对攻击者造成威胁和损害。蜜罐可以消 耗攻击者所拥有的资源、加重攻击者的工作量并迷惑攻击者。甚至可以事先掌握攻 击者的行为，跟踪攻击者，并有效地制止攻击者的破坏行为。蜜罐技术已经成为网 络安全研究的热点，并开始用到实际的网络信息安全中。在国外已经出现了一些基于蜜罐技术的免费开源工具和商业产品，如 DTK（欺骗 工具包）、Honeyd 等是免费开源工具，而像 KFSensor、SmokeDetector、Mantrap 等 则是商业蜜罐产品。这些产品的应用取得了较好的效果，但由于这些蜜罐工具是模 拟成虚拟的操作系统和网络服务，它们存在着交互程度低，较容易被黑客识别等问 题，所以安全研究人员使用一个完整的蜜网体系，蜜网构成了一个黑客诱捕网络体 系架构，这个架构保证了网络的高度可控性，以及提供多种工具以方便对攻击信息 的采集和分析。同时，国外出现了很多研究蜜罐的组织，如表 1-1 所示：表 1-1 蜜罐研究组织组织名称网址UK Honeynet Project.uk/.uk/West Point Honeynet project/honeynet//honeynet/Azusa Pacific UniversityHoneynet/%7Ebmccarty/honeynet.html/~bmccarty/honeynet.htmlPaladion Networks Honeynet Project-India/honeynet//honeynet/Internet Systematics Lab Honeynet Projecthttp://www.epmhs.gr/http://www.epmhs.gr/honeynetMexico Honeynet Project.mx/honeynet.html.mx/honeynet.htmlNetForensics Honeynet/honeynet1.html/honeynet1.htmlBrazilian Honetnet Projecthttp://www.lac.inpe.br/security/honeynet/http://www.lac.inpe.br/security/honeynet/Irish honeynet Projecthttp://www.honeynet.ie/http://www.honeynet.ie/Norwegian Honeynet Projecthttp://www.honeynet.no/http://www..honeynet.no/Pakistan Honeynet Project.pk/.pk/Honeynet Project//Florida HoneyNet Project//1.2.2国内发展现状在国内，北京大学计算机研究所信息安全工程研究中心在 2004 年 9 月启动 Artemis（狩猎女神）项目，狩猎女神项目是北京大学计算机研究所信息安全工程研 究中心推进的蜜网研究项目，于 2004 年 12 月发布狩猎女神项目网站；2004 年 12 月 部署了一个 Gen II 蜜网并连入 Internet；2005年1月 26 日提交加入蜜网研究联盟申请；2005年2月 22 日，Mr Lance Spitzner，蜜网项目组和蜜网研究联盟的创始 人，宣布联盟接收狩猎女神项目。狩猎女神项目的研究目标包括如下几个方面：1.通过部署蜜网对恶意代码及黑客攻击行为进行捕获和分析，给入侵检测与关 联研究提供知识和数据基础。2.为学生提供一个网络攻防对抗的实验环境，使他们在部署蜜网以及利用蜜网 对攻击活动进行分析的过程中，提高实践动手能力以及加深对网络攻防对抗技术的 理解。.在掌握现有的蜜网技术的基础上，能够在相关的一些研究方向（如 Honeyfarm） 上提出自己的观点和看法并加以实现，促进蜜网技术的发展。目前，狩猎女神部署 的蜜网融合了“蜜网项目组”。.提出的第二代蜜网框架与 honeyd 虚拟蜜罐系统。 但是，从国内市场来看，目前尚无 Honeypot 类的商业产品。本课题希望在构建基于蜜罐的预警系统基础上，研究这样的模式：为客户提供定制的预警系统，在预 警系统的基础上实现一定的分析功能并提供专业的服务，以产品加服务的形式为客 户提供安全预警产品。1.2.3发展存在的问题蜜罐能够帮助用户发展他的事件响应能力：如果管理员发现了一个受到入侵的 系统，管理员可以使用各种技术来捕获或者分析入侵者的行为并且不被他察觉。同 时，关于入侵的数据也可以存储在一个攻击特征库中，今后如果在其他事件中发现