搜索

[11012] 2017-02-10_大话蜜罐日志分析

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-02-10_大话蜜罐日志分析 大 话 蜜 罐 日 志 分 析 L e o n 不 会 玩 Q E M U   F r e e B u f   2 0 1 7 - 0 2 - 1 0 * 本 文 原 创 作 者 ： L e o n 不 会 玩 Q E M U ， 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 × 0 0   前 言 前 言 在 部 署 蜜 罐 之 后 ， 会 产 生 大 量 的 日 志 ， 对 于 威 胁 情 报 而 言 ， 我 们 需 要 通 过 这 些 日 志 来 提 取 其 中 的 有 用 的 数 据 ， 本 文 将 会 描 在 部 署 蜜 罐 之 后 ， 会 产 生 大 量 的 日 志 ， 对 于 威 胁 情 报 而 言 ， 我 们 需 要 通 过 这 些 日 志 来 提 取 其 中 的 有 用 的 数 据 ， 本 文 将 会 描 述 提 取 那 些 数 据 用 来 完 成 分 析 。 述 提 取 那 些 数 据 用 来 完 成 分 析 。 部 署 蜜 罐 之 后 会 生 成 描 述 发 生 的 事 件 的 日 志 记 录 。 能 够 收 集 到 的 安 全 事 件 将 取 决 于 我 们 部 署 的 蜜 罐 的 类 型 ， 比 如 部 署 S S H 蜜 罐 你 将 会 收 集 到 一 些 服 务 器 安 全 相 关 的 日 志 。 因 此 ， 我 们 应 当 在 采 集 日 志 之 前 先 要 确 定 我 们 采 集 日 志 的 类 型 以 及 采 集 日 志 的 种 类 ， 再 根 据 这 个 来 确 定 蜜 罐 的 设 计 和 部 署 。 如 果 要 捕 获 的 目 标 是 基 于 与 远 控 C & C 服 务 器 来 完 成 交 互 的 ， 我 们 就 应 该 考 虑 使 用 客 户 端 蜜 罐 ， 如 果 不 是 的 话 ， 就 需 要 使 用 服 务 器 蜜 罐 。 如 果 我 们 调 查 特 定 服 务 的 协 议 以 及 事 务 数 据 的 元 信 息 ， 这 时 候 我 们 应 该 去 选 择 低 交 互 蜜 罐 。 如 果 我 们 需 要 取 得 的 是 内 容 、 s h e l l c o d e 执 行 和 操 作 系 统 的 完 整 性 ， 那 么 我 们 应 该 使 用 高 交 互 蜜 罐 。 总 之 需 要 在 确 定 架 构 和 部 署 模 型 之 前 明 白 使 用 场 景 。 因 此 ， 文 章 的 概 述 将 遵 循 所 呈 现 的 蜜 罐 分 类 ， 并 且 将 另 外 分 成 问 题 陈 述 和 相 关 联 的 度 量 。 然 而 ， 本 文 仅 描 述 数 据 分 析 中 使 用 的 度 量 ， 通 常 应 用 于 基 准 蜜 罐 的 性 能 度 量 未 描 述 ， 读 者 需 要 明 白 这 些 数 据 的 意 义 ， 就 衡 量 一 个 系 统 中 的 C P U ， R A M ， H D D 负 载 或 可 伸 缩 性 数 据 一 样 。 一 般 来 说 ， I D S 只 能 被 看 作 是 补 充 分 析 工 具 。 蜜 罐 可 以 带 来 比 I D S 提 供 的 更 多 的 信 息 ， 特 别 是 如 果 使 用 基 于 静 态 签 名 的 I D S 。 0 × 0 1   攻 击 画 像 攻 击 画 像 :   一 次 完 整 的 攻 击 画 像 应 该 包 括 ： 动 机 :   描 述 攻 击 原 因 的 动 机 攻 击 深 度 和 广 度 :   攻 击 的 广 度 由 受 影 响 的 机 器 的 数 量 描 述 ， 深 度 是 特 定 目 标 被 分 析 的 程 度 或 攻 击 对 系 统 的 影 响 有 多 大 。 攻 击 复 杂 度 :   用 来 描 述 攻 击 执 行 的 难 度 隐 蔽 性 :   衡 量 隐 藏 攻 击 证 据 的 能 力 攻 击 源   /   根 本 原 因 :   攻 击 者 应 该 尽 可 能 地 识 别 出 攻 击 的 根 源 脆 弱 性 :   被 攻 击 的 系 统 中 的 脆 弱 和 缺 陷   工 具 :   记 录 具 有 一 定 交 互 度 的 攻 击 工 具 关 于 对 蜜 罐 的 攻 击 的 讨 论 应 该 总 是 有 这 样 的 基 础 。 动 机 通 常 只 能 猜 测 ， 但 是 对 高 交 互 蜜 罐 的 动 作 可 能 会 揭 示 一 些 见 解 。 广 度 和 深 度 可 以 从 攻 击 频 率 、 攻 击 传 播 和 高 相 互 作 用 蜜 罐 通 过 感 染 的 程 度 推 断 出 。 低 交 互 蜜 罐 的 隐 藏 由 非 侵 入 性 、 持 续 性 攻 击 和 高 交 互 蜜 罐 被 安 装 的 后 门 、 捕 获 的 数 据 包 的 质 量 描 述 。 攻 击 源 通 常 可 以 通 过 事 务 元 信 息 来 确 定 ， 但 是 所 发 现 的 攻 击 的 根 本 原 因 可 能 更 难 以 识 别 ， 因 为 它 试 图 解 释 实 际 观 察 。 脆 弱 性 通 常 通 过 利 用 检 测 技 术 来 识 别 。 这 些 特 性 现 在 将 在 后 面 讨 论 。 0 × 0 2   攻 击 源 攻 击 源 : 如 果 攻 击 发 生 在 蜜 罐 上 ， 必 须 指 定 攻 击 来 自 哪 里 。 攻 击 者 的 识 别 独 立 于 蜜 罐 的 架 构 或 交 互 类 型 ， 并 且 可 以 用 不 同 的 粒 度 来 完 成 。
I P 地 址 或 者 I P 前 缀 A S 号 码   域 名 、 U R L 、 U R L 类 型   国 家 U I D 、 E m a i l   U s e r - A g e n t   操 作 系 统 然 而 ， 在 服 务 器 蜜 罐 的 情 况 下 ， 必 须 考 虑 他 们 可 能 已 经 接 收 到 欺 骗 的 I P 地 址 。 这 可 能 是 一 个 有 效 的 I P 地 址 与 可 达 或 不 可 达 的 主 机 ， 或 者 它 是 一 个 不 应 该 离 开 本 地 段 的 非 民 用 的 I P 地 址 ， 比 如 广 播 地 址 0 . 0 . 0 . 0 。 客 户 端 蜜 罐 通 常 使 用 网 址 列 表 生 成 ， 并 抓 取 新 网 址 。 这 些 U R L 背 后 的 资 源 可 能 是 离 线 的 。 此 外 ， 我 们 必 须 承 认 ， 这 种 标 识 符 是 非 常 可 变 的 。 I P 地 址 可 以 从 一 台 主 机 移 动 到 另 一 台 主 机 ， 因 为 I S P 使 用 I P 地 址 池 来 为 机 器 分 配 I P 地 址 。 这 就 是 为 什 么 一 些 分 析 将 I P 地 址 与 时 间 戳 组 合 在 一 起 并 将 攻 击 源 定 义 为 一 天 内 针 对 蜜 罐 环 境 的 I P 地 址 的 原 因 。 来 自 自 治 系 统 的 I P 前 缀 公 告 随 时 间 改 变 或 可 能 被 劫 持 。 域 名 系 统 固 有 地 允 许 从 I P 地 址 和 / 或 主 机 的 抽 象 ， 这 可 能 导 致 误 导 结 果 。 客 户 端 蜜 罐 （ 例 如 M o n k e y - S p i d e r ） 还 基 于 U R L 和 页 面 内 容 （ 例 如 成 人 内 容 ， 盗 版 ， 错 字 等 ） 执 行 某 种 类 型 的 U R L 分 类 。 该 国 家 可 以 从 A S 注 册 信 息 中 提 取 ， 或 者 一 些 （ 商 业 ） 第 三 方 产 品 已 经 用 于 检 索 数 据 。 然 而 ， 趋 势 表 明 ， 通 常 排 名 前 3 个 国 家 产 生 了 6 0 ％ 的 网 络 流 量 ， 哪 些 国 家 被 观 察 到 取 决 于 蜜 罐 节 点 的 地 理 位 置 。 用 于 识 别 即 时 消 息 传 递 网 络 中 的 垃 圾 邮 件 发 送 者 的 另 一 种 方 式 是 通 过 用 户 名 或 通 告 的 U R L 进 行 识 别 。 垃 圾 邮 件 发 送 者 倾 向 于 创 建 大 量 的 帐 户 ， 这 些 帐 户 分 发 许 多 不 同 的 U R L ， 然 而 它 们 只 引 导 / 重 定 向 到 一 小 部 分 网 站 。 有 一 种 很 小 的 关 联 存 在 与 垃 圾 邮 件 和 垃 圾 邮 件 发 件 人 之 间 ， 基 于 支 持 S I P   /   V o I P 协 议 的 蜜 罐 的 研 究 也 使 用 U s e r - A g e n t 的 名 称 作 为 攻 击 源 的 指 纹 。 该 信 息 可 由 具 有 这 种 协 议 标 签 的 任 何 协 议 使 用 ， 然 而 必 须 记 住 ， 这 样 的 信 息 可 以 被 省 略 并 且 容 易 地 欺 骗 。 为 了 推 断 攻 击 源 自 哪 一 种 操 作 系 统 ， 通 常 使 用 诸 如 p 0 f 带 的 被 动 操 作 系 统 指 纹 识 别 工 具 通 过 分 析 分 组 的 组 成 来 识 别 攻 击 操 作 系 统 ， 因 为 每 个 操 作 系 统 略 微 不 同 地 创 建 分 组 。 几 乎 所 有 的 攻 击 向 量 都 是 基 于 W i n d o w s 的 。 0 × 0 3   攻 击 目 标 攻 击 目 标 : 如 果 指 定 谁 攻 击 蜜 罐 ， 下 一 步 可 能 是 表 征 攻 击 ， 更 准 确 地 说 ， 必 须 确 定 攻 击 的 目 标 。 服 务 器 蜜 罐 通 过 特 定 服 务 对 目 标 进 行 分 类 ， 该 服 务 通 常 绑 定 到 专 用 端 口 。 端 口 序 列 由 I A N A 管 理 ， 并 可 在 官 方 列 表 中 查 看 。 但 是 ， 服 务 可 能 绑 定 到 另 一 个 端 口 。 因 此 ， 区 分 端 口 和 服 务 很 重 要 ， 因 为 入 侵 者 可 能 强 制 在 另 一 个 端 口 强 制 S S H 服 务 ， 这 可 以 在 非 2 2 端 口 上 创 建 和 使 用 S S H 服 务 来 对 服 务 器 进 行 操 作 。 大 多 数 时 候 ， 服 务 被 绑 定 到 默 认 端 口 以 提 高 可 达 性 ， 这 就 是 为 什 么 许 多 人 将 端 口 视 为 服 务 的 代 表 。 如 果 蜜 罐 监 控 整 个 网 络 ， 则 每 个 单 独 的 I P 地 址 可 以 被 看 作 是 目 标 标 识 符 。 这 样 的 网 络 可 以 详 细 分 类 到 校 园 网 ， 企 业 内 网 ， I S P 网 络 中 。 数 据 段 关 键 字 ： 数 据 段 关 键 字 ： I P 地 址 、 端 口 号 、 服 务 地 址 、 端 口 号 、 服 务 客 户 端 蜜 罐 使 用 软 件 客 户 端 ， 访 问 潜 在 的 恶 意 远 程 服 务 。 因 此 目 标 通 常 是 特 定 的 客 户 端 软 件 。 它 可 能 是 一 个 模 拟 的 W e b 浏 览 器 ， 用 于 低 交 互 蜜 罐 或 一 个 真 正 的 插 件 ， 如 F l a s h 的 高 交 互 蜜 罐 。 数 据 段 关 键 字 ： 客 户 端 软 件 、 插 件 软 件 数 据 段 关 键 字 ： 客 户 端 软 件 、 插 件 软 件 此 外 ， 高 交 互 蜜 罐 （ 客 户 端 和 服 务 器 ） 允 许 修 改 操 作 系 统 。 因 此 ， 必 须 分 析 O S 特 定 的 更 改 ， 需 要 注 意 分 析 这 些 数 据 可 能 会 因 系 统 而 不 同 。 对 于 L i n u x 系 统 ， 通 常 意 味 着 加 载 一 些 隐 藏 的 内 核 模 块 和 新 的 c r o n t a b ， 而 对 于 W i n d o w s 系 统 ， 一 般 非 法 的 更 改 会 集 中 在 注 册 表 、 系 统 文 件 和 自 动 启 动 条 目 。 因 此 ， 分 析 可 能 会 检 查 哪 个 操 作 系 统 最 好 受 到 攻 击 。 数 据 段 关 键 字 ： 操 作 系 统 及 其 组 件 数 据 段 关 键 字 ： 操 作 系 统 及 其 组 件
0 × 0 4   攻 击 频 率 攻 击 频 率 : 在 部 署 蜜 罐 时 必 须 回 答 的 一 个 基 本 问 题 是 ， 蜜 罐 是 否 受 到 攻 击 ？ 有 趣 的 是 ， 蜜 罐 在 被 激 活 几 分 钟 后 就 会 被 攻 击 。 然 而 ， 如 果 蜜 罐 可 以 从 互 联 网 访 问 ， 如 果 防 火 墙 阻 止 到 防 火 墙 的 所 有 传 入 连 接 ， 并 且 只 允 许 内 部 通 信 被 允 许 ， 很 少 观 察 到 攻 击 ， 因 为 它 们 将 必 须 来 自 该 特 定 网 络 中 的 被 感 染 的 主 机 ， 因 为 局 部 配 置 不 当 。         数 据 段 关 键 字 ： 首 次 攻 击 持 续 时 间 数 据 段 关 键 字 ： 首 次 攻 击 持 续 时 间 可 以 通 过 以 下 三 个 度 量 来 区 分 蠕 虫 攻 击 、 b o t n e t 攻 击 和 配 置 失 误   ( 1 )   时 间 源 计 数 ,   ( 2 )   窗 口 到 达 数 量   ( 3 )   到 达 间 隔 分 布 .   第 一 个 是 通 过 每 个 时 间 间 隔 的 源 的 数 量 来 分 析 并 且 显 示 出 不 同 的 模 式 。 蠕 虫 攻 击 显 示 具 有 陡 峭 的 开 始 和 结 束 的 后 勤 增 长 ， 因 为 它 们 非 常 快 速 和 自 主 地 传 播 并 且 通 过 补 丁 突 然 关 闭 。 b o t n e t 显 示 类 似 的 特 性 ， 然 而 b o t n e t 通 常 使 用 轮 询 和 拉 通 信 的 模 式 和 他 们 的 C ＆ C 中 控 服 务 器 使 用 每 隔 几 秒 的 唤 醒 时 间 来 进 行 链 接 ， 这 么 干 会 导 致 更 陡 峭 的 曲 线 。 到 达 窗 口 检 查 在 特 定 时 间 帧 中 有 多 少 新 源 已 到 达 。 使 用 累 积 分 布 函 数 （ C D F ） 图 可 以 发 现 这 些 事 件 之 间 没 有 差 异 。 为 了 评 估 源 到 达 特 性 ， 数 据 以 连 续 间 隔 被 分 解 ， 每 个 间 隔 具 有 相 等 数 量 的 源 （ 例 如 ， 每 个 具 有 1 0 ％ 的 新 源 的 1 0 个 间 隔 ） 。 然 后 绘 制 到 达 间 隔 时 间 的 分 布 。 僵 尸 攻 击 和 蠕 虫 攻 击 表 现 出 指 数 级 的 间 谍 。 此 外 ， 源 - 网 分 散 可 能 是 有 趣 的 。 蠕 虫 攻 击 的 爆 发 具 有 比 僵 尸 网 络 和 错 误 配 置 高 得 多 的 分 散 性 。 如 果 考 虑 I P 地 址 ， 则 可 以 对 从 每 个 A 类 地 址 聚 合 看 到 的 源 的 计 数 来 计 算 直 方 图 ， 然 而 可 以 使 用 其 他 聚 合 。 数 据 段 关 键 字 ： 单 位 时 间 内 攻 击 源 数 量 、 单 位 时 间 内 新 增 加 的 攻 击 源 数 量 数 据 段 关 键 字 ： 单 位 时 间 内 攻 击 源 数 量 、 单 位 时 间 内 新 增 加 的 攻 击 源 数 量   ( C D F ) 、 每 个 时 间 间 隔 内 给 攻 击 源 分 配 的 时 间 、 、 每 个 时 间 间 隔 内 给 攻 击 源 分 配 的 时 间 、 特 定 特 定 I P 段 中 的 攻 击 源 数 量 段 中 的 攻 击 源 数 量 组 合 攻 击 源 和 频 率 的 另 一 个 度 量 是 将 I P 地 址 的 数 量 作 为 每 个 地 址 的 攻 击 次 数 的 函 数 。 该 直 方 图 遵 循 幂 律 分 布 。 数 据 段 关 键 字 ： 每 次 攻 击 的 攻 击 源 数 量 数 据 段 关 键 字 ： 每 次 攻 击 的 攻 击 源 数 量 正 如 我 们 已 经 澄 清 的 术 语 攻 击 依 赖 于 使 用 的 蜜 罐 类 型 。 服 务 器 蜜 罐 将 任 何 通 信 评 估 为 恶 意 ， 因 此 低 交 互 服 务 器 蜜 罐 描 述 攻 击 频 率 必 然 基 于 网 络 属 性         数 据 段 关 键 字 ： 单 位 时 间 内 接 收 到 的 数 据 包 、 单 位 时 间 内 接 收 到 的 数 据 大 小 数 据 段 关 键 字 ： 单 位 时 间 内 接 收 到 的 数 据 包 、 单 位 时 间 内 接 收 到 的 数 据 大 小 测 量 显 示 ， 如 果 T C P 是 主 要 协 议 ， 则 分 组 大 小 相 对 恒 定 ， 因 此 接 收 分 组 和 每 个 时 间 单 位 的 数 据 之 间 的 比 率 是 可 预 测 的 。 攻 击 频 率 通 常 显 示 特 定 峰 值 ， 即 时 按 摩 垃 圾 邮 件 例 如 显 示 两 个 每 日 峰 值 和 一 个 如 果 在 每 周 的 规 模 观 察 。 此 外 ， 攻 击 频 率 的 峰 值 通 常 可 以 链 接 到 单 个 服 务 ， 蠕 虫 活 动 等 ， 这 在 该 特 定 时 间 点 被 大 量 利 用 。 数 据 段 关 键 字 ： 单 位 时 间 内 收 到 的 消 息 数 据 段 关 键 字 ： 单 位 时 间 内 收 到 的 消 息 / E m a i l 、 单 位 时 间 内 接 收 到 的 、 单 位 时 间 内 接 收 到 的 U R L / 附 件 、 每 个 消 息 的 数 据 大 小 附 件 、 每 个 消 息 的 数 据 大 小 对 于 高 交 互 式 服 务 器 蜜 罐 ， 适 用 相 同 的 指 标 ， 但 是 可 以 通 过 操 作 系 统 特 定 的 指 标 进 行 扩 展 ： 数 据 段 关 键 字 ： 单 位 时 间 内 的 数 据 段 关 键 字 ： 单 位 时 间 内 的 E X P 利 用 利 用 由 于 蜜 罐 的 客 户 端 只 负 责 统 计 攻 击 数 量 ， 所 以 应 当 独 立 于 其 交 互 级 别 和 每 时 间 单 位 的 E X P 数 量 ， 并 且 在 它 们 主 动 开 始 通 信 时 不 考 虑 攻 击 频 率 的 网 络 特 征 。 这 意 味 着 ， 它 是 预 配 置 在 哪 个 速 率 的 客 户 端 蜜 罐 进 行 通 信 请 求 。 所 以 只 考 虑 利 用 。 使 用 的 另 一 个 过 程 是 数 据 的 会 话 化 。 在 一 个 时 间 帧 内 从 同 一 源 接 收 的 或 不 触 发 超 时 的 所 有 分 组 应 该 属 于 同 一 攻 击 会 话 。   2 4 小 时 帧 或 3 0 分 钟 超 时 是 常 见 的 。 此 外 ， 可 以 检 查 攻 击 发 生 与 下 一 次 攻 击 之 间 的 时 间 。 该 度 量 的 概 率 密 度 函 数 （ P D F ） 遵 循 一 个 严 格 的 幂 律 ， 并 且 可 以 通 过 帕 雷 托 和 指 数 分 布 的 混 合 来 建 模 。 源 的 生 命 周 期 可 以 被 描 述 为 我 们 看 到 源 在 蜜 罐 上 活 动 的 完 整 时 间 ， 这 意 味 着 它 是 从 源 的 第 一 次 发 生 到 持 续 活 动 的 时 间 跨 度 ， 并 且 可 以 包 括 若 干 会 话 。 僵 尸 网 络 和 错 误 配 置 导 致 生 命 周 期 短 ， 然 而 蠕 虫 证 明 是 持 久 的 ， 因 为 它 们 经 常 错 过 停 止 扫 描 的 机 制 。 如 果 定 期 观 察 到 特 定 源 （ 意 味
着 它 具 有 频 繁 的 会 话 或 一 个 长 期 进 行 的 会 话 ） ， 则 它 是 一 个 存 活 时 间 较 长 的 源 。 基 于 I D S 分 类 来 区 分 它 们 的 会 话 ： 到 触 发 I D S 警 报 的 蜜 罐 的 所 有 业 务 数 据 被 标 记 为 已 知 的 攻 击 会 话 ， 以 s h e l l c o d e 的 传 输 结 束 但 不 触 发 I D S 警 报 的 所 有 业 务 数 据 是 未 知 的 攻 击 会 话 。 会 话 之 间 的 时 间 也 值 得 考 虑 ， 因 为 它 显 示 活 动 会 话 之 间 的 暂 停 。 数 据 段 关 键 字 ： 单 位 时 间 内 的 数 据 段 关 键 字 ： 单 位 时 间 内 的 S e s s i o n 数 量 、 数 量 、 S e s s i o n 的 持 续 时 间 、 两 个 的 持 续 时 间 、 两 个 S e s s i o n 的 时 间 间 隔 、 源 生 命 周 期 、 单 位 时 间 内 已 知 或 的 时 间 间 隔 、 源 生 命 周 期 、 单 位 时 间 内 已 知 或 未 知 的 攻 击 未 知 的 攻 击 S e s s i o n 它 们 使 用 端 口 的 对 数 标 度 将 目 标 端 口 绘 制 为 时 间 的 函 数 。 日 志 规 模 是 一 个 优 势 ， 因 为 大 多 数 攻 击 发 生 在 较 小 的 公 知 端 口 。 该 曲 线 显 示 跨 越 离 散 级 别 的 跳 跃 ， 表 示 用 于 S S H ， S M B 等 的 众 所 周 知 的 端 口 的 端 口 。 类 似 于 会 话 的 符 号 是 流 。 基 本 流 基 于 基 本 I P 流 ， 并 且 由 源 和 目 的 地 I P 地 址 ， 源 和 目 的 地 端 口 ， 协 议 类 型 组 成 的 5 元 组 来 描 述 。 攻 击 频 率 还 可 以 通 过 基 本 流 的 发 生 来 描 述 ： 如 果 分 组 与 任 何 关 键 字 字 段 的 另 一 个 分 组 不 同 或 者 在 超 时 之 后 到 达 ， 则 认 为 它 属 于 另 一 个 流 。 因 此 ， 流 是 比 会 话 更 严 格 的 要 求 。 活 动 流 是 基 于 源 I P 地 址 的 基 本 流 的 聚 合 ， 只 有 基 本 流 之 间 的 到 达 时 间 的 超 时 。 因 此 ， 它 们 类 似 于 会 话 的 定 义 。 数 据 段 关 键 字 ： 单 位 时 间 内 的 数 据 流 数 量 、 单 位 时 间 内 活 动 的 数 据 流 的 数 量 数 据 段 关 键 字 ： 单 位 时 间 内 的 数 据 流 数 量 、 单 位 时 间 内 活 动 的 数 据 流 的 数 量 0 × 0 5   攻 击 演 进 攻 击 演 进 : 如 果 我 们 观 察 特 定 源 ， 端 口 ， 国 家 等 的 某 些 时 间 模 式 ， 自 动 检 测 其 异 常 行 为 可 能 是 重 要 的 ， 因 为 那 些 异 常 可 能 标 记 重 要 事 件 。 这 意 味 着 ， 我 们 想 学 习 ， 正 常 的 行 为 是 什 么 ， 并 发 现 如 果 这 个 正 常 的 行 为 改 变 。 一 种 可 能 的 方 法 是 计 算 不 同 时 间 集 合 的 比 率 ， 并 且 比 较 不 同 天 数 或 平 均 比 率 的 那 些 值 。 这 个 方 法 对 于 识 别 仅 在 特 定 时 间 尺 度 上 可 见 的 时 间 趋 势 是 有 用 的 。 良 好 的 时 间 粒 度 的 选 择 取 决 于 所 研 究 的 攻 击 现 象 的 种 类 ： 对 于 短 的 高 强 度 攻 击 ， 例 如 僵 尸 网 络 探 测 器 或 闪 存 蠕 虫 ， 应 用 较 小 的 时 间 单 位 可 能 更 有 用 ， 而 对 于 具 有 更 隐 秘 的 传 播 的 蠕 虫 方 案 应 该 使 用 更 大 的 时 间 单 位 。 0 × 0 6   攻 击 传 播 攻 击 传 播 : 除 了 以 孤 立 的 方 式 分 析 攻 击 活 动 之 外 ， 还 应 当 尝 试 识 别 跨 多 个 蜜 罐 的 攻 击 的 传 播 ， 如 果 部 署 大 的 蜜 蜂 。 当 在 一 个 平 台 上 观 察 到 一 个 攻 击 I P 地 址 ， 然 后 在 另 一 个 平 台 上 观 察 时 ， 就 会 发 生 传 播 。 由 于 I P 地 址 池 ， 此 检 查 是 否 会 在 特 定 时 间 范 围 内 发 生 ， 以 获 得 更 精 确 的 结 果 。 已 经 早 期 分 布 的 蜜 罐 分 析 表 明 ， 从 不 同 的 I P 子 网 和 不 同 的 地 理 位 置 部 署 大 量 的 蜜 罐 是 有 益 的 [ 4 0 ] ， 因 为 它 更 可 能 发 现 攻 击 ， 本 地 事 件 可 以 表 征 为 这 样 和 传 播 可 以 描 绘 跨 目 标 的 攻 击 者 。 传 播 可 以 通 过 传 播 图 来 建 模 ， 其 中 节 点 表 示 单 个 蜜 罐 ， 边 （ i ;   j ） 描 述 在 节 点 i 也 在 节 点 j 处 发 现 所 看 到 的 I P 地 址 的 概 率 。 然 而 ， 如 果 不 在 同 一 子 网 中 ， 节 点 往 往 显 示 低 的 传 播 值 。 数 据 段 关 键 字 ： 传 播 图 数 据 段 关 键 字 ： 传 播 图 类 似 的 ， 还 可 以 通 过 单 维 相 关 和 二 维 相 关 的 攻 击 的 传 播 。 如 果 在 至 少 两 个 传 感 器 上 观 察 到 攻 击 起 源 ， 则 单 维 相 关 聚 集 来 自 相 同 起 点 的 攻 击 。 通 过 两 个 可 视 化 分 析 这 种 相 关 性 。 首 先 ， 创 建 具 有 用 于 所 有 蜜 罐 和 观 察 到 的 攻 击 者 的 节 点 的 有 向 图 。 有 向 边 表 示 对 蜜 罐 的 攻 击 ， 这 意 味 着 多 个 边 缘 到 不 同 的 传 感 器 标 记 攻 击 者 在 几 个 蜜 罐 上 的 存 在 。 其 次 ， 计 算 在 各 种 蜜 罐 上 观 察 到 的 独 特 攻 击 者 的 比 率 。   在 两 个 以 上 的 传 感 器 的 存 在 是 非 常 不 可 能 的 攻 击 者 。 二 维 相 关 包 括 作 为 附 加 维 度 的 时 间 ， 这 意 味 着 必 须 在 特 定 时 间 帧 内 在 至 少 两 个 传 感 器 上 观 察 到 相 互 攻 击 。 如 已 经 讨 论 的 ， 由 于 I P 地 址 池 ， 该 时 间 帧 应 当 低 于 一 天 。 国 外 的 安 全 专 家 认 为 ， 互 联 网 范 围 的 扫 描 在 过 去 几 年 中 得 到 了 显 着 的 改 进 ： 像 Z M a p 这 样 的 工 具 能 够 在 大 约 1 小 时 内 对 每 个 主 机 用 一 个 探 测 器 对 一 个 端 口 执 行 I P v 4 地 址 空 间 的 完 整 扫 描 。 因 此 ， 为 了 找 到 强 关 系 ， 可 以 将 时 间 框 架 设 置 为 1 小 时 甚 至 更 低 。 最 后 ， 他 们 使 用 散 点 图 ， 使 用 一 小 时 的 时 隙 ， 并 绘 制 出 存 在 于 多 个 传 感 器 上 的 唯 一 攻 击 者 的 数 量 ， 此 外 ， 颜 色 表 示 攻 击 者 存 在 多 少 传 感 器 。 他 们 的 观 察 表 明 ， 至 少 有 一 个 独 特 的 攻 击 者 针 对 每 个 时
隙 多 个 传 感 器 。 数 据 段 关 键 字 ： 攻 击 图 、 特 殊 攻 击 者 与 目 标 传 感 器 数 量 的 比 率 、 与 每 个 时 隙 的 目 标 相 关 的 唯 一 共 同 攻 击 者 的 数 量 数 据 段 关 键 字 ： 攻 击 图 、 特 殊 攻 击 者 与 目 标 传 感 器 数 量 的 比 率 、 与 每 个 时 隙 的 目 标 相 关 的 唯 一 共 同 攻 击 者 的 数 量 相 位 图 还 可 以 用 于 可 视 化 连 续 目 标 ， 显 示 下 一 个 目 标 作 为 特 定 量 的 攻 击 样 本 的 最 后 目 标 的 函 数 。 顺 序 I P 地 址 扫 描 将 在 此 可 视 化 中 显 示 为 直 对 角 线 。 相 图 还 可 以 可 视 化 覆 盖 ， 这 是 特 定 源 的 探 测 的 蜜 网 I P 地 址 的 数 量 。 全 覆 盖 可 以 被 识 别 为 水 平 线 。 数 据 段 关 键 字 ： 连 续 攻 击 目 标 的 相 位 图 、 特 定 源 的 相 位 图 数 据 段 关 键 字 ： 连 续 攻 击 目 标 的 相 位 图 、 特 定 源 的 相 位 图 对 不 同 目 标 的 攻 击 可 以 通 过 目 标 网 络 扫 描 占 用 空 间 可 视 化 ， 该 占 用 空 间 是 计 数 所 有 攻 击 目 标 的 攻 击 源 数 量 的 图 表 。 显 然 ， 如 果 部 署 许 多 蜜 罐 或 将 整 个 子 网 重 定 向 到 蜜 罐 ， 这 种 可 视 化 效 果 最 好 。 错 误 配 置 往 往 显 示 热 点 ， 蠕 虫 攻 击 和 b o t n e t 导 致 均 匀 分 布 的 模 式 。 此 外 ， 第 一 目 的 地 的 偏 好 可 能 是 有 趣 的 分 析 ， 因 为 这 可 能 揭 示 在 通 过 蠕 虫 和 机 器 人 扫 描 子 网 的 一 些 顺 序 。 数 据 段 关 键 字 ： 目 标 网 络 扫 描 范 围 、 第 一 目 标 参 考 （ 数 据 段 关 键 字 ： 目 标 网 络 扫 描 范 围 、 第 一 目 标 参 考 （ P D F ） ） 0 × 0 7   攻 击 模 式 攻 击 模 式 :   许 多 数 据 挖 掘 任 务 的 一 般 概 念 ， 如 通 用 模 式 检 测 和 聚 类 ， 涉 及 以 下 过 程 具 有 三 个 步 骤 ： 1 )   特 征 选 择 / 提 取 ， 模 式 表 示 2 )   适 合 于 数 据 域 的 模 式 接 近 度 量 的 定 义 3 )   相 似 分 组 模 式 第 一 步 包 括 提 取 表 征 数 据 集 的 相 关 方 面 的 某 些 特 征 ， 并 用 适 当 的 装 置 （ 例 如 值 的 数 组 ） 表 示 它 们 。 模 式 的 分 组 或 聚 类 通 过 诸 如 K 均 值 算 法 的 聚 类 算 法 来 完 成 。 不 幸 的 是 ， 模 式 检 测 的 规 则 不 能 为 所 有 数 据 类 型 提 供 直 接 的 方 法 。 不 是 每 个 算 法 都 可 以 处 理 所 有 的 簇 形 状 或 大 小 ， 并 且 运 行 时 或 输 出 质 量 可 能 在 不 同 的 数 据 维 度 和 类 型 上 严 重 不 同 。 不 同 的 聚 类 算 法 产 生 不 同 的 数 据 分 区 ， 甚 至 相 同 的 聚 类 算 法 依 赖 于 其 初 始 化 和 可 配 置 参 数 。 事 实 上 ， 模 式 检 测 的 真 正 技 能 是 选 择 适 当 的 聚 类 算 法 （ 和 相 似 性 度 量 ） ， 因 为 存 在 数 百 个 聚 类 算 法 。 这 就 是 为 什 么 我 们 在 蜜 罐 攻 击 模 式 检 测 领 域 看 到 这 么 多 不 同 的 方 法 ， 也 是 任 何 其 他 聚 类 学 科 的 原 因 。 网 络 流 量 聚 类 和 异 常 检 测 的 问 题 不 是 一 个 新 的 学 科 ， 已 经 被 广 泛 研 究 。 方 法 通 常 结 合 入 侵 检 测 系 统 ， 统 计 （ 例 如 移 动 平 均 模 型 ， 主 成 分 分 析 ） 或 数 据 挖 掘 和 无 监 督 机 器 学 习 （ 例 如 分 层 聚 类 ， K N N 聚 类 ） 来 利 用 基 于 签 名 的 方 法 。 然 而 ， 在 蜜 罐 业 务 分 析 领 域 只 做 了 一 些 明 确 的 研 究 。 因 此 ， 我 们 专 注 于 有 效 地 部 署 和 / 或 分 析 蜜 罐 和 蜜 罐 流 量 的 生 成 日 子 。   P o u g e t 应 用 广 泛 的 关 联 规 则 挖 掘 过 程 来 找 到 观 察 到 的 事 件 之 间 有 趣 的 关 系 和 模 式 。 利 用 关 联 规 则 的 诱 导 ， 尝 试 找 到 经 常 一 起 发 生 的 项 目 集 合 ， 即 事 件 ， 端 口 号 ， I P 地 址 等 。 它 源 于 客 户 行 为 分 析 ， 其 试 图 基 于 集 合 购 买 的 项 目 集 来 推 荐 产 品 。 这 意 味 着 关 联 规 则 R 声 明 如 果 我 们 看 到 特 定 动 作 a 和 b ， 我 们 可 以 有 信 心 ， 用 百 分 比 量 化 ， 也 将 观 察 到 动 作 c ： a ∩ b = >   c 。 应 用 的 度 量 是 支 持 和 置 信 度 。 支 持 是 包 含 规 则 的 所 有 项 目 和 所 有 事 务 的 事 务 数 之 间 的 比 率 。 置 信 度 是 包 括 规 则 的 所 有 项 目 和 包 含 前 提 的 事 务 的 数 量 之 间 的 比 率 。 规 则 应 具 有 最 小 支 持 阈 值 ， 以 便 只 找 到 有 意 义 的 规 则 。 通 过 比 较 时 间 行 为 的 相 似 性 ， 我 们 会 发 现 只 有 三 种 模 式 的 攻 击 1 )   连 续 活 动 2 )   持 续 爆 发 3 )   短 暂 峰 值 特 别 地 ， 短 暂 的 尖 峰 可 以 导 致 假 相 似 性 测 量 ， 因 为 字 母 表 的 符 号 由 于 标 准 化 过 程 而 相 对 地 选 择 。
这 意 味 着 仅 具 有 几 个 尖 峰 和 许 多 零 或 非 常 小 的 值 的 时 间 模 式 具 有 接 近 零 的 平 均 值 。   S A X 计 算 高 相 似 度 ， 因 为 所 有 这 些 值 仅 由 一 个 符 号 表 示 。 然 而 ， 相 似 性 不 是 这 样 的 。 因 此 ， 全 局 和 局 部 相 似 性 度 量 是 必 要 的 。 国 外 研 究 员 提 出 了 一 种 在 人 眼 上 容 易 检 测 到 的 蜜 罐 上 的 攻 击 模 式 。 它 不 是 基 于 统 计 方 法 ， 而 是 呈 现 以 直 观 的 方 式 实 时 观 察 网 络 流 量 信 息 以 用 于 监 视 或 在 回 放 模 式 中 进 行 取 证 。 它 是 动 画 散 点 图 和 平 行 坐 标 图 的 组 合 。 左 垂 直 线 表 示 源 I P 地 址 ， 0 . 0 . 0 . 0 在 底 部 ， 2 5 5 . 2 5 5 . 2 5 5 . 2 5 5 在 顶 部 。 右 垂 直 线 表 示 目 的 端 口 ， 端 口 0 在 底 部 ， 端 口 6 5 5 3 5 在 顶 部 。 彩 色 线 连 接 那 些 垂 直 线 ， 每 个 分 组 一 行 。 U D P 数 据 包 由 蓝 色 链 接 可 视 化 ， T C P 数 据 包 由 绿 色 链 接 可 视 化 。 每 个 包 也 触 发 两 个 条 ， 其 高 度 表 示 包 大 小 。 当 包 变 老 时 ， 条 从 竖 线 移 开 。   可 视 化 对 于 可 视 化 入 站 和 出 站 流 量 是 有 用 的 ， 并 且 能 够 突 出 流 量 比 特 率 ， 常 见 攻 击 端 口 和 来 源 或 模 式 （ 如 重 复 发 生 的 蠕 虫 攻 击 ） 的 差 异 。 使 用 主 成 分 分 析 （ P C A ） 来 分 离 潜 在 的 活 动 组 ， 并 从 聚 类 组 中 查 找 异 常 值 。   P C A 是 一 种 多 元 统 计 技 术 ， 用 于 将 数 据 集 的 维 数 减 少 为 几 个 线 性 不 相 关 变 量 ， 称 为 主 成 分 。 最 新 的 蜜 罐 攻 击 分 析 的 方 法 是 使 用 无 监 督 的 机 器 学 习 方 法 并 应 用 鲁 棒 的 聚 类 技 术 。 最 终 ， 此 方 法 将 基 于 集 群 自 动 创 建 签 名 。 这 种 分 析 建 立 在 一 个 通 用 的 算 法 ， 应 用 于 识 别 生 产 流 量 的 异 常 ， 并 改 变 为 工 作 在 服 务 器 蜜 罐 流 量 。 研 究 员 旨 在 通 过 分 而 治 之 方 法 子 空 间 聚 类 （ S S C ） 和 聚 类 集 合 的 概 念 来 提 高 聚 类 算 法 的 鲁 棒 性 。 国 外 研 究 员 已 经 证 明 了 经 典 数 据 挖 掘 和 监 督 分 类 方 法 在 使 用 公 认 的 k 最 近 邻 （ K N N ） 算 法 ， 神 经 网 络 和 决 策 树 的 蜜 罐 数 据 对 数 分 析 中 的 有 效 性 。 这 种 分 析 的 目 的 是 区 分 互 联 网 噪 声 ， 如 无 意 或 已 知 的 网 络 流 量 ， 异 常 和 真 实 攻 击 。 因 此 ， 他 们 的 设 置 不 仅 包 括 标 记 为 攻 击 的 蜜 罐 流 量 ， 而 且 包 括 标 记 为 正 常 的 生 产 流 量 。 两 种 流 量 类 型 都 用 于 支 持 学 习 过 程 并 对 流 量 进 行 分 类 。 K N N 使 用 简 单 的 分 类 原 则 ： 对 于 未 知 类 的 数 据 的 每 个 实 例 ， 计 算 与 已 知 类 的 数 据 的 距 离 ， 并 且 k 个 最 近 邻 居 通 过 多 数 投 票 决 定 为 未 知 元 素 选 择 哪 个 类 。 人 工 神 经 网 络 是 由 称 为 神 经 元 的 单 个 处 理 单 元 组 成 的 计 算 结 构 。 存 在 不 同 形 式 的 神 经 网 络 ， 然 而 众 所 周 知 的 和 常 用 的 模 型 是 多 层 感 知 器 （ M L P ） 。 M L P 利 用 称 为 反 向 传 播 的 监 督 学 习 技 术 来 训 练 网 络 并 且 由 有 向 图 中 的 多 层 神 经 元 组 成 。 决 策 树 是 机 器 学 习 算 法 ， 其 执 行 将 原 始 数 据 集 连 续 分 割 成 连 续 更 均 匀 的 子 组 。 决 策 树 中 的 每 个 节 点 都 类 似 于 分 区 决 策 。 因 此 ， 决 策 树 越 高 ， 聚 类 的 细 节 水 平 越 高 。 对 于 可 疑 或 正 常 的 流 量 的 最 简 单 的 分 类 ， K N N 算 法 太 慢 而 不 能 产 生 合 理 的 结 果 ， 神 经 网 络 表 现 良 好 并 产 生 良 好 的 结 果 ， 然 而 具 有 相 当 高 的 假 阴 性 份 额 。 决 策 树 最 好 地 执 行 并 产 生 正 确 的 结 果 ， 具 有 很 少 的 假 阳 性 和 适 度 数 量 的 假 阴 性 。 H o n e y c o m b 是 最 着 名 的 H o n e y D 插 件 之 一 ， 并 使 用 最 长 的 公 共 子 串 （ L C S ） 算 法 扫 描 传 入 的 流 量 以 检 测 包 P a y l o a d 中 的 重 复 模 式 。 此 实 现 基 于 后 缀 树 ， 后 缀 树 用 作 各 种 字 符 串 算 法 的 构 建 块 。 使 用 后 缀 树 ， 两 个 字 符 串 的 最 长 公 共 子 串 可 以 直 接 在 线 性 时 间 中 找 到 。 例 如 ， 可 以 使 用 U k k o n e n 的 算 法 来 生 成 后 缀 树 。 H o n e y c o m b 执 行 协 议 分 析 ， 其 通 过 网 络 和 传 输 层 报 头 信 息 （ I P 地 址 或 端 口 ） 对 流 量 进 行 排 序 。 之 后 ， L C S 以 两 种 不 同 的 方 式 应 用 ： 垂 直 模 式 检 测 为 两 个 连 接 将 传 入 的 消 息 分 别 连 接 到 一 个 字 符 串 ， 然 后 比 较 结 果 字 符 串 。 水 平 模 式 检 测 比 较 两 个 连 接 在 对 话 中 相 同 深 度 的 两 个 消 息 ， 这 意 味 着 L C S 被 应 用 于 第 n 个 消 息 。 抽 样 是 从 统 计 群 体 中 选 择 个 体 的 子 集 以 估 计 总 体 特 征 的 过 程 。 连 接 采 样 可 以 通 过 减 少 带 宽 和 内 存 需 求 来 极 大 地 有 益 于 分 析 ， 这 最 终 提 高 了 可 扩 展 性 。 有 些 研 究 已 经 表 明 ， 来 自 蜜 罐 数 据 的 子 集 性 质 能 够 描 述 整 体 数 据 的 趋 势 和 模 式 ， 例 如 找 到 攻 击 者 。 通 过 两 种 方 法 减 少 数 据 集 。 第 一 种 方 法 选 择 随 机 流 和 计 数 相 关 的 数 据 包 。 第 二 种 方 法 仅 考 虑 观 察 网 络 的 子 网 。 0 × 0 8   攻 击 根 源 识 别 攻 击 根 源 识 别 :   攻 击 根 本 原 因 可 以 被 定 义 为 可 以 被 合 理 地 识 别 为 攻 击 起 源 的 最 基 本 的 原 因 。 根 本 原 因 可 以 与 特 定 攻 击 工 具 或 其 变 体 或 配 置 之 一 相 关 联 。 蜜 罐 数 据 分 析 的 主 要 任 务 之 一 是 将 集 群 和 已 识 别 的 模 式 分 配 给 根 本 原 因 。 然 而 ， 这 不 一 定 是 一 对 一 关 系 ， 因 为 难 以 保 证 所 发 现 的 集 群 仅 由 一 个 攻 击 工 具 引 起 ， 并 且 一 个 攻 击 工 具 不 会 引 起 两 个 集 群 ， 例 如 通
过 不 同 的 攻 击 配 置 。 最 终 ， 一 个 集 群 应 始 终 在 其 形 成 中 保 持 可 解 释 。 在 可 以 将 集 群 分 配 给 攻 击 根 本 原 因 之 前 ， 必 须 验 证 集 群 的 一 致 性 ， 即 如 果 我 们 发 现 良 好 （ 或 者 说 是 有 意 义 的 ） 集 群 。 毫 无 疑 问 ， 不 同 的 攻 击 可 以 在 同 一 端 口 上 创 建 相 同 数 量 的 数 据 包 ， 因 此 对 事 务 数 据 的 纯 统 计 分 析 可 能 是 不 够 的 。 确 定 相 干 性 的 一 种 可 能 方 式 是 通 过 考 虑 分 组 数 据 内 容 。 从 一 个 攻 击 源 发 送 的 所 有 数 据 包 的 有 效 载 荷 可 以 转 换 为 字 符 串 并 连 接 。 这 创 建 了 攻 击 指 纹 ， 然 后 可 以 通 过 比 较 指 纹 与 简 单 的 字 符 串 距 离 测 量 来 检 查 集 群 一 致 性 。 多 态 攻 击 是 能 够 随 着 每 个 实 例 改 变 其 外 观 的 攻 击 。 因 此 ， 多 态 性 蠕 虫 对 蜜 罐 模 式 检 测 ， 更 具 体 地 对 根 本 原 因 识 别 提 出 了 很 大 的 挑 战 ， 因 为 蠕 虫 可 能 改 变 用 于 利 用 漏 洞 的 攻 击 向 量 ， 或 者 攻 击 主 体 可 能 由 于 垃 圾 插 入 ， 加 密 ， 指 令 重 排 序 等 而 改 变 。 因 此 ， 基 于 子 字 符 串 和 字 符 串 的 方 法 ， 如 L C S ， 是 不 够 的 。 存 在 不 同 的 方 法 ， 然 而 它 们 的 研 究 基 于 相 互 前 提 ， 即 尽 管 多 态 性 ， 蠕 虫 必 须 具 有 一 些 不 变 的 子 字 符 串 。 事 实 上 ， 存 在 这 样 的 常 量 ， 并 且 必 须 找 到 可 用 于 分 类 的 有 意 义 的 字 符 串 。 国 内 的 安 全 研 究 员 提 出 了 双 蜜 罐 的 设 计 作 为 蠕 虫 的 对 策 。 这 个 系 统 的 新 颖 性 是 能 够 区 分 蠕 虫 活 动 和 蜜 罐 上 的 非 攻 击 行 为 ， 例 如 错 误 配 置 。 这 个 系 统 由 两 个 独 立 的 蜜 罐 阵 列 组 成 ， 入 站 数 组 由 高 交 互 蜜 罐 组 成 ， 允 许 妥 协 ， 而 出 站 数 组 由 低 交 互 蜜 罐 组 成 。 如 果 受 损 的 入 站 蜜 罐 尝 试 查 找 并 感 染 其 他 受 害 者 ， 则 由 蜜 罐 发 起 的 所 有 传 出 流 量 将 由 网 络 转 换 器 重 定 向 到 出 站 阵 列 。 如 果 其 中 一 个 出 站 蜜 罐 可 以 看 到 网 络 流 量 ， 那 么 肯 定 会 出 现 入 站 蜜 罐 的 被 攻 陷 。 扩 展 这 项 工 作 ， 国 外 的 安 全 研 究 员 提 出 了 双 蜜 罐 系 统 来 解 决 同 时 部 署 两 个 蜜 罐 的 一 些 局 限 性 。 双 蜜 罐 系 统 是 仅 由 服 务 器 高 交 互 蜜 罐 组 成 的 两 个 蜜 罐 的 组 合 。 分 配 攻 击 根 本 原 因 的 另 一 种 方 式 是 通 过 确 定 使 用 哪 个 攻 击 工 具 传 达 攻 击 。 这 可 以 通 过 分 析 端 口 序 列 或 T C P 初 始 序 列 号 （ I S N ） 来 完 成 。 数 据 段 关 键 字 ： 数 据 段 关 键 字 ： T C P 初 始 序 列 号 、 端 口 序 列 号 初 始 序 列 号 、 端 口 序 列 号 一 些 攻 击 工 具 总 是 使 用 相 同 的 I S N 或 具 有 低 熵 的 坏 随 机 数 生 成 器 ， 这 使 得 可 以 向 特 定 攻 击 工 具 分 配 一 些 I S N 。 此 外 ， 蜜 罐 接 收 反 向 散 射 分 组 ， 其 是 对 欺 骗 的 S Y N 分 组 的 S Y N - A C K 响 应 ， 因 此 拥 有 I S N   +   1 。 同 样 ， 这 些 是 典 型 的 I S N ， 可 以 链 接 到 特 定 的 工 具 。 端 口 序 列 分 析 用 来 显 示 对 蜜 罐 的 频 繁 / 重 复 攻 击 创 建 大 量 的 数 据 ， 如 果 应 用 一 般 统 计 ， 这 可 能 导 致 误 导 结 果 。 然 而 ， 仔 细 观 察 端 口 序 列 可 以 揭 示 一 些 隐 藏 的 现 象 。 端 口 序 列 是 没 有 重 复 的 端 口 的 按 时 间 排 序 的 序 列 ， 表 示 攻 击 源 （ P o u g e t 的 超 时 为 1 天 的 I P 地 址 ） 向 特 定 端 口 发 送 数 据 包 的 顺 序 ， 例 如 ： 攻 击 者 发 送 T C P 请 求 到 端 口 1 3 5   ， 再 次 在 1 3 5 ， 然 后 在 端 口 4 4 4 4 创 建 一 个 从 4 4 4 4 到 1 3 5 的 T C P 连 接 。 可 以 为 单 个 蜜 罐 或 多 个 蜜 罐 上 的 监 视 器 创 建 端 口 序 列 。 初 步 结 果 表 明 每 个 序 列 通 常 仅 限 于 一 个 端 口 ， 并 且 表 示 为 一 组 的 端 口 序 列 几 乎 由 该 集 合 唯 一 地 标 识 ， 然 而 由 于 一 些 罕 见 的 情 况 ， 有 序 序 列 是 最 好 的 。 国 外 的 专 家 观 察 到 比 唯 一 目 标 端 口 多 两 倍 的 端 口 序 列 。 分 布 类 似 于 其 他 度 量 ， 因 为 前 8 个 序 列 已 经 表 征 了 大 约 7 5 ％ 的 攻 击 的 活 动 。 这 些 结 果 推 动 了 进 一 步 深 入 调 查 。 在 缓 冲 区 溢 出 期 间 ， 指 令 计 数 器 （ E I P ） 被 覆 盖 一 个 新 的 返 回 地 址 ， 在 该 地 址 可 以 假 定 s h e l l 代 码 。 此 外 ， 诸 如 A r g o s 之 类 的 蜜 罐 跟 踪 指 令 计 数 器 （ 产 生 故 障 的 E I P ） 的 先 前 值 ， 该 值 是 在 利 用 攻 击 控 制 之 前 的 最 后 一 个 合 法 指 令 。 评 估 显 示 ， E I P 和 引 发 故 障 的 E I P 的 值 是 漏 洞 利 用 工 具 和 操 作 系 统 对 的 特 征 。 然 而 ， 这 种 分 析 可 能 由 于 主 动 地 址 空 间 随 机 化 算 法 的 存 在 而 产 生 较 大 的 偏 差 。 数 据 段 关 键 字 ： 数 据 段 关 键 字 ： E I P 和 引 发 故 障 的 和 引 发 故 障 的 E I P 使 用 不 同 的 受 损 机 器 来 执 行 计 划 的 攻 击 的 各 个 阶 段 。 这 意 味 着 ， 单 个 攻 击 者 会 在 蜜 罐 上 的 不 同 机 器 上 导 致 不 同 的 攻 击 模 式 。 此 外 ， 在 某 些 高 交 互 蜜 罐 上 也 存 在 这 种 现 象 。 有 两 组 攻 击 机 ： 第 一 组 专 门 用 于 扫 描 主 机 和 执 行 字 典 攻 击 。
如 果 它 们 成 功 ， 通 常 一 天 后 ， 第 二 组 的 机 器 出 现 。 该 组 在 I P 地 址 方 面 与 第 一 组 没 有 交 集 ， 地 理 查 找 甚 至 揭 示 不 同 的 国 家 。 登 录 后 ， 第 二 台 计 算 机 尝 试 运 行 自 己 的 服 务 或 获 取 r o o t 访 问 权 限 。 有 趣 的 是 ， 比 较 低 和 高 交 互 蜜 罐 数 据 集 之 间 的 攻 击 源 表 明 ， 相 互 I P 地 址 仅 来 自 扫 描 组 ， 第 二 个 入 侵 组 也 不 会 出 现 在 低 交 互 蜜 罐 上 。 一 般 来 说 ， 攻 击 根 本 原 因 识 别 需 要 一 个 良 好 的 黑 工 具 知 识 或 最 近 参 与 安 全 页 面 和 邮 件 页 面 ， 通 常 上 报 给 C V E 。 这 就 是 为 什 么 可 能 真 的 很 难 分 配 蜜 罐 攻 击 集 群 到 已 知 的 攻 击 工 具 。 此 外 ， 由 于 蠕 虫 的 复 杂 性 日 益 增 加 ， 因 此 有 必 要 进 行 有 效 载 荷 分 析 （ 字 节 序 列 ， s h e l l c o d e 命 令 等 ） 而 不 是 纯 统 计 评 估 和 仅 仅 检 测 利 用 。 蜜 罐 仍 然 用 于 收 集 蠕 虫 ， 然 而 ， 蠕 虫 的 签 名 生 成 演 变 成 其 自 己 广 泛 的 研 究 领 域 ， 而 是 入 侵 检 测 系 统 的 领 域 。 0 × 0 9   攻 击 风 险 评 估 攻 击 风 险 评 估 风 险 估 计 是 在 高 交 互 蜜 罐 上 完 成 的 ， 因 为 它 可 以 基 于 漏 洞 的 严 重 性 和 漏 洞 的 分 析 来 评 估 。 然 而 ， 也 可 以 基 于 攻 击 的 范 围 对 低 交 互 蜜 罐 进 行 风 险 估 计 ， 其 可 以 通 过 描 述 通 信 量 的 三 个 特 征 来 测 量 ： 攻 击 的 分 组 数 ， 攻 击 中 交 换 的 字 节 的 数 量 和 通 信 持 续 时 间 。 R i s k   =   l o g ( n P a c k e t s )   +   l o g ( n B y t e s )   +   l o g ( d u r a t i o n + 1 ) 通 过 将 风 险 值 乘 以 攻 击 所 在 的 子 空 间 数 量 来 扩 展 此 风 险 估 计 ， 这 表 明 攻 击 影 响 了 多 少 网 络 特 征 。 R i s k ( s u b s p a c e )   =   C     l o g ( n P a c k e t s )   +   l o g ( n B y t e s )   +   l o g ( d u r a t i o n   +   1 ) S w e e t B a i t 被 设 计 成 一 个 自 动 响 应 系 统 ， 防 止 随 机 I P 扫 描 蠕 虫 使 用 低 交 互 蜜 罐 和 高 交 互 蜜 罐 。 蜜 罐 用 于 创 建 签 名 ， 然 后 发 送 到 I D S   /   I P S 传 感 器 ， 以 确 定 生 产 环 境 上 的 蠕 虫 的 破 坏 性 。 0 × 1 0   E X P 检 测 检 测 由 于 高 交 互 蜜 罐 被 积 极 利 用 ， 他 们 还 考 虑 在 他 们 的 分 析 中 利 用 的 漏 洞 。 检 测 利 用 和 查 找 漏 洞 的 两 个 主 要 过 程 是 数 据 驱 动 技 术 或 操 作 系 统 状 态 监 视 。 前 者 通 过 动 态 污 点 分 析 来 检 测 利 用 ， 这 是 基 于 来 自 互 联 网 的 所 有 数 据 都 是 潜 在 的 恶 意 ， 因 此 被 标 记 为 污 染 的 想 法 。 监 视 污 染 数 据 的 数 据 流 。 然 后 将 蜜 罐 的 利 用 规 定 为 直 接 执 行 受 污 染 的 s h e l l c o d e 。 动 态 污 点 分 析 非 常 准 确 和 可 靠 地 检 测 利 用 缓 冲 区 溢 出 的 攻 击 。 后 者 检 查 操 作 系 统 的 状 态 ， 并 尝 试 在 文 件 系 统 或 进 程 管 理 中 发 现 非 法 操 作 。 如 果 对 这 个 特 定 位 置 进 行 修 改 （ 有 时 甚 至 是 读 取 操 作 ） ， 则 不 会 出 现 这 些 修 改 文 件 的 活 动 执 行 ， 但 这 通 常 是 不 容 易 被 发 现 的 。 可 以 通 过 识 别 修 改 、 比 较 哈 希 值 或 控 制 敏 感 调 用 的 内 核 日 志 来 比 较 文 件 与 备 份 。 0 × 1 1   蜜 罐 数 据 分 析 展 望 蜜 罐 数 据 分 析 展 望 有 趣 的 是 ， 这 个 概 述 的 一 个 发 现 是 大 多 数 研 究 者 倾 向 于 提 出 前 三 个 提 出 的 问 题 ， 其 涉 及 攻 击 源 ， 攻 击 目 标 和 频 率 。 此 外 ， 在 确 定 来 源 或 目 标 和 描 述 频 率 方 面 存 在 共 同 的 共 识 ， 因 为 许 多 指 标 和 分 析 方 法 在 整 个 出 版 物 中 重 复 使 用 。 这 种 情 况 的 背 后 的 原 因 是 直 接 （ 表 观 ） 信 息 被 评 估 ， 并 且 在 像 简 单 查 找 扩 展 的 国 家 映 射 的 情 况 下 。 直 接 信 息 描 述 观 察 结 果 ， 并 在 通 用 操 作 期 间 记 录 在 蜜 罐 日 志 中 ： 通 常 蜜 罐 日 志 文 件 包 含 基 于 I P 信 息 的 攻 击 的 源 ， 目 标 和 时 间 戳 。 重 要 的 是 要 注 意 ， 尤 其 是 对 于 I P ， 没 有 源 和 目 标 的 I P 地 址 的 通 信 是 不 可 能 的 ， 并 且 每 个 事 件 具 有 时 间 戳 。 因 此 ， 基 于 这 些 特 征 提 出 分 析 问 题 是 直 接 和 自 然 的 。 然 而 ， 这 种 情 况 对 于 剩 下 的 问 题 是 不 同 的 ， 因 为 他 们 试 图 导 出 信 息 。 派 生 信 息 解 释 ， 评 估 或 本 地 化 观 察 的 原 因 ， 其 根 本 上 比 单 纯 的 描 述 更 复 杂 。 由 于 分 析 更 复 杂 ， 这 种 研 究 比 简 单 的 描 述 性 分 析 出 现 得 比 较 晚 ， 方 法 之 间 存 在 较 少 的 重 叠 。 这 对 于 模 式 检 测 尤 其 如 此 ， 这 可 以 通 过 许 多 不 同 的 相 似 性 度 量 和 聚 类 算 法 （ 如 在 子 V - G 中 解 释 的 ） 来 完 成 。 这 种 分 析 的 进 行 正 在 成 为 一 种 跨 学 科 的 方 法 ， 因 为 为 了 得 到 信 息 ， 基 本 统 计 通 常 不 再 满 足 ： 复 杂 的 蜜 罐 网 络 和 来 自 其 他 领 域 的 方 法
， 如 关 联 规 则 挖 掘 ， 神 经 网 络 ， 虚 拟 机 中 的 内 存 污 染 名 字 几 个 ， 已 经 变 得 必 要 。 一 般 来 说 ， 蜜 罐 研 究 和 其 他 研 究 领 域 之 间 的 联 系 在 过 去 几 年 里 加 强 了 。 * 本 文 原 创 作 者 ： L e o n 不 会 玩 Q E M U ， 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理