搜索

[21657] 2021-02-07_蜜罐调研与内网安全

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-02-07_蜜罐调研与内网安全 蜜 罐 调 研 与 内 网 安 全 转 自 ： 先 知 社 区   L e m o n S e c   2 0 2 1 - 0 2 - 0 7 0 x 0 0   写 在 前 面 写 在 前 面 蜜 罐 系 统 通 过 在 网 络 中 部 署 感 应 节 点 ， 实 时 感 知 周 边 网 络 环 境 ， 同 时 将 感 应 节 点 日 志 实 时 存 储 、 可 视 化 分 析 ， 来 实 现 对 网 蜜 罐 系 统 通 过 在 网 络 中 部 署 感 应 节 点 ， 实 时 感 知 周 边 网 络 环 境 ， 同 时 将 感 应 节 点 日 志 实 时 存 储 、 可 视 化 分 析 ， 来 实 现 对 网 络 环 境 中 的 威 胁 情 况 感 知 。 网 上 的 开 源 蜜 罐 很 多 ， 种 类 不 一 ， 不 可 枚 举 。 有 针 对 单 个 服 务 的 蜜 罐 ， 也 有 多 个 服 务 整 合 在 一 络 环 境 中 的 威 胁 情 况 感 知 。 网 上 的 开 源 蜜 罐 很 多 ， 种 类 不 一 ， 不 可 枚 举 。 有 针 对 单 个 服 务 的 蜜 罐 ， 也 有 多 个 服 务 整 合 在 一 起 的 。 起 的 。 G i t h u b 上 有 个 项 目 ， 收 集 汇 总 了 免 费 和 开 源 的 蜜 罐 ， 项 目 地 址 ： 上 有 个 项 目 ， 收 集 汇 总 了 免 费 和 开 源 的 蜜 罐 ， 项 目 地 址 ： a w e s o m e - h o n e y p o t s h t t p s : / / g i t h u b . c o m / p a r a l a x / a w e s o m e - h o n e y p o t s ， 该 项 目 按 照 蜜 罐 类 型 做 了 分 类 ， 包 括 W e b 蜜 罐 、 各 种 服 务 蜜 罐 以 及 一 些 蜜 罐 相 关 组 件 （ 包 括 网 络 分 析 工 具 、 前 端 和 可 视 化 工 具 等 ） ， 收 集 的 很 全 面 。 但 是 一 个 好 的 蜜 罐 ， 应 该 做 到 ： 能 模 拟 大 多 数 常 见 协 议 、 能 够 模 拟 影 响 面 广 泛 的 应 用 协 议 和 漏 洞 、 能 够 在 能 模 拟 大 多 数 常 见 协 议 、 能 够 模 拟 影 响 面 广 泛 的 应 用 协 议 和 漏 洞 、 能 够 在 T C P / U D P 全 端 口 捕 全 端 口 捕 获 未 知 的 恶 意 扫 描 、 蜜 罐 便 于 协 议 扩 展 、 蜜 罐 结 果 的 数 据 格 式 简 单 便 于 分 析 。 获 未 知 的 恶 意 扫 描 、 蜜 罐 便 于 协 议 扩 展 、 蜜 罐 结 果 的 数 据 格 式 简 单 便 于 分 析 。 0 x 0 1   开 源 蜜 罐 调 研 开 源 蜜 罐 调 研 有 大 佬 将 一 些 开 源 蜜 罐 本 地 搭 建 试 用 ， 做 了 对 比 分 析 ， 详 见 《 开 源 蜜 罐 测 评 报 告 》 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / p a p e r / 2 0 7 7 3 9 . h t m l 作 者 分 析 了 四 十 几 个 蜜 罐 ， 其 实 不 用 看 文 章 ， 很 多 蜜 罐 由 于 年 久 没 有 更 新 维 护 ， 易 用 性 不 高 。 根 据 文 中 作 者 试 用 后 的 描 述 ， 感 觉 效 果 还 不 错 的 一 些 蜜 罐 如 下 ： w e b 蜜 罐 s n a r e :   一 个 W e b 蜜 罐 ， 该 蜜 罐 可 克 隆 某 个 网 站 ， 可 捕 捉 到 w e b 攻 击 载 荷 。 可 以 配 合 t a n n e r （ 评 估 H T T P 请 求 并 组 成 s n a r e 事 件 服 务 的 响 应 ） 一 起 使 用 。 但 是 s n a r e 在 克 隆 网 站 的 时 候 可 能 会 有 报 错 ； h t t p s : / / g i t h u b . c o m / m u s h o r g / s n a r e p h p m y a d m i n _ h o n e y p o t   :   一 个 简 单 有 效 的 p h p m y a d m i n 蜜 罐 ； h t t p s : / / g i t h u b . c o m / g f o s s / p h p m y a d m i n _ h o n e y p o t b a s i c - a u t h - p o t :   h t t p 身 份 验 证 蜜 罐 （ 可 以 捕 捉 到 账 号 和 密 码 也 有 访 问 的 日 志 ） ； h t t p s : / / g i t h u b . c o m / b j e b o r n / b a s i c - a u t h - p o t
服 务 蜜 罐 其 他 蜜 罐 作 者 文 章 未 描 述 到 且 讨 论 较 多 的 蜜 罐 / 蜜 罐 平 台 还 包 括 ： S h a d o w   D a e m o n : 一 个 不 错 的 w e b 蜜 罐 （ 需 要 二 次 开 发 把 连 接 器 弄 进 程 序 里 面 ， 这 个 过 程 有 点 麻 烦 ） ， 可 以 捕 捉 到 w e b 攻 击 载 荷 ； h t t p s : / / s h a d o w d . z e c u r e . o r g / o v e r v i e w / i n t r o d u c t i o n / d j a n g o - a d m i n - h o n e y p o t   :   一 个 仿 造 D j a n g o 管 理 员 登 陆 页 面 的 w e b 蜜 罐 ， 用 于 记 录 未 经 授 权 访 问 的 企 图 并 通 知 管 理 员 。 h t t p s : / / g i t h u b . c o m / d m p a y t o n / d j a n g o - a d m i n - h o n e y p o t R D P y   : 是 M i c r o s o f t   R D P 远 程 桌 面 协 议 协 议 客 户 端 和 服 务 器 端 的 纯 P y t h o n 实 现 ， R D P Y 支 持 标 准 R D P 安 全 层 基 于 S S L 的 R D P 和 N L A 身 份 验 证 通 过 n t l m v 2 身 份 验 证 协 议 。 该 蜜 罐 还 支 持 R D P 和 V N C 远 程 连 接 时 截 图 。 但 是 使 用 h y d r a 爆 破 的 时 候 会 报 错 ， 如 果 做 蜜 罐 的 话 会 产 生 大 量 的 r s s 文 件 很 麻 烦 ， 比 较 适 合 内 网 钓 鱼 ； h t t p s : / / g i t h u b . c o m / c i t r o n n e u r / r d p y H o n e y g r o v e   :   一 个 基 于 P y t h o n 的 模 块 化 蜜 罐 ， 基 于 B r o k e r 和 T w i s t e d   F r a m e w o r k 构 建 ； h t t p s : / / g i t h u b . c o m / U H H - I S S / h o n e y g r o v e h o n e y t r a p   :   一 个 可 扩 展 的 开 源 蜜 罐 ， 用 于 运 行 、 监 控 和 管 理 蜜 罐 ； h t t p s : / / g i t h u b . c o m / h o n e y t r a p / h o n e y t r a p C o w r i e   : 一 种 中 等 交 互 式 S S H 和 T e l n e t 蜜 罐 ， 用 于 记 录 暴 力 攻 击 和 攻 击 者 执 行 的 s h e l l 交 互 ; h t t p s : / / g i t h u b . c o m / c o w r i e / c o w r i e s s h l o w p o t   ： 低 交 互 式 s s h 蜜 罐 。 接 受 给 定 端 口 上 的 S S H 连 接 （ 默 认 为 2 2 2 2 ） ， 记 录 身 份 验 证 尝 试 并 告 知 连 接 客 户 端 身 份 验 证 失 败 ； h t t p s : / / g i t h u b . c o m / m a g i s t e r q u i s / s s h l o w p o t s s h h i p o t   :   高 交 互 性 s s h 蜜 罐 ， 这 个 蜜 罐 的 高 交 互 是 因 为 它 使 用 了 代 理 模 式 ， 也 就 是 说 攻 击 者 攻 击 蜜 罐 的 时 候 ， 蜜 罐 就 会 连 接 真 实 机 ， 以 达 到 代 理 捕 捉 数 据 的 功 能 ； h t t p s : / / g i t h u b . c o m / m a g i s t e r q u i s / s s h h i p o t s s h - h o n e y p o t   :   伪 造   S S H D ， 可 记 录   I P   地 址 、 用 户 名 与 密 码 ； h t t p s : / / g i t h u b . c o m / d r o b e r s o n / s s h - h o n e y p o t U D P o t   H o n e y p o t :     一 个 D N S 蜜 罐 ， 将 所 有 请 求 记 录 到 S Q L i t e 数 据 库 并 具 有 可 配 置 的 交 互 级 别 ； h t t p s : / / g i t h u b . c o m / j e k i l / U D P o t D S H P   :     一 个 简 单 的 蜜 罐 ， 亮 点 是 被 扫 描 或 攻 击 时 ， 支 持 邮 件 告 警 ； h t t p s : / / g i t h u b . c o m / n a o r l i v n e / d s h p O p e n C a n a r y   :   支 持 多 种 虚 假 服 务 ， 服 务 开 启 和 关 闭 比 较 简 单 ； h t t p s : / / g i t h u b . c o m / t h i n k s t / o p e n c a n a r y / A r t i l l e r y   :   开 源 蓝 队 工 具 ， 旨 在 通 过 多 种 办 法 保 护   L i n u x   和   W i n d o w s   操 作 系 统 。 ； h t t p s : / / g i t h u b . c o m / B i n a r y D e f e n s e / a r t i l l e r y H e r a l d i n g   : 目 前 支 持 以 下 协 议 ： f t p ， t e l n e t ， s s h ， h t t p ， h t t p s ， p o p 3 ， p o p 3 s ， i m a p ， i m a p s ， s m t p ， v n c ， p o s t g r e s q l 和 s o c k s 5 ， 日 志 会 生 成 会 话 ( S E S S I O N ) 和 验 证 ( A U T H ) ； h t t p s : / / g i t h u b . c o m / j o h n n y k v / h e r a l d i n g
0 x 0 2   蜜 罐 与 内 网 安 全 蜜 罐 与 内 网 安 全 在 谈 到 蜜 罐 与 内 网 安 全 时 ， 不 得 不 提 s o s l y 师 傅 的 硕 士 论 文 （ ） 。 很 详 细 的 介 绍 了 蜜 罐 对 于 内 网 安 全 的 意 义 以 及 使 用 M H N 的 实 践 。 对 于 内 网 来 说 ， 常 见 的 攻 击 手 段 包 括 网 络 嗅 探 、 资 产 探 测 / 端 口 扫 描 、 暴 力 破 解 、 拒 绝 服 务 、 A R P 攻 击 、 D N S 劫 持 、 漏 洞 利 用 （ r e d i s 未 授 权 访 问 、 j b o s s 配 置 不 当 导 致 的 r c e 等 ） 等 ， 且 内 网 的 攻 击 手 段 是 随 着 服 务 种 类 的 增 多 不 断 增 加 的 。 我 们 需 要 做 的 ， 是 发 现 内 网 中 的 异 常 行 为 / 攻 击 行 为 。 相 比 外 网 来 说 ， 无 需 收 集 0 d a y 、 无 需 分 析 恶 意 i p 、 对 接 威 胁 情 报 等 ， 所 以 我 们 不 需 要 高 交 互 类 型 的 蜜 罐 ， 在 内 网 中 低 交 互 的 蜜 罐 能 满 足 我 们 的 需 求 。 所 谓 低 交 互 蜜 罐 ， 就 是 通 过 模 拟 服 务 ， 监 听 端 口 连 接 并 记 录 数 据 包 ， 可 以 实 现 端 口 扫 描 和 暴 力 破 解 的 检 测 等 。 企 业 内 部 的 业 务 繁 杂 ， 且 安 全 性 较 薄 弱 。 且 内 网 的 安 全 相 对 外 网 更 加 被 动 ， 所 以 打 造 一 款 适 合 企 业 内 部 使 用 的 低 交 互 蜜 罐 有 其 价 值 和 意 义 。 去 年 公 司 有 几 台 机 器 中 了 勒 索 病 毒 ， 因 为 内 网 机 器 / 个 人 P C 多 ， 查 了 很 久 无 法 确 认 内 网 是 否 还 有 其 他 机 器 被 感 染 ， 后 来 部 署 了 个 O p e n C a n a r y ， 那 阵 子 O p e n C a n a r y 的 日 志 非 常 多 ， 排 查 到 好 几 台 的 内 网 中 毒 机 器 。 根 据 公 司 自 身 情 况 ， 试 着 分 析 下 一 个 好 的 并 适 用 于 自 身 的 内 网 低 交 互 蜜 罐 ， 应 该 满 足 以 下 几 个 条 件 ： 1 .   覆 盖 常 见 协 议 / 服 务 ， 能 在 T C P / U D P 全 端 口 捕 获 未 知 的 恶 意 扫 描 ； 2 .   可 支 持 分 布 式 部 署 ， 覆 盖 生 产 内 网 和 办 公 内 网 ， 且 节 点 尽 量 覆 盖 面 广 ； 3 .   日 志 记 录 准 确 、 统 一 集 中 收 集 且 数 据 格 式 简 单 ， 便 于 后 续 的 日 志 分 析 和 页 面 展 示 ； 4 .   方 便 进 行 二 次 开 发 ； 5 .   前 端 页 面 展 示 直 观 清 晰 ， 且 支 持 邮 件 / 钉 钉 告 警 ； 前 文 提 到 的 蜜 罐 ， 我 们 挑 选 几 个 蜜 罐 平 台 （ 支 持 多 种 服 务 ） 在 内 网 搭 建 测 试 并 对 比 ， 看 是 否 满 足 我 们 的 基 本 要 求 。 本 次 测 试 选 择 O p e n C a n a r y 、 T - P O T 、 M H N 、 A r t i l l e r y 、 H e r a l d i n g 和 H F i s h 。 K i p p o ( 一 款 强 大 的 中 等 交 互 的 S S H 蜜 罐 ) 、 h t t p s : / / g i t h u b . c o m / d e s a s t e r / k i p p o D i o n a e a ( 低 交 互 蜜 罐 ， 可 视 化 方 便 ， 捕 获 对 服 务 的 攻 击 数 据 ， 记 录 攻 击 源 和 目 标   I P 、 端 口 、 协 议 类 型 等 信 息 ， 以 及 完 整 的 网 络 会 话 过 程 ， 自 动 分 析 其 中 可 能 包 含 的   s h e l l c o d e   及 其 中 的 函 数 调 用 和 下 载 文 件 ， 并 获 取 恶 意 程 序 ) 、 h t t p s : / / g i t h u b . c o m / D i n o T o o l s / d i o n a e a T - P O T ( 将 很 多 开 源 蜜 罐 整 合 在 一 起 的 蜜 罐 平 台 ) 、 h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c / t p o t c e H f i s h ( 扩 展 企 业 安 全 测 试 主 动 诱 导 型 开 源 蜜 罐 框 架 系 统 ， 记 录 黑 客 攻 击 手 段 ) 、 h t t p s : / / g i t h u b . c o m / h a c k l c x / H F i s h M H N ( 一 个 用 于 管 理 和 收 集 蜜 罐 数 据 的 中 心 服 务 器 。 通 过 M H N ， 可 以 实 现 快 速 部 署 多 种 类 型 的 蜜 罐 并 且 通 过 w e b 可 视 化 界 面 显 示 蜜 罐 收 集 的 数 据 ， 目 前 支 持 的 蜜 罐 类 型 有 D i o n a e a ,   S n o r t ,   C o w r i e ,   g l a s t o p f 等 ) 等 。 另 外 还 有 针 对 漏 洞 的 蜜 罐 ， 例 如 D r u p a l   R C E   、 S t r u t s 2   R C E (   C V E   2 0 1 7 - 5 6 3 8 ) 等 。 h t t p s : / / g i t h u b . c o m / t h r e a t s t r e a m / m h n 蜜 罐 与 内 网 安 全 从 0 到 1 ， 共 七 篇 h t t p s : / / s o s l y . m e / i n d e x . p h p / 2 0 1 8 / 0 3 / 2 2 / j y m i g u a n 7 /
( 1 )   O p e n C a n a r y >   简 介 O p e n C a n a y 是 一 种 基 于 命 令 行 式 的 蜜 罐 服 务 系 统 ， 没 有 U I 页 面 ， 基 本 操 作 都 是 通 过 命 令 行 ， 配 置 通 过 改 写 配 置 文 件 。 其 基 本 实 现 原 理 也 是 通 过 设 置 各 种 监 听 的 端 口 ， 模 拟 各 种 流 行 的 服 务 ， 而 底 层 实 现 端 口 监 听 。 去 年 p i r o g u e 师 傅 基 于 O p e n C a n a r y 实 现 了 个 w e b 端 后 台 管 理 ： ， 系 统 实 现 基 于 n g i n x 和 t o r n a d o ， 数 据 库 系 统 使 用 的 是 m y s q l ， 前 端 使 用 的 是 v u e 。 适 用 于 内 网 多 节 点 部 署 ， 架 构 图 如 下 ： 该 蜜 罐 支 持 1 6 种 协 议 ， 内 网 多 个 节 点 部 署 后 ， 日 志 统 一 发 送 到 w e b 端 ， 入 库 存 储 ， 界 面 展 示 。 后 台 可 统 计 的 信 息 如 下 ： o p e n c a n a r y _ w e b h t t p s : / / g i t h u b . c o m / p 1 r 0 6 u 3 / o p e n c a n a r y _ w e b
作 者 将 O p e n C a n a r y 蜜 罐 框 架 分 析 的 日 志 和 服 务 （ 协 议 ） 做 了 记 录 ， 可 依 照 进 行 二 次 开 发 ： >   开 发 语 言 P y t h o n ,   依 赖 于 t w i s t e d 的 p y t h o n 库 实 现 。 >   本 地 搭 建 测 试 部 署 方 法 参 照 g i t h u b 上 的 方 法 就 可 以 ， 尽 量 使 用 c e n t o s 7 的 系 统 ， 在 c e n t o s 6 . x 上 装 过 两 次 都 有 一 些 报 错 。 部 署 完 成 后 ， O p e n C a n a r y 服 务 端 开 放 端 口 如 下 ： 对 该 机 器 i p 进 行 n m a p 扫 描 ， w e b 端 收 到 攻 击 日 志 ： 首 页 两 个 简 单 的 图 表 ： o p e n c a n a r y 二 次 开 发 ( 1 ) - 日 志 格 式 。 h t t p : / / p i r o g u e . o r g / 2 0 1 9 / 0 1 / 1 5 / o p e n c a n a r y _ 2 /
>   说 明 总 体 来 说 使 用 起 来 还 是 比 较 便 捷 ， 使 用 p y t h o n 开 发 ， 二 次 开 发 起 来 比 较 方 便 。 后 台 展 示 比 较 直 观 ， 也 支 持 邮 件 告 警 。 作 者 的 思 路 很 棒 ， 将 各 个 节 点 的 日 志 通 过 w e b 请 求 统 一 发 到 w e b 端 ， 然 后 进 行 入 库 展 示 。 但 是 测 试 过 程 中 ， 感 觉 日 志 量 很 大 ， n m a p 扫 描 一 下 ， 就 有 七 八 页 的 日 志 ， 配 置 邮 件 告 警 后 ， 收 到 的 邮 件 非 常 多 。 ( 2 )   T - P o t >     简 介 T - P o t 是 一 个 比 较 成 熟 的 蜜 罐 平 台 ， 2 0 1 6 年 推 出 的 ， 目 前 最 新 版 本 是 1 9 . 0 3 。 T - P o t 最 大 的 特 点 是 集 成 了 很 多 款 开 源 蜜 罐 以 及 流 量 检 测 项 目 ( S u r i c a t a ) ， 并 集 成 了 威 胁 情 报 ， 且 做 了 统 一 管 理 和 统 一 日 志 收 集 展 示 。 目 前 版 本 基 于 d o c k e r ,   d o c k e r - c o m p o s e 并 且 包 括 以 下 蜜 罐 的 d o c k e r 镜 像 : T - P o t 集 成 蜜 集 成 蜜 罐 罐 说 明 说 明 A D B H o n e y 一 个 计 语 T C P / I P 的 A n d r o i d 调 试 桥 的 低 交 互 蜜 罐 h t t p s : / / g i t h u b . c o m / h u u c k / A D B H o n e y c i s c o a s a C i s c o   A S A 防 火 墙 的 低 交 互 蜜 罐 ， 能 够 检 测 C V E - 2 0 1 8 - 0 1 0 1 、 D o S 和 远 程 代 码 执 行 漏 洞 h t t p s : / / g i t h u b . c o m / c y m m e t r i a / c i s c o a s a _ h o n e y p o t c i t r i x h o n e y p o t 检 测 和 记 录 C V E - 2 0 1 9 - 1 9 7 8 1 ( C i t r i x   A D C 的 R C E ) 扫 描 和 攻 击 尝 试 h t t p s : / / g i t h u b . c o m / t 3 c h n 0 m 4 g 3 / C i t r i x H o n e y p o t c o n p o t 一 个 低 交 互 式 的 工 业 控 制 系 统 的 蜜 罐 h t t p s : / / g i t h u b . c o m / m u s h o r g / c o n p o t c o w r i e 一 个 中 等 交 互 式 的   S S H   /   T e l n e t   蜜 罐 h t t p s : / / g i t h u b . c o m / m i c h e l o o s t e r h o f / c o w r i e d i o n a e a 一 个 基 于   P y t h o n   开 发 的 低 交 互 蜜 罐 ， 设 计 目 的 是 诱 捕 恶 意 攻 击 ， 获 取 恶 意 攻 击 会 话 与 恶 意 代 码 程 序 样 本 h t t p s : / / g i t h u b . c o m / D i n o T o o l s / d i o n a e a
e l a s t i c p o t 一 个   E l a s t i c s e a r c h   的 蜜 罐 h t t p s : / / g i t h u b . c o m / s c h m a l l e / E l a s t i c p o t P Y g l a s t o p f 一 个   P y t h o n   语 言 开 发 的   W e b   蜜 罐 ， 能 提 供 各 种 基 于 漏 洞 类 型 的 模 拟 h t t p s : / / g i t h u b . c o m / m u s h o r g / g l a s t o p f g l u t t o n 一 款 低 交 互 蜜 罐 h t t p s : / / g i t h u b . c o m / m u s h o r g / g l u t t o n h e r a l d i n g 一 款 可 收 集 凭 证 的 蜜 罐 （ 下 文 有 详 细 介 绍 ） h t t p s : / / g i t h u b . c o m / j o h n n y k v / h e r a l d i n g h o n e y p y 一 款 低 交 互 的 蜜 罐 ， 但 是 具 有 更 多 的 中 等 交 互 蜜 罐 的 能 力 h t t p s : / / g i t h u b . c o m / f o o s p i d y / H o n e y P y h o n e y t r a p 一 个 低 交 互 式 的 蜜 罐 ， 通 过 监 听   N F Q U E U E   用 户 态 数 据 包 ， 相 当 与 就 监 听 了 所 有 其 他 未 监 听 的 端 口 h t t p s : / / g i t h u b . c o m / a r m e d p o t / h o n e y t r a p / m a i l o n e y 一 个   S M T P   蜜 罐 h t t p s : / / g i t h u b . c o m / a w h i t e h a t t e r / m a i l o n e y m e d p o t 也 是 一 款 S M T P 蜜 罐 h t t p s : / / g i t h u b . c o m / s c h m a l l e / m e d p o t r d p y 一 个 用   P y t h o n   实 现 的   R D P   和   V N C   协 议 ， 可 以 用 作 服 务 端 以 及 客 户 端 ， 也 提 供   R D P   的 蜜 罐 ， 用 于 记 录   R D P   过 程 h t t p s : / / g i t h u b . c o m / c i t r o n n e u r / r d p y t a n n e r 一 种 远 程 数 据 分 析 和 分 类 服 务 ， 用 于 评 估 H T T P 请 求 和 组 合 响 应 ， 然 后 由 s n a r e 事 件 提 供 服 务 h t t p s : / / g i t h u b . c o m / m u s h o r g / t a n n e r T - P o t 集 成 蜜 集 成 蜜 罐 罐 说 明 说 明 同 时 集 成 的 其 他 非 蜜 罐 的 工 具 有 c y b e r c h e f ( 一 个 用 于 加 密 、 编 码 、 压 缩 和 数 据 分 析 的 w e b 应 用 程 序 ) 、 e v s ( 从 多 个 蜜 罐 源 收 集 信 息 ， 并 将 其 发 布 到 中 央 收 集 服 务 ， 如 D T A G 预 警 系 统 和 h p f e e d ) 、 f a t t ( 用 于 从 p c a p f i l e 和 实 时 网 络 通 信 中 提 取 网 络 元 数 据 和 指 纹 ) 、 h e i m d a l l ( W e b 应 用 程 序 的 仪 表 板 ) 、 h y f e e d s ( 蜜 网 项 目 通 用 认 证 数 据 路 由 协 议 ) 、 p 0 f ( 利 用 一 系 列 复 杂 的 流 量 指 纹 识 别 ， 被 动 的 来 识 别 T C P / I P   通 信 的 对 方 信 息 ) 、 s p i d e r f o o t ( 开 源 的 足 迹 和 情 报 收 集 工 具 ) 、 S u r i c a t a ( 一 个 网 络 I D S 、 I P S 和 网 络 安 全 监 控 引 擎 ) 和 N g i n x 等 。 其 官 方 架 构 图 如 下 所 示 （ 通 过 架 构 图 能 很 直 观 的 看 明 白 T - P o t 的 架 构 ） ：
>     本 地 搭 建 测 试 T - P o t   1 9 . 0 3 运 行 在 D e b i a n 上 ， 官 方 文 档 说 支 持 三 种 安 装 方 式 ： 裸 设 备 安 装 （ 基 于 i s o 镜 像 ） 、 基 于 现 有 系 统 安 装 和 云 部 署 。 刚 开 始 用 的 第 一 种 方 法 ， 用 官 方 提 供 的 i s o 在 V m w a r e 安 装 ， 安 装 都 是 自 动 化 的 ， 但 是 安 装 完 成 后 服 务 一 直 无 法 启 动 ， 可 能 是 因 为 源 的 问 题 ， 导 致 很 多 依 赖 包 没 有 下 载 下 来 。 试 了 很 多 次 ， 无 奈 国 外 的 源 实 在 是 太 慢 ， 第 一 种 方 法 “ 夭 折 ” ~ 试 了 第 二 种 方 法 ， 先 在 V m w a r e 装 了 个 D e b i a n   9 . 9 . 0 的 虚 拟 机 ， 然 后 再 进 行 安 装 。 参 考 这 篇 文 章 ： 开 源 蜜 罐 T - p o t   1 9 . 0 3 安 装 和 使 用 中 基 于 现 有 系 统 安 装 的 方 法 。 文 中 很 多 修 改 源 的 操 作 一 定 要 修 改 ， 不 然 真 的 好 慢 好 慢 . . . . . . 但 是 ， 漫 长 的 等 待 过 后 ， 虚 拟 机 重 启 了 ， 以 为 装 完 了 ， 但 是 打 开 发 现 镜 像 全 是 d o w n 的 ， 启 动 不 起 来 。 心 力 交 瘁 ， 懒 得 折 腾 了 ， 盗 张 官 方 的 图 吧 ： >   说 明 T - P o t 很 强 大 ， 是 个 很 棒 的 项 目 。 但 是 无 奈 搭 建 起 来 较 麻 烦 。 其 次 ， T - P o t 集 成 的 蜜 罐 项 目 太 多 ， 再 加 上 S u r i c a t a 、 E L K ， 整 个 项 目 太 庞 大 了 ， 可 视 化 的 K i b a n a 面 板 是 很 炫 ， 但 是 运 营 起 来 需 要 花 费 的 精 力 很 大 ， 在 中 小 型 互 联 网 企 业 ， 运 营 起 来 有 难 度 。 ( 3 )   M H N >   简 介 M H N （ M o d e r n   H o n e y   N e t w o r k ） ： 开 源 蜜 罐 ， 支 持 快 速 部 署 传 感 器 并 立 即 收 集 数 据 , 可 以 从 整 洁 的 W e b 界 面 查 看 。 用 T h r e a t S t r e a m 来
部 署 ， 数 据 存 储 在 M O n g o D B 中 ， 安 装 了 入 侵 检 测 系 统 的 部 署 传 感 器 S n o r t 、 K i p p o 、 C o n p o t 和 D i o n a e a 。 收 集 的 信 息 可 以 通 过 W e b 接 口 进 行 展 示 。 据 官 方 说 法 ， 目 前 经 测 试 支 持 部 署 目 前 经 测 试 支 持 部 署 M H N 服 务 器 的 系 统 有 服 务 器 的 系 统 有 U b u n t u   1 4 . 0 4 ,   U b u n t u   1 6 . 0 4 ,   C e n t o s   6 . 9 。 M H N 是 一 个 F l a s k 应 用 ， 为 蜜 罐 提 供 H T T P 的 a p i ， 各 个 蜜 罐 可 通 过 a p i 下 载 部 署 脚 本 ， 连 接 ， 下 载 s n o r t 规 则 ， 发 送 检 测 日 志 等 。 其 架 构 图 如 下 所 示 ： >   本 地 搭 建 测 试 M H N 的 搭 建 不 难 ， 官 方 提 供 了 自 动 化 的 安 装 脚 本 i n s t a l l . s h 。 但 是 碍 于 很 多 依 赖 被 q i a n g ， 下 载 起 来 也 很 慢 。 搭 建 的 时 候 注 意 ， 官 方 说 支 持 在 U b u n t u   1 8 . 0 4 ,   U b u n t u   1 6 . 0 4 和 C e n t o s   6 . 9 上 搭 建 部 署 ， 自 动 化 脚 本 里 对 版 本 有 校 验 ， 最 好 选 择 这 三 个 版 本 的 机 器 进 行 搭 建 。 运 行 i n s t a l l . s h ， 安 全 速 度 很 慢 ， 然 后 睡 觉 去 了 ， 第 二 天 早 上 起 来 发 现 装 完 了 。 详 细 的 安 装 、 配 置 和 操 作 可 以 参 考 b a c k l i n 师 傅 的 这 篇 文 章 ： M H N 蜜 罐 系 统 建 设 。 搭 建 完 成 后 ， 是 没 有 传 感 器 （ 蜜 罐 节 点 ） 的 ， 页 面 里 内 容 都 是 空 的 。 在 D e p l o y 里 可 以 选 择 蜜 罐 的 ， 对 应 会 有 该 蜜 罐 的 部 署 脚 本 ， 可 以 选 择 性 安 装 部 署 。 比 如 选 择 D i o n a e a ( 捕 蝇 草 ) ， 显 示 出 的 脚 本 如 下 所 示 ：
去 安 装 蜜 罐 的 机 器 上 运 行 该 脚 本 部 署 就 行 ， 部 署 完 成 后 ， S e n s o r s 那 边 就 会 有 一 个 连 接 成 功 的 蜜 罐 节 点 ： 对 该 蜜 罐 节 点 进 行 n m a p 扫 描 ， 界 面 上 就 会 有 攻 击 行 为 的 记 录 ， 如 下 图 所 示 ： 当 然 ， M H N 也 可 以 跟 E L K 和 S p l u n k 进 行 集 成 。 >   说 明 M H N 也 是 个 很 强 大 的 蜜 罐 平 台 ， 集 成 了 很 多 个 不 错 的 蜜 罐 。 各 个 蜜 罐 部 署 起 来 很 方 便 ， 基 本 可 以 一 键 部 署 。 但 是 在 管 理 蜜 罐 的 时 候 不 是 很 方 便 ， 页 面 上 只 能 将 对 应 的 节 点 删 除 ， 停 止 和 删 除 蜜 罐 要 去 对 应 的 节 点 上 操 作 ， 收 集 的 日 志 也 非 常 多 ， n m a p 扫 描 了 一 下 ， 2 0 0 条 的 日 志 。 ( 4 )   A r t i l l e r y >   简 介 A r t i l l e r y 这 个 项 目 的 介 绍 是 ： 旨 在 通 过 多 种 办 法 保 护   L i n u x   和   W i n d o w s   操 作 系 统 。 蜜 罐 只 是 这 个 项 目 其 中 的 一 个 功 能 ， 其 他 功 能 还 有 监 控 服 务 器 目 录 和 系 统 重 要 文 件 、 对 攻 击 i p 进 行 封 禁 、 邮 件 告 警 、 对 端 口 开 启 D o s 保 护 等 等 。 其 中 蜜 罐 功 能 开 放 的 T C P 和 U D P 端 口 如 下 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理