搜索

[3910] 2017-06-12_“傻瓜式”蜜罐技术实现：多蜜罐平台T-Pot

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-16
2017-06-12_“傻瓜式”蜜罐技术实现：多蜜罐平台T-Pot “ 傻 瓜 式 ” 蜜 罐 技 术 实 现 ： 多 蜜 罐 平 台 T - P o t 原 创   E 安 全   E 安 全   2 0 1 7 - 0 6 - 1 2 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 1 2 日 文   习 大 大 说 ， “ 没 有 网 络 安 全 就 没 有 国 家 安 全 ” 。 随 着 网 络 技 术 的 不 断 升 级 ， 网 络 威 胁 的 不 断 复 杂 化 ， 要 做 好 网 络 安 全 防 御 工 作 必 须 提 升 态 势 感 知 方 面 的 能 力 ， 所 谓 知 己 知 彼 百 战 不 殆 。 越 来 越 多 的 人 开 始 关 注 蜜 罐 技 术 ， 从 w e b 业 务 蜜 罐 、 s s h 应 用 蜜 罐 、 网 络 协 议 栈 蜜 罐 到 系 统 主 机 型 蜜 罐 等 各 功 能 型 低 交 互 、 中 交 互 、 高 交 互 等 交 互 程 度 的 各 类 蜜 罐 。 小 到 一 个 w o r d 文 档 的 蜜 标 ， 到 一 个 系 统 级 的 服 务 蜜 罐 ， 再 到 多 功 能 蜜 罐 组 成 的 蜜 网 （ 例 如 M H N 现 代 蜜 网 ） ， 大 到 包 含 流 控 制 重 定 向 分 布 式 蜜 网 组 成 的 蜜 场 。   那 么 ， 什 么 是 蜜 罐 技 术 ？ 那 么 ， 什 么 是 蜜 罐 技 术 ？ 蜜 罐 技 术 本 质 上 是 蜜 罐 技 术 本 质 上 是 一 种 对 攻 击 方 进 行 欺 骗 的 技 术 ， 通 过 布 置 一 些 作 为 诱 饵 的 主 机 、 网 络 服 务 或 者 信 息 ， 诱 使 攻 击 方 对 它 们 实 施 攻 击 ， 从 而 可 以 对 攻 击 行 为 进 行 捕 获 和 分 析 ， 了 解 攻 击 方 所 使 用 的 工 具 与 方 法 ， 推 测 攻 击 意 图 和 动 机 ， 能 够 让 防 御 方 清 晰 地 了 解 他 们 所 面 对 的 安 全 威 胁 ， 并 通 过 技 术 和 管 理 手 段 来 增 强 实 际 系 统 的 安 全 防 护 能 力 。 例 如 ， M H N 现 代 蜜 网 就 简 化 了 蜜 罐 的 部 署 ， 集 成 了 多 种 蜜 罐 的 安 装 脚 本 ， 可 以 快 速 部 署 、 使 用 ， 也 能 够 快 速 的 从 节 点 收 集 数 据 。 并 且 蜜 罐 高 保 真 高 质 量 的 数 据 集 把 安 全 人 员 从 以 前 海 量 日 志 分 析 的 繁 琐 过 程 中 解 脱 出 来 ， 对 于 蜜 罐 的 连 接 访 问 都 是 攻 击 信 息 ， 并 且 不 再 像 以 前 的 特 征 分 析 具 有 一 定 的 滞 后 性 ， 可 以 用 于 捕 获 新 型 的 攻 击 和 方 法 。 虽 然 M H N 简 化 了 各 蜜 罐 的 部 署 过 程 ， 但 还 是 需 要 手 动 安 装 多 个 系 统 s e n s o r 来 实 现 多 个 不 同 蜜 罐 。 E 安 全 为 大 家 推 荐 一 个 更 简 单 方 便 的 平 台 供 读 者 研 究 / 使 用 蜜 罐 。 T - P o t 1 6 . 1 0 开 源 多 蜜 罐 平 台 T - P o t 平 台 建 立 在 U b u n t u   S e r v e r   1 6 . 1 0   L T S 的 基 础 上 。 T - P o t 使 用 的 蜜 罐 守 护 进 程 和 其 它 支 持 组 件 通 过 D o c k e r 实 现 了 超 虚 拟 化 ， 因 此 不 用 像 是 以 前 需 要 昂 贵 硬 件 设 备 的 部 署 支 撑 ， 减 少 了 大 量 部 署 成 本 ， 一 台 主 机 就 可 以 实 现 整 个 集 数 据 控 制 ， 数 据 捕 获 和 数 据 分 析 于 一 体 多 功 能 多 蜜 罐 高 交 互 蜜 网 的 体 系 架 构 。 这 就 允 许 开 发 人 员 在 同 一 网 络 接 口 上 运 行 多 个 蜜 罐 守 护 进 程 ， 不 会 出 现 任 何 问 题 ， 并 能 使 整 个 系 统 的 维 护 率 极 低 。 将 蜜 罐 守 护 进 程 封 装 在 D o c k e r 中 可 以 很 好 地 隔 离 运 行 环 境 和 简 单 的 更 新 机 制 。 [ 官 方 英 文 介 绍 官 方 英 文 介 绍 ： h t t p : / / t . c n / R S 1 V c A h ] 何 为 何 为 D o c k e r ？ ？ D o c k e r 是 世 界 领 先 的 软 件 容 器 平 台 。 是 世 界 领 先 的 软 件 容 器 平 台 。 D o c k e r 能 开 发 人 员 更 富 有 成 效 地 编 码 ， 更 高 效 地 扩 展 技 能 ， 简 化 开 发 环 境 ， 消 除 依 赖 项 冲 突 等 。 运 营 商 使 用 D o c k e r 在 独 立 的 容 器 中 并 行 运 行 和 管 理 应 用 程 序 ， 以 获 得 更 好 的 计 算 密 度 。 企 业 使 用 D o c k e r 构 建 灵 活 的 软 件 分 发 途 径 。 T - P o t 开 发 人 员 将 D o c k e r 化 的 蜜 罐 （ c o n p o t 、 c o w r i e 、   d i o n a e a 、   e l a s t i c p o t 、 e m o b i l i t y 、 g l a s t o p f   和   h o n e y t r a p ） 与 S u r i c a t a （ 一 款 网 络 安 全 监 控 引 擎 ） 和 E L K 堆 栈 结 合 ， 从 而 将 T - P o t 捕 获 的 所 有 事 件 形 象 化 。 事 件 将 通 过 专 门 开 发 的 数 据 提 交 工 具 E w s p o s t e r 关 联 。 E w s p o s t e r 还 支 持 H o n e y n e t 项 目 。
D o c k e r 中 的 所 有 数 据 都 是 不 稳 定 的 。 一 旦 D o c k e r 容 器 崩 溃 ， D o c k e r 环 境 中 生 成 的 所 有 数 据 就 会 消 失 ， 并 会 重 启 新 实 例 。 因 此 ， 对 于 一 些 需 要 持 久 化 的 数 据 ， 例 如 配 置 文 件 等 ， 需 将 持 久 性 数 据 存 储 安 装 到 主 机 的 / d a t a / 中 ， 使 其 在 容 器 或 系 统 重 启 时 仍 可 用 ， 并 能 保 持 持 久 性 。 系 统 启 动 时 ， 基 本 上 会 发 生 如 下 情 况 ： 系 统 启 动 时 ， 基 本 上 会 发 生 如 下 情 况 ： 启 动 主 机 系 统 。 启 动 所 有 D o c k e r 容 器 （ 蜜 罐 、 I D S 、 E l k 、 E w s p o s t e r ） 。 E w s p o s t e r 定 期 检 查 蜜 罐 容 器 的 新 攻 击 ， 并 将 数 据 提 交 到 社 区 后 端 。 D o c k e r 配 置 如 下 ： 配 置 如 下 ： c o n p o t c o w r i e d i o n a e a e l a s t i c p o t e l k - s t a c k e m o b i l i t y g l a s t o p f h o n e y t r a p s u r i c a t a 如 何 安 装 ？ T - P o t   是 基 于 U b u n t u   s e r v e r   1 6 . 0 4 T L S   的 网 络 安 装 ， 如 果 所 选 安 装 类 型 的 D o c k e r 镜 像 需 要 从 D o c k e r 中 心 获 取 ， 安 装 过 程 就 需 要 联 网 。 根 据 安 装 类 型 ， 可 任 意 安 装 在 真 实 的 硬 件 或 虚 拟 机 中 ， 步 骤 如 下 ：
1 .     下 载   t o p . i s o   或 者 自 己 创 建 操 作 系 统 环 境 。 2 .     安 装 到 联 网 的 V M 或 者 物 理 机 上 。 安 装 过 程 跟 普 通 安 装 U b u n t u   过 程 一 样 ，   其 中 需 要 为 t s e c 用 户 设 置 密 码 。 3 .   正 常 安 装 系 统 后 ， 第 一 次 启 动 系 统 时 将 选 择 安 装 类 型 ， 此 时 将 根 据 选 择 下 载 安 装 相 应 容 器 服 务 。 根 据 自 身 需 要 从 有 以 下 4 种 安 装 类 型 中 选 择 （ 经 典 版 当 然 是 1 、 T - P o t   I n s t a l l a t i o n ） ： 1 ） T - P o t   I n s t a l l a t i o n   ( C o w r i e ,   D i o n a e a ,   E l a s t i c P o t ,   G l a s t o p f ,   H o n e y t r a p ,   E L K ,   S u r i c a t a + P 0 f   &   T o o l s ) 2 ） S e n s o r   I n s t a l l a t i o n   ( C o w r i e ,   D i o n a e a ,   E l a s t i c P o t ,   G l a s t o p f ,   H o n e y t r a p ) 3 ） I n d u s t r i a l   I n s t a l l a t i o n   ( C o n P o t ,   e M o b i l i t y ,   E L K ,   S u r i c a t a + P 0 f   &   T o o l s ) 4 ） E v e r y t h i n g   I n s t a l l a t i o n   ( E v e r y t h i n g ,   a l l   o f   t h e   a b o v e ) 系 统 要 求 系 统 要 求 其 他 确 保 指 定 的 T - P o t 系 统 符 合 以 下 要 求 ： T - P o t 安 装 （ 安 装 （ C o w r i e 、 、 D i o n a e a 、 、 E l a s t i c P o t 、 、   G l a s t o p f 、 、 H o n e y t r a p 、 、 E L K 、 、 S u r i c a t a + P 0 f ） ） 安 装 T - P o t   I S O 镜 像 时 ， 确 保 目 标 系 统 （ 物 理 / 虚 拟 ） 满 足 以 下 最 低 要 求 ： 至 少 4   G B   R A M   ( 推 荐 使 用 6 - 8   G B ) 至 少 6 4   G B   磁 盘   ( 推 荐 使 用 1 2 8   G B   S S D ) 启 用 D H C P 的 网 络 连 接 互 联 网 传 感 器 安 装 传 感 器 安 装 （ （ C o w r i e 、 、 D i o n a e a 、 、 E l a s t i c P o t 、 、 G l a s t o p f 、 、 H o n e y t r a p ） ） 安 装 类 型 目 前 仅 能 通 过 I S O   C r e a t o r （ h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c ） 获 取 。 当 安 装 T - P o t   I S O 镜 像 时 ， 确 保 目 标 系 统 （ 物 理 / 虚 拟 ） 满 足 以 下 最 低 要 求 ： 至 少 3   G B   R A M   ( 推 荐 使 用 4 - 6   G B ) 至 少 6 4   G B   磁 盘 ( 推 荐 使 用 6 4   G B   S S D ) 启 用 D H C P 的 网 络 连 接 互 联 网 工 业 设 备 安 装 （ 工 业 设 备 安 装 （ C o n P o t 、 、 e M o b i l i t y 、 、 E L K 、 、 S u r i c a t a + P 0 f ） ）
安 装 类 型 目 前 仅 能 通 过 I S O   C r e a t o r （ h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c ） 获 取 。 当 安 装 T - P o t   I S O 镜 像 时 ， 确 保 目 标 系 统 （ 物 理 / 虚 拟 ） 满 足 以 下 最 低 要 求 ： 至 少 4   G B   R A M   ( 推 荐 使 用 8   G B ) 至 少 6 4   G B   磁 盘   ( 推 荐 使 用 1 2 8   G B   S S D ) 启 用 D H C P 的 网 络 连 接 互 联 网 安 装 局 限 ？ 安 装 局 限 ？ 安 装 类 型 目 前 仅 能 通 过 I S O   C r e a t o r （ h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c ） 获 取 。 当 安 装 T - P o t   I S O 镜 像 时 ， 确 保 目 标 系 统 （ 物 理 / 虚 拟 ） 满 足 以 下 最 低 要 求 ： 至 少 8   G B   R A M 至 少 1 2 8   G B   磁 盘   ( 推 荐 使 用 1 2 8   G B   S S D 或 更 大 ) 启 用 D H C P 的 网 络 连 接 互 联 网 如 何 创 建 I S O 镜 像 ？ 预 建 预 建 I S O 镜 像 ： 镜 像 ： 提 供 可 供 下 载 的 I S O 镜 像 安 装 （ 约 6 0 0 M B ） ， 使 用 相 同 的 工 具 （ 与 自 己 使 用 的 工 具 相 同 ） 创 建 ， 以 创 建 自 己 的 镜 像 。 这 样 做 基 本 上 只 会 节 省 下 载 组 件 和 创 建 I S O 镜 像 的 时 间 。 您 可 以 下 载 预 建 的 安 装 镜 像 （ 地 址 h t t p : / / c o m m u n i t y - h o n e y p o t . d e / t p o t . i s o ） ， 并 跳 转 到 安 装 部 分 （ h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c / t p o t c e # v m ） 。 I S O 镜 像 在 S t r a t o   /   C r o n o n 上 托 管 。 你 也 可 以 使 用 I S O   C r e a t o r   （ h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c / t p o t c e ） 来 自 定 义 安 装 创 建 你 自 己 的 I S O 安 装 镜 像 。 创 建 创 建 I S O 镜 像 的 要 求 镜 像 的 要 求 你 也 可 以 使 用 I S O   C r e a t o r   （ h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c / t p o t c e ） 来 自 定 义 安 装 创 建 你 自 己 的 I S O 安 装 镜 像 。 U b u n t u   1 4 . 0 4 . 4 或 更 新 的 主 机 系 统 ， 至 少 4 G B 可 用 内 存 ， 至 少 3 2 G B 磁 盘 空 间 ， 必 须 连 接 互 联 网 。 1 、 克 隆 仓 库 并 进 入 目 录 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / d t a g - d e v - s e c / t p o t c e . g i t c d   t p o t c e 2 、 调 用 脚 本 来 建 立 I S O 镜 像 ，   这 个 脚 本 将 下 载 安 装 一 些 必 须 的 依 赖 包 。 它 将 下 载 T - P o t 基 于 的 u b u n t u 网 络 安 装 镜 像 （ 约 5 0 M ） 。 构 建 成 功 后 ， 您 会 在 目 录 中 找 到 I S O 镜 像   t p o t . i s o 和 t p o t . s h a 2 5 6 两 个 文 件
在 虚 拟 机 中 运 行 在 虚 拟 机 中 运 行 如 果 想 在 虚 拟 化 环 境 中 运 行 T - P o t 。 虚 拟 系 统 配 置 取 决 于 虚 拟 提 供 商 。 借 助 V i r t u a l B o x 和 V M W a r e 可 以 成 功 测 试 系 统 ， 只 需 对 默 认 设 备 配 置 进 行 些 许 修 改 。 确 保 满 足 系 统 要 求 ， 并 分 配 > = 6 4   G B 的 虚 拟 硬 盘 和 > = 4   G B   R A M ， 并 将 网 络 桥 接 到 T - P o t 。 需 要 启 用 S u r i c a t a 网 络 接 口 混 合 模 式 （ P r o m i s c u o u s   M o d e ） 才 能 正 常 工 作 。 确 保 在 配 置 期 间 启 用 混 合 模 式 。 如 果 将 无 线 网 卡 作 为 T - P o t 的 主 要 网 卡 （ N I C ） ， 请 注 意 并 非 所 有 网 络 接 口 驱 动 器 都 支 持 无 线 网 卡 ， 例 如 ， 在 V i r t u a l B o x 中 ， 必 须 选 择 N I C 的 “ M T   S E R V E R ” 模 型 。 将 t p o t . i s o   I S O 安 装 到 虚 拟 机 ， 并 继 续 安 装 。 在 硬 件 上 运 行 在 硬 件 上 运 行 如 果 您 决 定 在 专 用 硬 件 上 运 行 T - P o t ， 请 按 照 以 下 步 骤 操 作 ： 1 .   把 I S O 镜 像 刻 录 到 C D ， 或 使 用 镜 像 制 作 可 引 导 U 盘 。 虽 然 大 多 数 C D 刻 录 工 具 可 以 将 I S O 镜 像 刻 录 到 C D ， 但 从 I S O 镜 像 创 建 可 引 导 U 盘 的 程 序 取 决 于 系 统 。 有 各 种 W i n d o w s   G U I 可 用 ， 例 如 h t t p : / / w w w . u b u n t u . c o m / d o w n l o a d / d e s k t o p / c r e a t e - a - u s b - s t i c k - o n - w i n d o w s 可 能 有 帮 助   。   在 L i n u x 或 M a c   O s 上 ， 您 可 以 使 用 工 具 d d 通 过 T - P o t 的 I S O   C r e a t o r 制 作 U 盘 2 .   从 U 盘 启 动 并 安 装 。 多 蜜 罐 平 台 ： 首 次 运 行 安 装 需 要 的 互 动 微 乎 其 微 ， 只 需 要 解 决 一 些 区 域 和 键 盘 设 置 ， 其 它 都 可 以 自 动 配 置 。 系 统 将 重 启 两 次 。 确 保 多 蜜 罐 平 台 需 要 下 载 升 级 和 D o c k e r 化 的 蜜 罐 组 件 时 能 访 问 互 联 网 ， 安 装 也 许 会 花 上 一 些 时 间 ， 这 取 决 于 根 据 网 络 连 接 和 选 择 的 安 装 类 型 。 一 旦 完 成 安 装 ， 系 统 将 自 动 重 启 ， 将 展 示 T - P o t 登 录 界 面 。 首 次 登 录 的 用 户 凭 证 如 下 ：
用 户 名 :   t s e c 密 码 :   t s e c 首 次 登 录 后 需 要 设 置 新 的 密 码 。 首 次 登 录 后 需 要 设 置 新 的 密 码 。 所 有 蜜 罐 服 务 均 会 自 动 启 动 。 所 有 蜜 罐 服 务 均 会 自 动 启 动 。 系 统 布 局 系 统 布 局 确 保 系 统 可 通 过 互 联 网 访 问 ， 否 则 ， T - P o t 将 不 会 捕 获 任 何 攻 击 。 除 了 敌 对 的 内 部 网 络 攻 击 。 推 荐 将 T - P o t 放 在 未 过 滤 的 区 域 ， 所 有 T C P 和 U D P 流 量 会 在 这 里 转 发 到 T - P o t 的 网 络 接 口 。 如 果 您 位 于 N A T 网 关 后 面 （ 例 如 家 用 路 由 器 ） ， 应 将 以 下 端 口 转 发 到 T - P o t 。 基 本 上 ， 您 可 以 根 据 需 要 进 行 T C P 端 口 转 发 ， 因 为 h o n e y t r a p 会 动 态 绑 定 任 何 未 被 其 它 蜜 罐 守 护 进 程 覆 盖 的 T C P 端 口 。 如 果 需 要 访 问 外 部 S S H ， 请 将 T C P 端 口 6 4 2 9 5 转 发 到 T - P o t 。   T - P o t 需 要 输 出 h t t p 和 h t t p s 连 接 进 行 更 新 （ u b u n t u 、 d o c k e r ） 并 提 交 攻 击 （ e w s p o s t e r 、 h p f e e d s ） 。 T - P o t 1 6 . 1 0 开 源 多 蜜 罐 平 台 镜 像 下 载 ： h t t p : / / t . c n / R S 1 V o 7 q 1 2 E 安 全 要 闻 简 讯 安 全 要 闻 简 讯 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 6 月 月   0 1 美 国 国 防 部 正 研 发 新 型 多 因 素 身 份 验 证 系 统 0 2 全 新 病 毒 瞄 准 W i n d o w s 用 户 ! 分 分 钟 让 你 的 电 脑 蓝 屏 0 3 信 息 安 全 铁 人 三 项 数 据 赛 华 东 赛 区 冠 军 M i r a g e 战 队 ， 看 铁 人 是 怎 么 炼 成 的 ？ 0 4 C E R N E T 发 布 校 园 网 安 全 公 告 ： 暗 云 I I I 攻 击 警 报 仍 未 解 除 0 5 【 数 字 货 币 】 为 何 是 追 踪 犯 罪 的 最 后 堡 垒 ？ 0 6     加 密 货 币 犯 罪 引 发 关 注   美 国 敦 促 加 强 非 法 离 岸 交 易 监 管 0 7 云 安 全 企 业 O b s i d i a n S e c u r i t y 获 A 轮 融 资 9 5 0 万 美 元 0 8 “ 傻 瓜 式 ” 蜜 罐 技 术 实 现 ： 多 蜜 罐 （ H o n e y p o t ） 平 台 T - P o t 0 9   美 国 政 府 为 保 护 关 键 信 息 基 础 设 施 已 培 养 4 0 0 0 专 业 人 才 1 0 搞 事 情 ！ 美 国 情 报 部 门 申 改 7 0 2 外 国 情 报 监 视 法 为 “ 永 久 有 效 ” 1 1 罗 马 尼 亚 ： 曾 经 的 黑 客 避 风 港 变 身 全 球 安 全 人 才 的 摇 篮
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理