搜索

[10315] 2016-07-19_为什么这么多创业公司都在做「蜜罐」？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-07-19_为什么这么多创业公司都在做「蜜罐」？ 为 什 么 这 么 多 创 业 公 司 都 在 做 「 蜜 罐 」 ？ b t 0 s e a   F r e e B u f   2 0 1 6 - 0 7 - 1 9 本 文 原 创 作 者 ： b t 0 s e a ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 信 息 安 全 发 展 到 了 今 天 繁 荣 的 程 度 ， 传 统 的 安 全 还 是 靠 静 态 的 特 征 码 的 方 式 来 识 别 攻 击 ， 但 是 伴 随 着 新 型 的 A P T 攻 击 的 出 现 ， 很 多 企 业 才 意 识 到 传 统 安 全 技 术 手 段 已 经 无 法 满 足 对 内 部 威 胁 的 及 时 发 现 。 于 是 ， 很 多 传 统 的 安 全 公 司 大 佬 都 开 始 转 战 使 用 动 态 沙 箱 技 术 来 解 决 问 题 ， 有 卖 设 备 型 的 例 如 S y m a n t e c   A T P 硬 件 配 合 终 端 的 S E P 构 成 、 有 3 6 0 安 全 卫 士 联 动 威 胁 情 报 的 方 式 ， 来 探 测 未 知 威 胁 。 当 然 这 种 方 式 主 要 是 针 对 A P T 攻 击 的 第 一 个 环 节 ， 你 黑 客 通 过 社 会 工 程 学 的 手 段 得 到 用 户 的 信 息 ， 使 用 网 络 钓 鱼 或 者 水 坑 攻 击 的 方 式 进 入 企 业 内 网 个 人 P C 。 但 是 要 拿 到 有 价 值 的 内 部 敏 感 信 息 ， 黑 客 需 要 进 一 步 部 署 攻 击 链 ， 包 括 获 取 凭 证 、 内 网 资 产 扫 描 等 探 测 工 作 ， 因 为 很 多 行 业 包 括 金 融 机 构 是 不 允 许 在 业 务 服 务 器 上 安 装 安 全 解 决 方 案 的 ， 甚 至 配 置 日 志 系 统 都 不 可 以 ， 那 么 ， 目 前 部 署 蜜 罐 是 最 好 的 解 决 方 案 了 。 那 么 研 究 蜜 罐 解 决 方 案 ， 我 们 目 前 更 关 注 的 有 以 下 几 个 方 面 ： 那 么 研 究 蜜 罐 解 决 方 案 ， 我 们 目 前 更 关 注 的 有 以 下 几 个 方 面 ： 开 源 蜜 罐 和 商 业 蜜 罐 区 别 ？ 到 底 蜜 罐 是 否 需 要 大 数 据 分 析 （ 机 器 学 习 算 法 ） ？ 蜜 罐 创 业 商 业 模 式 如 何 ？ 现 有 产 品 分 析 现 有 产 品 分 析 本 节 介 绍 包 括 开 源 蜜 罐 分 析 和 国 内 外 商 业 蜜 罐 分 析 。 开 源 蜜 罐 按 照 类 型 可 以 划 分 为 以 下 几 种 ： 开 源 蜜 罐 按 照 类 型 可 以 划 分 为 以 下 几 种 ： 数 据 库 蜜 罐 （ 典 型 案 例 ： 数 据 库 蜜 罐 （ 典 型 案 例 ： E l a s t i c S e a r c h   H o n e y p o t ） ） E l a s t i c S e a r c h   H o n e y p o t ： 看 了 一 下 源 码 ， 发 现 是 使 用 g o 语 言 实 现 的 几 个 f a k e 函 数 F a k e   b a n n e r ： 访 问 根 目 录 时 候 ， 返 回 函 数 F a k e N o d e s ： 访 问 / N o d e s 目 录 时 候 ， 返 回 函 数 F a k e S e a r c h ： 访 问 / S e a r c h 目 录 时 候 ， 返 回 函 数 h p f e e d s C o n n e c t ： 使 用 h p f e e d 协 议 通 讯 发 现 都 是 伪 造 的 函 数 返 回 ， 这 样 很 有 可 能 被 入 侵 者 发 现 是 蜜 罐 ， 所 以 建 议 使 用 原 始 软 件 版 本 加 p a t c h 的 方 式 完 成 蜜 罐 记 录 功 能 ， 当 然 研 发 投 入 也 比 较 大 。 拿 漏 洞 E S A - 2 0 1 5 - 0 8 目 录 列 举 漏 洞 举 例 子 ， 创 建 仓 库 ， e l a s t i c s e a r c h   解 析 出 现 了 异 常 ， 并 返 回 了 读 取 文 件 的 内 容 ， 以 后 都 是 读 取 的 / e t c / p a s s w d   文 件 的 内 容 。 那 么 这 个 蜜 罐 怎 么 做 呢 ？ 应 该 把 文 件 变 更 记 录 做 好 ， 然 后 使 用 原 始 版 本 以 p a t c h 的 方 式 记 录 登 录 、 R E S T f u l   A P I 提 交 记 录 ， 这 个 使 用
真 实 服 务 模 拟 的 研 发 投 入 也 比 较 大 。 W e b 蜜 罐 （ 典 型 案 例 ： 蜜 罐 （ 典 型 案 例 ： G l a s t o p f ） ） 漏 洞 类 型 仿 真 未 知 的 攻 击 支 持 多 种 数 据 库 类 型 H P F e e d s 通 讯 过 内 置 的 沙 箱 P H P 远 程 文 件 包 含 ， 本 地 文 件 包 含 通 过 P O S T 请 求 通 常 对 手 使 用 搜 索 引 擎 和 特 殊 制 作 的 搜 索 请 求 找 到 他 们 的 受 害 者 模 拟 S Q L 注 入 、 爬 虫 响 应 等 。 如 果 要 是 我 做 ， 还 是 要 结 合 W A F 精 细 化 攻 击 数 据 。 因 为 正 常 和 不 正 常 的 U R L 访 问 太 多 。 服 务 蜜 罐 （ 典 型 案 例 服 务 蜜 罐 （ 典 型 案 例 K i p p o ） ） 伪 装 文 件 系 统 •         伪 装 用 户 文 件 存 储 •         S f t p 子 文 件 系 统   上 传 文 件 存 储 •         模 拟 一 些 特 殊 的 黑 客 关 心 的 文 件 / e t c / p a s s w d 伪 造 系 统 命 令 •         文 件 上 传 下 载 命 令   s f t p 、 s c p ， 同 时 支 持 客 户 端 w g e t / c u r l 命 令 解 析 •         S S H 交 互 执 行 的 命 令 ( 黑 客 入 侵 常 用 命 令 ) ： w e x i t c a t u n a m e c h m o d p s c d 伪 装 系 统 相 关 配 置 •         H o s t n a m e •         S S H 服 务 指 纹 •         S S H 账 号 和 密 码 •         S S H   k e y 与 外 部 威 胁 情 报 联 动 •         连 接 I P 白 名 单 威 胁 情 报 •         上 传 可 疑 文 件 内 容 检 查 威 胁 情 报 日 志 大 数 据 处 理 •         支 持 e l a s t i c   s e a r c h 日 志 导 出
  S S H 蜜 罐 目 前 开 源 解 决 方 案 比 较 成 熟 ， 但 是 还 是 缺 乏 B A S H 内 部 命 令 审 计 和 文 件 变 更 审 计 。 工 控 蜜 罐 工 控 蜜 罐 这 个 不 在 我 们 讨 论 的 范 围 ， 工 控 有 致 命 的 弱 点 ， 通 讯 协 议 本 身 没 有 加 密 ， W i r e s h a r k 完 全 透 视 ， 我 觉 得 ， 还 是 把 工 控 防 火 墙 做 好 ， 然 后 再 想 蜜 罐 的 事 吧 。 其 它 蜜 罐 （ 典 型 案 例 ： 其 它 蜜 罐 （ 典 型 案 例 ： R D P Y ） ） R D P Y ： R D P Y 是 基 于 T w i s t e d   P y t h o n 实 现 的 微 软 R D P 远 程 桌 面 协 议 。 R D P Y 支 持 标 准 的 R D P 安 全 协 议 ， 通 过 S S L 或 者 N L A 加 密 验 证 （ 或 者 通 过 n l t m v 2 验 证 协 议 ） 其 子 项 目 r d p y - r d p h o n e y p o t 是 一 个 基 于 R D P 的 蜜 罐 。 使 用 会 话 场 景 记 录 并 通 过 R D P 协 议 来 重 放 会 话 场 景 。 国 外 成 熟 的 商 业 蜜 罐 解 决 方 案 分 析 国 外 成 熟 的 商 业 蜜 罐 解 决 方 案 分 析   技 术 发 展 路 线 图 技 术 路 线 技 术 路 线 描 述 描 述 厂 商 厂 商 网 络 蜜 罐 欺 骗 技 术 与 I P S 设 备 结 合 C i s c o ,   H P ,   I B M ,   I n t e l   S e c u r i t y 端 点 蜜 罐 欺 骗 技 术 与 沙 箱 结 合 I n t e l   S e c u r i t y ,   S y m a n t e c ,   K a s p e r s k y   L a b ,   S o p h o s W e b 蜜 罐 欺 骗 技 术 与 W A F 结 合 S h a p e   S e c u r i t y   这 里 主 要 关 注 I n t e r n a l   n e t w o r k   D a t a   C e n t e r   s e c u r i t y 公 司 名 称 公 司 名 称   功 能 功 能   A t t i v o     N e t w o r k s 服 务 型 蜜 罐 + 工 控 蜜 罐 C y m m e t r i a 在 客 户 端 模 拟 一 些 面 包 削 （ f i l e   s h a r e s ,   s t o r e d   c r e d e n t i a l s ,   a n d   b r o w s e r   c o o k i e s ） + A p p l i a n c e 模 拟 多 个 V L A N + 和 防 御 设 备 联 动 A P I T r a p X T S o C + A p p l i a n c e ( 病 毒 蜜 罐 + b o t n e t 检 测 者 ) + s a n d b o x ( 文 件 监 控 + b a s h 监 控 + 沙 箱 ) G u a r d i C o r e A p p l i a n c e ( 文 件 监 控 + b a s h 监 控 ) T O P S p i n     S e c u r i t y 服 务 型 蜜 罐 + b o t n e t 检 测   r e d i r e c t   t h e   a t t a c k e r   i n t o   a   d e c e p t i o n   z o n e 分 布 式 诱 饵 提 供 商 专 门 利 用 欺 骗 和 分 布 在 企 业 中 进 行 检 测 作 为 核 心 价 值 主 张 ， 通 过 虚 拟 化 ， 软 件 定 义 网 络 ， 模 拟 服 务 和 实 时 操 作 系 统 或 应 用 程 序 来 部 署 诱 饵 系 统 ， 以 提 高 检 测 成 功 率 和 减 少 对 先 进 的 攻 击 误 报 。   （ 3 ） 国 内 初 创 安 全 公 司 解 决 方 案 公 司 公 司 - 产 品 名 称 产 品 名 称   技 术 路 线 技 术 路 线   乌 云 t h r e a t k e y 公 网 蜜 罐 威 胁 情 报 系 统 + 模 拟 已 知 漏 洞 长 亭 科 技 - 谛 听 内 网 感 知 系 统 服 务 型 蜜 罐 ， 主 要 功 能 快 速 发 现 内 部 威 胁 及 时 响 应 默 安 科 技 听 说 产 品 1 0 月 份 出 ， 目 前 没 有 介 绍 资 料 ， 无 法 判 断 核 心 技 术 分 析 核 心 技 术 分 析 本 节 主 要 介 绍 报 表 系 统 、 机 器 学 习 在 蜜 罐 系 统 的 应 用 和 蜜 罐 客 户 端 技 术 。 有 人 会 问 了 为 什 么 聊 报 表 系 统 ？ 者 算 什 么 核 心 技 术 ？ 基 础 的 数 据 库 查 询 报 表 都 做 不 好 ， 还 谈 什 么 机 器 学 习 ？ 如 果 数 据 库 查 询 基 本 上 满 足 用 户 的 需 求 ， 还 用 什 么 机 器 学 习 ？ 饭 要 一 口 一 口 吃 ， 事 要 一 件 一 件 做 。 我 们 先 假 定 一 个 目 标 ， 我 们 使 用 来 自 S S H 蜜 罐 的 数 据 ， 我 们 能 做 什 么 。 详 细 统 计 报 表 点 击 阅 详 细 统 计 报 表 点 击 阅 读 原 文 可 见 。 读 原 文 可 见 。
到 这 里 ， 我 发 现 了 一 个 问 题 ， 那 就 是 这 些 高 级 统 计 报 表 ， 也 无 法 告 诉 我 们 未 知 威 胁 来 源 于 哪 里 ， 我 们 如 何 设 置 告 警 ， 事 情 发 展 到 了 什 么 程 度 才 算 A P T 攻 击 ？ 我 想 这 些 预 测 性 的 问 题 应 该 交 给 机 器 学 习 算 法 来 处 理 吧 。 说 到 机 器 学 习 ， 我 们 必 须 要 知 道 它 是 通 过 大 量 的 基 于 已 知 数 据 计 算 ， 然 后 对 新 的 数 据 做 出 判 断 的 一 个 过 程 ， 所 以 它 必 定 和 大 数 据 是 一 对 孪 生 兄 弟 。 那 么 我 们 做 未 知 威 胁 发 现 ， 就 需 要 一 定 的 算 法 模 型 来 匹 配 大 数 据 。 工 欲 善 其 事 ， 必 先 利 其 器 。 我 们 需 要 找 到 能 够 识 别 未 知 威 胁 的 建 模 算 法 和 算 法 所 使 用 的 工 具 。 工 具 基 本 上 使 用 ： E l a s t i c s e a r c h ,   L o g s t a s h ,   K i b a n a / H a d o o p   S p a r k 。 数 据 挖 掘 算 法 方 面 ： 我 选 用 的 是 非 监 督 式 学 习 算 法 。 这 种 算 法 数 据 并 不 被 特 别 标 识 ， 学 习 模 型 是 为 了 推 断 出 数 据 的 一 些 内 在 结 构 。 常 见 的 应 用 场 景 包 括 关 联 规 则 的 学 习 以 及 聚 类 等 。 常 见 算 法 包 括 k - M e a n s 算 法 等 。 K - M e a n s   是 聚 类 的 一 种 ， 就 像 回 归 一 样 ， 有 时 候 人 们 描 述 的 是 一 类 问 题 ， 有 时 候 描 述 的 是 一 类 算 法 。 聚 类 算 法 通 常 按 照 中 心 点 或 者 分 层 的 方 式 对 输 入 数 据 进 行 归 并 。 所 以 的 聚 类 算 法 都 试 图 找 到 数 据 的 内 在 结 构 ， 以 便 按 照 最 大 的 共 同 点 将 数 据 进 行 归 类 。 这 种 算 法 适 合 网 络 蜜 罐 判 断 异 常 流 量 。 具 体 的 算 法 处 理 过 程 可 以 参 考 K D D   C u p 1 9 9 9   数 据 集 分 类 。 我 就 不 详 细 说 了 。 算 法 库 使 用 s p a r k   m l i b 。 总 结 总 结 开 源 蜜 罐 和 商 业 蜜 罐 区 别 ？ 开 源 蜜 罐 和 商 业 蜜 罐 区 别 ？ 开 源 蜜 罐 开 发 没 有 一 个 完 整 的 软 件 生 命 周 期 管 理 ， 能 部 分 实 现 功 能 就 成 。 开 发 周 期 慢 ， 无 法 和 商 业 蜜 罐 产 品 相 抗 衡 到 底 蜜 罐 是 否 需 要 大 数 据 分 析 （ 机 器 学 习 算 法 ） ？ 到 底 蜜 罐 是 否 需 要 大 数 据 分 析 （ 机 器 学 习 算 法 ） ？ 如 果 是 针 对 公 网 蜜 罐 ， 我 觉 得 可 以 使 用 机 器 学 习 算 法 来 分 析 ， 针 对 于 内 网 网 络 蜜 罐 ， 我 觉 得 也 是 非 常 有 必 要 的 ， 可 以 发 现 未 知 威 胁 。 但 是 针 对 服 务 型 蜜 罐 ， 本 身 数 据 量 就 小 ， 目 前 状 态 基 本 上 用 不 上 。 蜜 罐 创 业 商 业 模 式 如 何 ？ 蜜 罐 创 业 商 业 模 式 如 何 ？ 针 对 内 网 未 知 威 胁 感 知 场 景 ， 国 外 使 用 蜜 罐 技 术 反 A P T 的 公 司 都 赚 的 盆 满 钵 满 ， 因 为 如 果 公 司 请 专 业 的 团 队 做 应 急 ， 是 非 常 贵 的   听 说   $ 4 0 0 / h o u r ， 如 果 是 2 个 人 一 天 要 1 万 U S D 。 而 且 整 个 发 现 时 间 不 止 一 天 ， 一 般 最 少 一 周 吧 。 所 以 公 司 宁 可 买 这 种 自 动 化 发 现 A P T 攻 击 的 工 具 也 不 愿 意 掏 钱 做 c o n s u l t i n g 。 这 就 是 国 外 市 场 ， 国 内 安 全 市 场 ， 这 个 怎 么 说 呢 ？ 竞 争 环 境 激 烈 ， 让 用 户 在 本 来 紧 张 的 安 全 预 算 中 拿 出 几 十 万 买 一 个 不 知 道 有 没 有 作 用 的 新 技 术 ， 我 想 还 需 要 更 多 的 市 场 培 育 ， 销 售 和 售 前 的 工 作 。 针 对 外 网 威 胁 情 报 这 个 商 业 模 式 ， 目 前 还 有 待 观 察 ， 做 为 T o   B 的 安 全 企 业 我 不 看 好 这 种 商 业 模 式 。 * 本 文 原 创 作 者 ： b t 0 s e a ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理