搜索

[10456] 2016-09-01_蜜罐系统设计的一些想法

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-09-01_蜜罐系统设计的一些想法 蜜 罐 系 统 设 计 的 一 些 想 法 L e o n 不 会 玩 Q E M U   F r e e B u f   2 0 1 6 - 0 9 - 0 1 * 本 文 原 创 作 者 ： L e o n 不 会 玩 Q E M U ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 这 这 篇 文 章 主 要 讨 论 一 下 徒 手 搭 建 蜜 罐 系 统 的 一 些 思 路 来 告 诉 大 家 蜜 罐 对 于 网 络 安 全 运 维 的 作 用 。 篇 文 章 主 要 讨 论 一 下 徒 手 搭 建 蜜 罐 系 统 的 一 些 思 路 来 告 诉 大 家 蜜 罐 对 于 网 络 安 全 运 维 的 作 用 。 这 两 天 根 据 老 大 的 指 示 ， 一 直 在 公 司 内 部 的 公 有 云 平 台 布 置 蜜 罐 ， 从 零 开 始 布 置 蜜 罐 可 不 是 一 件 容 易 的 事 情 ， 中 间 失 败 过 好 几 次 ， 要 么 就 是 蜜 罐 人 家 压 根 不 进 去 ， 要 么 就 是 进 去 之 后 被 人 当 b o t n e t 去 对 外 攻 击 或 者 扫 描 ， 中 间 也 出 过 不 少 岔 子 。 所 以 根 据 我 的 搭 建 经 验 ， 目 前 大 概 有 这 么 几 种 方 式 ： 1 . 裸 机 器 部 署 方 式 ： 裸 机 器 部 署 方 式 ： 这 种 部 署 方 式 就 是 顾 名 思 义 使 用 真 的 机 器 ， 然 后 制 造 一 些 漏 洞 让 攻 击 者 入 侵 并 且 留 下 痕 迹 ， 其 实 一 开 始 我 也 是 这 么 做 的 。 这 么 做 的 好 处 是 ， 能 很 轻 松 的 让 别 人 进 来 ， 但 是 缺 点 太 多 了 ， 首 先 没 有 通 知 ， 并 且 需 要 不 定 时 的 上 去 查 看 ， 一 旦 机 器 被 b o t n e t 控 制 ， 还 会 对 外 攻 击 ， 公 司 的 I T 资 源 中 心 的 G G 还 会 给 你 发 邮 件 找 麻 烦 。 2 . 轻 度 开 发 部 署 模 式 ： 轻 度 开 发 部 署 模 式 ： 这 种 模 式 就 是 在 上 一 种 基 础 上 进 行 了 一 点 点 完 善 ， 实 现 了 入 侵 报 警 ， 并 且 增 加 了 一 些 管 控 的 模 块 。 比 如 某 些 b o t n e t 执 行 的 时 候 可 以 强 制 关 机 （ 这 个 有 点 猥 琐 了 ） ， 这 样 做 的 好 处 就 是 不 用 时 不 时 上 去 看 一 下 了 ， 并 且 自 动 化 相 对 高 一 些 ， 缺 点 就 是 不 能 够 储 存 一 些 数 据 。 3 . 开 源 蜜 罐 系 统 ： 开 源 蜜 罐 系 统 ： 诸 如 C o w r i e 、 D i o n e s a 这 些 开 源 的 蜜 罐 系 统 ， 好 处 就 是 能 够 虚 拟 出 来 一 个 环 境 并 且 可 以 记 录 他 的 操 作 ， 而 且 方 便 快 捷 ， 缺 点 就 是 容 易 被 s h o d a n 这 种 东 西 暴 露 了 这 是 一 个 蜜 罐 ， 也 就 是 中 出 了 个 叛 徒 。 4 . 高 度 开 发 部 署 ： 高 度 开 发 部 署 ： 可 以 按 照 C o w r i e 或 者 D i o n e s a 的 方 式 进 行 重 新 设 计 ， 例 如 使 用 D o c k e r 、 Q E M U - K V M 等 虚 拟 化 技 术 虚 拟 出 一 个 相 对 真 实 的 环 境 ， 并 且 使 用 堡 垒 机 的 方 式 来 记 录 入 侵 者 对 蜜 罐 的 操 作 并 且 储 存 到 M y S Q L / P o s t g r e S Q L 数 据 库 （ 如 果 数 据 量 大 的 话 可 以 考 虑 使 用 N o S Q L 数 据 库 ， 并 且 和 S p l u n k 等 做 数 据 分 析 平 台 对 接 ） 方 便 前 台 调 用 和 做 数 据 分 析 ， 最 重 要 的 一 点 是 要 有 个 U I 可 以 方 便 的 展 示 蜜 罐 的 运 行 情 况 ， 当 然 扩 展 性 也 是 要 有 的 ， 这 样 的 话 肯 定 不 会 被 S h o d a n 这 些 东 西 发 现 ， 但 是 随 之 而 来 的 就 是 开 发 成 本 问 题 ， 这 么 做 确 实 开 发 成 本 太 高 了 。 以 下 我 们 将 会 针 对 第 四 种 情 况 进 行 讨 论 ， 当 然 会 参 考 其 他 情 况 的 解 决 方 案 ： 首 先 我 们 先 要 确 定 一 个 基 本 的 思 路 ： 蜜 罐 的 目 的 是 为 了 诱 导 攻 击 者 进 入 一 个 环 境 然 后 记 录 下 h a c k e r 的 操 作 并 且 不 影 响 系 统 的 运 行 。 那 这 样 的 话 基 本 上 的 一 个 设 计 想 法 就 出 来 了 ： 蜜 罐 环 境 隔 离 ： 使 用 虚 拟 环 境 将 物 理 环 境 和 蜜 罐 隔 绝 开 ， 防 止 敏 感 操 作 在 真 实 的 环 境 中 进 行 造 成 破 坏 。
敏 感 操 作 记 录 ： 把 蜜 罐 中 h a c k e r 的 操 作 写 入 数 据 库 并 保 存 。 邮 件 报 警 系 统 ： 蜜 罐 被 入 侵 后 应 有 报 警 邮 件 知 会 网 络 管 理 员 大 概 的 模 型 就 如 图 所 示 了 ： 大 致 解 释 一 下 ： D a t a b a s e ： 推 荐 使 用 M y S Q L / P o s t g r e S Q L ， 主 要 用 来 存 储 H a c k e r 操 作 的 记 录 、 I P 地 址 、 时 间 、 上 下 载 的 文 件 、 S S H 爆 破 时 候 产 生 的 密 码 字 典 等 等 。 M a n a g e m e n t   C o n s o l e   管 理 平 台 ： 用 来 通 过 数 据 库 对 蜜 罐 采 集 到 的 数 据 进 行 管 理 ， 同 时 对 蜜 罐 本 身 的 状 态 进 行 监 控 。 H o n e y p o t   E m u l a t o r   蜜 罐 容 器 ： 主 要 是 提 供 一 个 虚 拟 的 L i n u x 系 统 环 境 ， 可 以 使 用 Q E M U - K V M 、 D o c k e r 等 虚 拟 化 技 术 / 容 器 技 术 搭 建 蜜 罐 环 境 ， 诱 导 H a c k e r 进 入 虚 拟 的 环 境 ， 并 记 录 其 操 作 。 A p p l i c a t i o n   L a y e r   应 用 层 ： 用 于 对 蜜 罐 收 集 到 的 数 据 进 行 分 析 、 处 理 、 展 示 等 操 作 ， 对 接 W e b   C o n s o l e 控 制 台 ； 同 时 也 可 以 做 好 A P I 对 接 到 S O C （ S e c u r i t y   O p e r a t i o n   C e n t e r 安 全 运 维 中 心 ） 等 安 全 运 维 部 门 的 平 台 上 ， 也 可 以 对 接 H a d o o p 进 行 威 胁 情 报 提 取 和 处 理 。 技 术 细 节 技 术 细 节 大 致 的 系 统 流 程 说 完 之 后 我 们 来 说 一 下 技 术 细 节 ： 1 、 数 据 库 分 表 设 计 、 数 据 库 分 表 设 计 数 据 库 尽 量 要 按 照 不 同 的 采 集 模 块 去 划 分 不 同 的 表 ， 加 快 数 据 I / O 的 速 度 ， 如 c o w r i e 蜜 罐 系 统 的 表 就 是 这 么 设 计 的 ：
  2 、 端 口 安 全 管 理 、 端 口 安 全 管 理 为 了 让 蜜 罐 看 上 去 更 像 一 些 ， 建 议 将 端 口 使 用 i p t a b l e s 做 限 制 ， 比 如 将 S S H 服 务 端 口 由 2 2 改 为 6 2 2 2 2 （ 端 口 号 尽 量 靠 后 写 ， 防 止 N M A P 等 工 具 扫 描 时 优 先 扫 描 到 ， 毕 竟 某 些 做 黑 产 的 人 的 水 平 仅 限 于 工 具 使 用 方 面 ， 你 懂 得 ） 。 然 后 将 蜜 罐 的 端 口 使 用 i p t a b l e s 重 定 向 到 2 2 号 端 口 ， 这 样 在 对 方 不 知 情 的 情 况 下 访 问 2 2 号 端 口 则 会 进 入 蜜 罐 的 虚 拟 环 境 。
3 、 界 面 伪 装 、 界 面 伪 装 尽 量 把 界 面 伪 装 的 像 某 一 发 行 版 本 的 L i n u x 界 面 ， 防 止 黑 客 产 生 疑 心 。 如 C o w r i e 就 伪 装 成 了 D e b i a n   L i n u x 4 、 虚 拟 环 境 隔 离 、 虚 拟 环 境 隔 离 使 用 隔 离 度 较 高 的 虚 拟 环 境 ， 如 p y t h o n - v i r t u a l e n v 模 块 、 Q E M U 虚 拟 器 、 D o c k e r 容 器 等 等 ， 然 后 分 配 最 低 的 权 限 ， 保 证 恶 意 操 作 不 能 在 里 面 执 行 ， 最 大 程 度 的 保 证 系 统 的 安 全 。 5 、 直 观 的 前 台 、 直 观 的 前 台 前 台 在 这 里 的 作 用 就 是 去 做 图 表 展 示 、 数 据 展 示 和 数 据 分 析 ， 可 以 选 择 和 E l a s t i c S e a r c h 系 统 、 S p l u n k 系 统 等 去 做 对 接 ， 实 现 一 个 快 捷 的 数 据 检 索 和 数 据 查 找 功 能 ， 也 可 以 使 用 w e b 服 务 去 编 写 一 套 前 台 。 这 样 的 话 你 就 应 该 设 计 出 来 一 套 完 整 的 蜜 罐 系 统 了 ， 接 下 来 只 要 运 行 一 下 就 可 以 得 到 很 多 的 有 价 值 的 信 息 了 ， 比 如 C 2 地 址 、 S S H 爆 破 字 典 、 恶 意 I P 等 等 ， 你 可 以 把 这 些 东 西 添 加 到 黑 名 单 里 ， 保 证 安 全 。 * 本 文 原 创 作 者 ： L e o n 不 会 玩 Q E M U ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理