搜索

[21895] 2021-04-21_攻防之蜜罐总结

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-04-21_攻防之蜜罐总结 攻 防 之 蜜 罐 总 结 安 全 祖 师 爷   L e m o n S e c   2 0 2 1 - 0 4 - 2 1 攻 防 对 抗 中 红 蓝 双 方 使 出 浑 身 解 数 ， 开 展 攻 击 与 反 攻 击 的 终 极 大 战 。 作 为 一 名 蓝 方 人 员 ， 不 仅 看 到 了 传 统 防 御 技 术 在 这 次 对 抗 中 的 精 彩 表 现 ， 更 感 受 到 了 主 动 防 御 技 术 在 H W 中 发 挥 的 巨 大 作 用 ， 在 我 看 来 最 典 型 的 莫 过 于 蜜 罐 了 ， 红 方 人 员 误 入 蜜 罐 ， 被 蓝 方 人 员 捕 捉 到 并 进 行 身 份 画 像 ， 那 我 们 就 来 聊 聊 蜜 罐 为 何 这 么 d i a o 。 从 被 动 防 御 到 主 动 防 御 从 被 动 防 御 到 主 动 防 御 一 直 以 来 ， 被 动 防 御 是 通 过 面 向 已 知 特 征 的 威 胁 ， 基 于 特 征 库 精 确 匹 配 来 发 现 可 疑 行 为 ， 将 目 标 程 序 与 特 征 库 进 行 逐 一 比 对 ， 实 现 对 异 常 行 为 进 行 监 控 和 阻 断 ， 这 些 特 征 库 是 建 立 在 已 经 发 生 的 基 础 之 上 ， 这 就 很 好 的 解 释 了 为 什 么 被 动 防 御 是 一 种 “ 事 后 ” 的 行 为 。 典 型 的 技 术 有 防 火 墙 、 入 侵 检 测 等 。 但 是 对 于 未 知 的 攻 击 如 0 d a y ， 依 赖 于 特 征 库 匹 配 的 防 御 是 无 法 有 效 应 对 的 ， 为 了 应 对 这 种 攻 防 不 对 等 的 格 局 ， 主 动 防 御 技 术 出 现 了 ， 典 型 的 技 术 有 网 络 空 间 拟 态 防 御 等 。 引 入 主 动 防 御 策 略 引 入 主 动 防 御 策 略 随 着 攻 击 技 术 的 进 一 步 提 高 ， 越 来 越 多 的 方 法 可 以 绕 过 传 统 的 被 动 防 御 技 术 来 对 目 标 系 统 发 动 攻 击 ， 传 统 的 被 动 防 御 技 术 也 引 进 了 主 动 防 御 策 略 ， 如 各 大 厂 商 推 出 的 智 能 防 火 墙 ， 思 科 的 下 一 代 防 火 墙 、 山 石 网 科 的 智 能 防 火 墙 ， 将 人 工 智 能 技 术 引 入 防 火 墙 来 主 动 发 现 恶 意 行 为 。 除 此 之 外 ， 也 有 新 型 的 主 动 防 御 技 术 如 沙 箱 、 蜜 罐 等 相 继 出 现 ， 进 一 步 弥 补 了 攻 防 不 对 称 的 局 面 。 这 类 技 术 主 要 解 决 “ 已 知 的 未 知 威 胁 ” ， 例 如 ， 蜜 罐 通 过 构 建 伪 装 的 业 务 主 动 引 诱 攻 击 者 ， 从 而 捕 获 行 为 。 在 H W 期 间 ， 就 存 在 将 蜜 罐 伪 装 成 某 服 的 V P N 映 射 在 外 网 引 诱 攻 击 者 攻 击 ， 从 而 迷 惑 攻 击 者 ， 通 过 捕 获 I P 进 行 封 堵 来 提 高 攻 击 者 的 时 间 成 本 ， 也 可 对 攻 击 者 进 行 溯 源 ， 但 是 蜜 罐 技 术 还 是 无 法 应 对 0 d a y 。
沙 箱 技 术 沙 箱 技 术   沙 箱 技 术 源 于 软 件 错 误 隔 离 技 术 （ s o f t w a r e - b a s e d   f a u l t   i s o l a t i o n , S F I ） 。 S F I 主 要 思 想 是 隔 离 。 沙 箱 通 过 采 用 虚 拟 化 等 技 术 构 造 一 个 隔 离 的 运 行 环 境 ， 并 且 为 其 中 运 行 的 程 序 提 供 基 本 的 计 算 资 源 抽 象 ， 通 过 对 目 标 程 序 进 行 检 测 分 析 ， 准 确 发 现 程 序 中 的 恶 意 代 码 等 ， 进 而 达 到 保 护 宿 主 机 的 目 的 。 如 默 安 的 架 构 采 用 k v m ， 长 亭 采 用 的 是 d o c k e r 。 由 于 沙 箱 具 有 隔 离 性 ， 恶 意 程 序 不 会 影 响 到 沙 箱 隔 离 外 的 系 统 ， 而 且 沙 箱 还 具 有 检 测 分 析 的 功 能 ， 来 分 析 程 序 是 否 为 恶 意 程 序 。 但 是 还 存 在 隐 患 ， 沙 箱 只 监 控 常 见 的 操 作 系 统 应 用 接 口 程 序 ， 使 得 一 些 恶 意 代 码 能 够 轻 松 绕 过 从 而 攻 击 宿 主 外 的 环 境 。 基 于 虚 拟 机 的 沙 箱 为 不 可 信 资 源 提 供 了 虚 拟 化 的 运 行 环 境 ， 保 证 原 功 能 的 同 时 提 供 了 相 应 的 安 全 防 护 ， 对 宿 主 机 不 会 造 成 影 响 。 基 于 虚 拟 机 的 沙 箱 采 用 虚 拟 化 和 恶 意 行 为 检 测 两 种 技 术 ， 恶 意 行 为 检 测 技 术 方 法 采 用 了 特 征 码 检 测 法 和 行 为 检 测 法 来 进 行 检 测 ， 特 征 码 检 测 对 检 测 0 d a y 无 能 为 力 ， 行 为 检 测 可 以 检 测 0 d a y ， 但 误 报 率 高 。                                                       蜜 罐 技 术 蜜 罐 技 术 蜜 罐 技 术 起 源 于 2 0 世 纪 9 0 年 代 ， 它 通 过 部 署 一 套 模 拟 真 实 的 网 络 系 统 来 引 诱 攻 击 者 攻 击 ， 进 而 在 预 设 的 环 境 中 对 入 侵 行 为 进 行 检 测 、 分 析 ， 还 原 攻 击 者 的 攻 击 途 径 、 方 法 、 过 程 等 ， 并 将 获 取 的 信 息 用 于 保 护 真 实 的 系 统 。 广 泛 应 用 于 恶 意 代 码 检 测 与 样 本 捕 获 、 入 侵 检 测 与 攻 击 特 征 提 取 、 网 络 攻 击 取 证 、 僵 尸 网 络 追 踪 等 。 蜜 罐 之 所 以 称 为 蜜 罐 ， 是 因 为 设 计 之 初 就 是 为 了 攻 击 者 量 身 定 做 包 含 大 量 漏 洞 的 系 统 ， 是 用 于 诱 捕 攻 击 者 的 一 个 陷 阱 ， 本 质 上 一 种 对 攻 击 者 的 一 种 欺 骗 技 术 ， 只 有 蜜 罐 在 处 于 不 断 被 扫 描 、 攻 击 甚 至 被 攻 破 的 时 候 ， 才 能 体 现 蜜 罐 的 价 值 。 蜜 罐 实 际 不 包 含 任 何 敏 感 数 据 。 可 以 这 么 说 ， 能 够 访 问 蜜 罐 的 ， 都 是 可 疑 行 为 ， 都 可 以 确 认 为 黑 客 ， 从 而 采 取 下 一 步 动 作 。 通 过 以 上 的 分 析 ， 推 出 蜜 罐 具 有 三 种 能 力 ： 伪 装 伪 装 ， 通 过 模 拟 各 种 含 有 漏 洞 的 应 用 系 统 来 引 诱 攻 击 者 入 侵 以 减 少 对 实 际 系 统 的 威 胁 。 数 据 诱 捕 数 据 诱 捕 ， 攻 击 者 如 果 攻 入 蜜 罐 ， 那 么 可 以 通 过 蜜 罐 日 志 记 录 来 还 原 攻 击 者 从 进 入 到 离 开 蜜 罐 期 内 的 所 有 活 动 过 程 及 其 他 信 息 。 威 胁 数 据 分 析 威 胁 数 据 分 析 ， 对 攻 击 者 的 数 据 进 行 分 析 ， 还 原 攻 击 者 的 攻 击 手 法 ， 并 对 此 进 行 溯 源 等 。
但 同 时 ， 蜜 罐 也 具 有 局 限 性 ， 他 只 有 攻 击 者 攻 击 时 才 能 发 挥 它 自 身 的 作 用 ， 如 果 攻 击 者 没 有 触 发 蜜 罐 ， 那 么 蜜 罐 将 毫 无 意 义 ， 所 以 现 在 我 们 更 要 关 注 如 何 让 攻 击 者 能 有 效 的 触 碰 到 蜜 罐 ， 然 后 利 用 相 关 技 术 对 此 展 开 溯 源 。 同 样 ， 如 果 攻 击 者 识 别 了 该 蜜 罐 ， 并 且 成 功 进 入 ， 利 用 相 关 逃 逸 0 d a y 对 蜜 罐 展 开 攻 击 （ 蜜 罐 记 录 不 到 ） ， 那 么 蜜 罐 将 会 被 当 成 跳 板 机 对 其 他 真 实 业 务 展 开 攻 击 ， 危 害 巨 大 。 蜜 罐 分 类 蜜 罐 分 类 蜜 罐 可 以 分 为 三 类 ， 低 交 互 式 蜜 罐 ， 中 交 互 式 蜜 罐 ， 高 交 互 式 蜜 罐 。 低 交 互 式 蜜 罐 低 交 互 式 蜜 罐 ： 通 常 是 指 与 操 作 系 统 交 互 程 度 较 低 的 蜜 罐 系 统 ， 仅 开 放 一 些 简 单 的 服 务 或 端 口 ， 用 来 检 测 扫 描 和 连 接 ， 这 种 容 易 被 识 别 。 中 交 互 式 蜜 罐 中 交 互 式 蜜 罐 ： 介 于 低 交 互 式 和 高 交 互 式 之 间 ， 能 够 模 拟 操 作 系 统 更 多 的 服 务 ， 让 攻 击 者 看 起 来 更 像 一 个 真 实 的 业 务 ， 从 而 对 它 发 动 攻 击 ， 这 样 蜜 罐 就 能 获 取 到 更 多 有 价 值 的 信 息 。 高 交 互 式 高 交 互 式 ： 指 的 是 与 操 作 系 统 交 互 很 高 的 蜜 罐 ， 它 会 提 供 一 个 更 真 实 的 环 境 ， 这 样 更 容 易 吸 引 入 侵 者 ， 有 利 于 掌 握 新 的 攻 击 手 法 和 类 型 ， 但 同 样 也 会 存 在 隐 患 ， 会 对 真 实 网 络 造 成 攻 击 。 在 这 次 H W 中 ， 相 当 大 一 部 分 蜜 罐 都 部 署 在 内 网 当 中 ， 部 署 在 外 网 的 蜜 罐 只 有 极 少 数 ， 部 署 在 外 网 的 蜜 罐 可 以 检 测 到 的 东 西 就 多 了 ， 尤 其 绑 定 域 名 后 ， 把 攻 击 者 迷 惑 的 分 不 清 东 西 南 北 。 某 厂 商 的 蜜 罐 可 以 说 在 H W 中 大 放 光 彩 ， 只 要 攻 击 者 对 该 蜜 罐 进 行 访 问 ， 在 很 大 程 度 上 就 能 够 获 取 你 的 社 交 账 号 I D ， 然 后 根 据 指 纹 信 息 还 原 攻 击 者 身 份 画 像 ， 这 点 我 相 信 很 多 红 方 没 有 料 到 ， 从 而 被 社 工 的 很 惨 。 至 于 用 了 什 么 技 术 我 就 不 写 了 ， 怕 见 不 到 第 二 天 的 太 阳 。   蜜 罐 不 仅 能 检 测 攻 击 者 的 攻 击 手 法 ， 也 能 够 检 测 到 僵 尸 网 络 ， 比 如 说 这 次 H W 中 ， 有 很 多 肉 鸡 利 用 w e b l o g i c 的 漏 洞 自 动 对 外 网 发 起 攻 击 ， 然 后 植 入 木 马 病 毒 等 。 公 网 蜜 罐 可 以 很 好 的 检 测 这 种 行 为 ， 进 而 进 行 信 息 收 集 或 追 踪 。
（ 追 踪 到 的 某 僵 尸 网 络 主 机 ） （ 追 踪 到 的 某 僵 尸 网 络 主 机 ） 文 末 感 谢 p i r o g u e 、 1 2 3 0 6 小 哥 的 知 识 见 解 ， 才 能 编 写 出 这 么 一 篇 来 之 不 易 的 文 章 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理