搜索

[21929] 2021-05-02_从近期情况看蜜罐新技术和发展走向

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-05-02_从近期情况看蜜罐新技术和发展走向 从 近 期 情 况 看 蜜 罐 新 技 术 和 发 展 走 向 L e m o n S e c   2 0 2 1 - 0 5 - 0 2 转 自 f r e e b u f   作 者 M o t i o n 随 着 攻 防 演 习 日 益 实 战 化 、 常 态 化 使 得 蜜 罐 从 十 几 年 的 老 安 全 技 术 焕 发 新 春 ， 基 于 蜜 罐 演 进 而 来 的 欺 骗 防 御 也 因 此 而 名 声 大 噪 ， 越 来 越 多 的 安 全 厂 商 已 经 将 资 源 投 入 到 此 技 术 领 域 。 在 最 近 信 通 院 组 织 的 蜜 罐 产 品 能 力 评 测 中 ， 参 与 的 主 流 厂 商 有 3 6 家 之 多 。 蜜 罐 技 术 火 热 的 背 后 ， 是 蜜 罐 技 术 可 有 效 弥 补 当 前 网 络 安 全 防 御 方 案 短 板 的 巨 大 推 力 ， 同 时 ， 趋 于 常 态 化 的 攻 防 演 习 也 是 最 大 的 催 化 剂 之 一 。 趋 于 常 态 化 的 攻 防 演 习 也 是 最 大 的 催 化 剂 之 一 。 在 过 去 的 攻 防 演 习 中 ， 蜜 罐 不 仅 展 示 出 面 向 攻 击 优 秀 的 诱 捕 和 溯 源 能 力 ， 在 日 常 安 全 运 维 中 也 体 现 出 了 不 可 或 缺 的 独 特 价 值 ， 这 可 能 才 是 蜜 罐 真 正 的 生 命 力 。 基 于 对 蜜 罐 技 术 的 研 究 ， 结 合 对 开 源 蜜 罐 项 目 和 商 用 欺 骗 防 御 类 产 品 的 调 研 和 分 析 ， 本 文 将 从 对 当 前 蜜 罐 产 品 使 用 本 文 将 从 对 当 前 蜜 罐 产 品 使 用 的 新 技 术 介 绍 出 发 ， 来 看 未 来 欺 骗 防 御 的 发 展 走 向 。 的 新 技 术 介 绍 出 发 ， 来 看 未 来 欺 骗 防 御 的 发 展 走 向 。 1 .   环 境 仿 真 环 境 仿 真 传 统 蜜 罐 通 常 提 供 的 是 “ 单 维 ” 的 仿 真 ， 仿 真 特 定 的 主 机 、 服 务 、 应 用 环 境 等 ； 而 最 新 的 蜜 罐 则 需 要 的 是 “ 多 维 ” 的 仿 真 能 力 ， 在 之 前 的 基 础 上 ， 可 以 结 合 用 户 真 实 网 络 或 业 务 环 境 去 定 制 环 境 仿 真 配 置 和 数 据 。 从 而 提 供 一 个 和 用 户 真 实 环 境 相 近 、 能 够 有 效 迷 惑 攻 击 者 的 仿 真 诱 捕 环 境 。 试 想 ， 如 果 一 个 完 整 的 虚 拟 环 境 ， 部 署 在 用 户 真 实 网 络 之 前 ， 不 仅 可 以 有 效 推 迟 攻 击 者 进 攻 的 步 伐 ， 还 可 以 获 得 攻 击 者 的 攻 击 方 式 和 行 为 逻 辑 等 信 息 。 环 境 仿 真 技 术 主 要 包 括 软 件 仿 真 技 术 、 容 器 仿 真 技 术 、 虚 拟 机 仿 真 技 术 等 ， 几 类 仿 真 技 术 所 能 提 供 的 仿 真 能 力 和 支 持 仿 真 的 类 型 示 意 如 下 ： 几 类 仿 真 技 术 简 要 对 比 如 下 ： 几 类 仿 真 技 术 简 要 对 比 如 下 ： 项 目 项 目 类 别 类 别 软 件 仿 真 技 术 软 件 仿 真 技 术 容 器 仿 真 技 术 容 器 仿 真 技 术 虚 拟 机 仿 真 技 术 虚 拟 机 仿 真 技 术 交 互 类 型 低 、 中 交 互 为 主 高 交 互 高 交 互 优 势 资 源 占 用 小 ， 部 署 简 单 ， 运 行 高 效 支 持 应 用 、 服 务 类 高 交 互 仿 真 支 持 设 备 、 主 机 、 系 统 级 软 件 高 交 互 仿 真 缺 点 以 提 供 低 、 中 交 互 为 主 ， 实 现 高 交 互 难 度 大 部 署 相 对 较 复 杂 ， 资 源 需 求 较 高 部 署 复 杂 ， 资 源 需 求 高 ， 环 境 准 备 时 间 长 应 用 场 景 较 简 单 协 议 、 服 务 、 应 用 的 仿 真 对 应 用 、 服 务 等 的 高 交 互 仿 真 对 设 备 、 主 机 、 操 作 系 统 的 高 交 互 仿 真
2 .   攻 击 诱 导 攻 击 诱 导 攻 击 诱 导 的 目 标 就 是 通 过 技 术 手 段 在 攻 击 者 进 入 网 络 后 主 动 引 诱 攻 击 者 进 入 到 泥 沼 当 中 不 能 自 拔 ， 在 有 限 的 仿 真 环 境 下 提 升 命 中 率 。 常 见 的 攻 击 诱 导 技 术 包 括 ： 诱 饵 投 放 、 流 量 转 发 、 虚 拟 I P 等 。 在 典 型 攻 防 演 习 场 景 中 ， 攻 击 诱 导 技 术 可 以 将 主 动 权 互 换 ， 成 为 防 守 方 获 取 主 动 权 的 利 器 。 2 . 1 .   诱 饵 投 放 诱 饵 投 放 诱 饵 是 投 放 在 互 联 网 或 企 业 内 网 里 的 各 种 留 给 攻 击 者 的 虚 假 情 报 ， 很 多 情 报 是 都 极 具 诱 惑 力 ， 诱 导 攻 击 者 快 速 进 入 被 控 状 态 。 根 据 类 型 和 用 途 不 同 ， 可 以 分 为 日 志 诱 饵 、 证 书 诱 饵 、 账 户 诱 饵 、 邮 件 诱 饵 、 项 目 代 码 诱 饵 等 。 诱 饵 包 括 I P 地 址 、 用 户 账 户 、 服 务 应 用 路 径 、 密 码 本 等 信 息 ， 当 攻 击 者 获 取 诱 饵 里 的 信 息 后 ， 一 般 会 顺 藤 摸 瓜 ， 沿 着 诱 饵 里 线 索 提 供 的 主 机 、 服 务 、 应 用 进 行 深 入 渗 透 ， 进 而 将 攻 击 者 引 诱 到 陷 阱 之 中 。 诱 饵 投 放 工 作 示 意 图 如 下 ： 2 . 2 .   流 量 转 发 流 量 转 发 通 过 流 量 转 发 可 以 实 现 将 攻 击 者 试 图 访 问 正 常 资 产 的 攻 击 流 量 主 动 转 发 到 仿 真 环 境 里 。 常 见 的 流 量 转 发 实 现 技 术 包 括 网 络 转 发 和 主 机 转 发 。 1 、 主 机 转 发 ： 一 般 需 要 在 主 机 上 部 署 探 针 软 件 ， 探 针 用 于 监 测 客 户 未 使 用 的 网 络 端 口 来 虚 拟 真 实 服 务 ， 通 过 探 针 将 试 图 访 问 这 些 端 口 的 异 常 连 接 请 求 转 发 到 仿 真 环 境 里 ； 2 、 网 络 转 发 ： 根 据 威 胁 线 索 通 过 动 态 调 整 网 关 设 备 策 略 等 方 式 来 将 异 常 流 量 直 接 导 入 到 仿 真 环 境 里 。 流 量 转 发 工 作 示 意 图 如 下 所 示 ：
2 . 3 .   虚 拟 虚 拟 I P 虚 拟 I P ， 顾 名 思 义 就 是 给 单 个 主 机 绑 定 多 个 I P 地 址 ， 通 过 在 仿 真 环 境 里 将 I P 资 源 绑 定 到 蜜 罐 诱 捕 环 境 上 来 批 量 生 成 虚 拟 资 产 ， 提 高 蜜 罐 的 覆 盖 率 ， 增 加 攻 击 者 攻 击 蜜 罐 的 概 率 。 虚 拟 I P 工 作 示 意 图 如 下 所 示 ： 3 .   溯 源 反 制 溯 源 反 制 传 统 的 基 于 I P 的 溯 源 方 法 对 攻 击 者 的 身 份 信 息 获 取 十 分 有 限 ， 很 难 及 时 对 攻 击 者 进 行 有 效 溯 源 和 反 制 。 蜜 罐 系 统 则 给 了 防 守 方 以 反 制 攻 击 者 的 机 会 ， 通 过 蜜 罐 里 预 设 的 反 制 手 段 ， 主 动 获 取 攻 击 者 主 机 或 者 网 络 的 信 息 ， 来 更 准 确 的 定 位 攻 击 者 的 身 份 ， 实 现 更 精 准 的 溯 源 。 在 典 型 攻 防 演 习 场 景 中 ， 防 守 方 只 需 要 获 得 虚 拟 身 份 即 可 ， 一 个 优 秀 的 蜜 罐 系 统 完 成 这 个 任 务 可 谓 手 到 擒 来 。 常 用 的 溯 源 反 制 技 术 包 括 ： W E B 反 制 、 扫 描 反 制 、 密 标 文 件 反 制 等 方 式 。
3 . 1 .   W E B 反 制 反 制 攻 击 者 在 浏 览 网 站 或 W E B 应 用 页 面 时 ， 会 下 载 页 面 数 据 、 脚 本 文 件 在 用 户 本 地 解 析 执 行 、 渲 染 展 示 。 利 用 这 个 特 性 ， 将 反 制 脚 本 嵌 入 到 正 常 的 网 站 或 W E B 应 用 页 面 里 ， 攻 击 者 访 问 时 也 会 将 反 制 脚 本 自 动 下 载 到 攻 击 者 本 地 运 行 来 获 取 溯 源 信 息 。 W E B 反 制 是 较 常 用 的 反 制 手 段 ， 可 获 取 的 典 型 溯 源 信 息 包 括 ： 1 、 获 取 攻 击 者 主 机 操 作 系 统 和 浏 览 器 的 特 性 信 息 ， 包 括 攻 击 者 主 机 的 操 作 系 统 类 型 、 操 作 系 统 时 区 、 屏 幕 分 辨 率 、 浏 览 器 指 纹 、 浏 览 器 类 型 、 浏 览 器 版 本 等 信 息 ； 2 、 通 过 应 用 的 J S O N P 漏 洞 获 取 攻 击 者 主 机 上 曾 经 使 用 过 的 社 交 账 号 、 攻 击 者 手 机 号 等 个 人 信 息 ； 3 、 对 攻 击 者 本 地 端 口 进 行 扫 描 ， 获 取 攻 击 者 本 机 开 放 端 口 等 数 据 ； W E B 反 制 工 作 示 意 图 如 下 所 示 ： 3 . 2 .   扫 描 反 制 扫 描 反 制 攻 击 者 在 实 施 攻 击 时 大 多 数 情 况 都 会 使 用 扫 描 器 或 攻 击 工 具 ， 利 用 扫 描 对 象 、 扫 描 器 或 攻 击 工 具 的 漏 洞 可 以 在 攻 击 者 进 行 扫 描 或 尝 试 攻 击 的 同 时 ， 反 向 来 获 取 攻 击 者 的 身 份 信 息 。 通 过 在 仿 真 环 境 里 预 设 一 些 针 对 特 定 服 务 、 扫 描 工 具 的 反 制 模 块 ， 当 攻 击 者 采 用 这 类 工 具 实 施 扫 描 或 攻 击 时 会 触 发 对 应 反 制 模 块 ， 实 现 读 取 攻 击 者 设 备 指 纹 和 身 份 信 息 来 实 现 反 制 。 当 前 部 分 欺 骗 防 御 产 品 里 已 使 用 了 扫 描 反 制 技 术 ， 较 常 用 的 扫 描 反 制 手 段 包 括 M y S Q L 反 制 、 S Q L M a p 反 制 、 A W V S 反 制 等 。 扫 描 反 制 工 作 示 意 图 如 下 所 示 ：
3 . 3 .   蜜 标 反 制 蜜 标 反 制 蜜 标 文 件 多 采 用 攻 击 者 感 兴 趣 的 文 件 类 型 或 文 件 名 称 ， 通 过 代 码 捆 绑 等 技 术 向 该 文 件 中 嵌 入 特 定 数 据 和 代 码 ， 通 过 构 造 场 景 引 诱 攻 击 者 去 访 问 、 下 载 蜜 标 文 件 ， 当 攻 击 者 下 载 并 在 本 地 打 开 蜜 标 文 件 时 ， 就 会 触 发 内 嵌 代 码 ， 记 录 并 回 传 攻 击 主 机 和 攻 击 者 特 征 信 息 来 实 现 溯 源 和 反 制 。 蜜 标 反 制 工 作 示 意 图 如 下 所 示 ： 采 用 蜜 标 文 件 来 反 制 对 防 守 方 安 全 能 力 要 求 较 高 ， 需 结 合 用 户 业 务 环 境 特 点 来 制 作 蜜 标 文 件 ， 同 时 将 蜜 标 文 件 部 署 在 攻 击 者 较 容 易 访 问 的 位 置 才 能 取 得 更 好 的 效 果 。 4 .   未 来 欺 骗 防 御 发 展 预 测 未 来 欺 骗 防 御 发 展 预 测 攻 防 演 习 已 向 常 态 化 与 实 战 化 迈 进 ， 攻 防 演 习 虽 不 提 蜜 罐 ， 但 处 处 是 蜜 罐 ， 但 此 蜜 罐 非 彼 蜜 罐 ， 笔 者 更 倾 向 于 称 其 为 “ 欺 骗 防 御 ” 或 “ 仿 真 诱 捕 ” 技 术 ， 传 统 的 利 用 高 交 互 蜜 罐 一 招 溯 源 攻 击 者 的 历 史 一 去 不 复 返 ， 而 复 杂 的 可 以 和 真 实 计
算 环 境 融 合 的 新 一 代 欺 骗 防 御 技 术 和 产 品 需 求 会 越 来 越 旺 盛 。 全 球 知 名 的 I T 研 究 与 顾 问 咨 询 公 司 G a r t n e r 评 价 “ 欺 骗 防 御 ” 技 术 是 对 现 有 安 全 防 护 体 系 产 生 深 远 影 响 的 安 全 技 术 。 在 G a r t n e r   2 0 2 0 年 安 全 运 营 技 术 成 熟 度 曲 线 报 告 中 ， 分 析 师 将 “ 欺 骗 平 台 ” 这 项 技 术 放 在 了 “ 期 望 膨 胀 期 ” ， 并 将 目 前 的 成 熟 度 定 义 为 “ 青 春 期 ” ， 预 计 该 技 术 会 在 5 至 1 0 年 后 达 到 成 熟 并 被 广 泛 使 用 。 基 于 最 新 蜜 罐 技 术 演 进 分 析 ， 结 合 当 前 欺 骗 防 御 行 业 发 展 态 势 ， 笔 者 认 为 未 来 几 年 欺 骗 防 御 市 场 和 产 品 发 展 将 有 以 下 几 个 趋 势 。 4 . 1 .   欺 骗 防 御 技 术 应 用 会 更 广 泛 欺 骗 防 御 技 术 应 用 会 更 广 泛 欺 骗 防 御 作 为 主 动 防 御 的 范 畴 ， 在 多 个 领 域 都 能 发 挥 他 独 特 的 价 值 。 应 用 到 威 胁 监 测 方 面 利 用 它 误 报 低 的 优 点 ， 可 以 作 为 常 态 化 运 维 监 测 工 具 使 用 ， 也 可 以 将 其 作 为 一 个 引 擎 或 者 模 块 集 成 到 其 他 安 全 产 品 里 ， 赋 能 其 他 产 品 提 供 威 胁 诱 捕 的 能 力 ； 应 用 到 溯 源 领 域 ， 利 用 多 种 反 制 手 段 ， 可 以 提 供 对 攻 击 的 精 确 溯 源 ； 同 时 ， 欺 骗 防 御 可 以 产 出 高 质 量 的 本 地 威 胁 情 报 ， 这 些 情 报 数 据 可 以 和 本 地 比 如 W A F 、 F W 进 行 联 动 或 者 集 成 来 提 高 全 网 主 动 防 御 能 力 。 正 是 由 于 欺 骗 防 御 在 多 个 领 域 均 有 着 重 要 作 用 ， 因 此 未 来 欺 骗 防 御 技 术 势 必 应 用 也 会 更 加 广 泛 。 4 . 2 .   集 合 网 络 测 绘 技 术 的 计 算 环 境 仿 真 集 合 网 络 测 绘 技 术 的 计 算 环 境 仿 真 诱 捕 环 境 能 否 有 效 迷 惑 攻 击 者 ， 关 键 还 得 看 诱 捕 环 境 是 否 能 仿 得 足 够 真 ， 较 简 单 的 仿 真 环 境 ， 较 容 易 被 攻 击 者 识 破 ， 很 难 有 效 拖 延 攻 击 者 的 攻 击 行 为 。 为 了 有 效 提 升 诱 捕 环 境 的 仿 真 度 ， 通 过 集 合 网 络 测 绘 技 术 来 对 用 户 网 络 进 行 测 绘 ， 基 于 测 绘 的 结 果 来 仿 真 出 跟 用 户 真 实 网 络 近 似 的 诱 捕 网 络 ， 同 时 ， 基 于 测 绘 的 结 果 自 动 去 优 化 攻 击 诱 导 策 略 来 提 高 成 功 诱 捕 攻 击 的 概 率 ， 打 造 一 个 贴 近 用 户 真 实 网 络 ， 可 以 有 效 迷 惑 攻 击 者 、 主 动 诱 导 攻 击 行 为 的 诱 捕 网 络 环 境 ， 将 能 有 效 助 力 威 胁 诱 捕 能 力 的 提 升 。 4 . 3 .   仿 真 模 板 行 业 化 、 业 务 化 仿 真 模 板 行 业 化 、 业 务 化 将 仿 真 基 础 能 力 和 仿 真 业 务 能 力 松 耦 合 ， 产 品 提 供 仿 真 基 础 能 力 支 撑 ， 采 用 模 板 来 管 理 和 维 护 行 业 化 、 业 务 化 的 仿 真 业 务 能 力 ； 通 过 系 统 自 动 学 习 ， 或 者 提 供 直 观 、 简 便 的 接 口 支 持 用 户 自 定 义 等 方 式 来 生 成 仿 真 模 板 ， 支 持 通 过 模 板 实 现 仿 真 业 务 能 力 的 共 享 。 这 样 可 以 大 大 提 高 欺 骗 防 御 产 品 部 署 时 业 务 适 配 的 灵 活 性 和 效 率 ， 有 助 于 提 升 产 品 和 行 业 业 务 的 贴 合 度 ， 有 利 于 加 速 欺 骗 防 御 产 品 的 应 用 和 推 广 。 4 . 4 .   溯 源 仍 然 是 未 来 重 点 之 一 溯 源 仍 然 是 未 来 重 点 之 一 传 统 的 溯 源 手 段 对 攻 击 者 的 身 份 信 息 获 取 十 分 有 限 ， 面 临 定 位 不 准 、 取 证 调 查 难 等 诸 多 困 难 。 采 用 欺 骗 防 御 可 以 提 供
更 加 精 准 的 溯 源 手 段 ， 能 够 更 准 确 的 定 位 攻 击 者 的 身 份 ， 为 防 守 方 提 供 更 精 准 的 溯 源 能 力 。 因 此 ， 溯 源 能 力 仍 然 是 欺 骗 防 御 类 产 品 的 未 来 重 点 方 向 之 一 。 随 着 攻 防 对 抗 的 演 进 ， 所 采 取 的 溯 源 反 制 手 段 也 需 同 步 迭 代 ， 同 时 反 制 手 段 需 结 合 用 户 业 务 环 境 特 点 去 定 制 化 才 能 取 得 更 好 的 效 果 ， 因 此 ， 投 入 成 本 相 对 较 高 ， 主 要 应 用 在 大 中 型 企 事 业 机 构 和 对 溯 源 有 强 需 求 的 场 景 里 使 用 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理