搜索

[7095] 2020-11-26_“迷网”系列科普（二）：欺骗诱捕技术的基础组件，“钓鱼”得靠它们！

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2020-11-26_“迷网”系列科普（二）：欺骗诱捕技术的基础组件，“钓鱼”得靠它们！ “ 迷 网 ” 系 列 科 普 （ 二 ） ： 欺 骗 诱 捕 技 术 的 基 础 组 件 ， “ 钓 鱼 ” 得 靠 它 们 ！ E 安 全   2 0 2 0 - 1 1 - 2 6 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 迷 网 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
上 期 ， 我 们 简 单 讲 解 了 欺 骗 诱 捕 体 系 的 概 念 与 作 用 。 “ 迷 网 ” 系 列 科 普 （ 一 ） ： 让 攻 击 者 逃 不 出 的 “ 盗 梦 空 间 ” — — 欺 骗 诱 捕 技 术 介 绍 这 次 我 们 将 重 点 谈 谈 ， 主 要 应 用 与 实 践 的 几 项 技 术 。 想 要 搭 建 欺 骗 诱 捕 体 系 ， 主 要 有 几 个 步 骤 ： 1 、 制 定 剧 本 ， 设 计 预 期 的 攻 击 走 向 ， 后 续 的 步 骤 均 将 诱 使 攻 击 者 的 攻 击 活 动 按 照 预 定 轨 迹 行 动 。 2 、 对 保 护 对 象 进 行 仿 真 ， 对 象 可 能 是 终 端 ， 也 可 能 是 网 站 ， 也 可 能 是 数 据 库 等 等 。 3 、 设 置 诱 饵 ， 对 内 容 进 行 仿 真 、 伪 造 ， 给 攻 击 者 制 定 更 具 有 诱 惑 力 的 目 标 ， 可 以 是 文 件 、 某 个 网 站 页 面 也 可 以 是 数 据 库 中 的 数 据 等 等 。 4 、 准 备 所 需 的 专 用 软 件 、 反 制 工 具 、 溯 源 工 具 等 。 5 、 按 照 预 定 剧 本 配 置 引 流 入 口 并 进 行 组 网 。 为 了 完 成 这 一 系 列 目 标 ， 我 们 需 要 更 专 业 一 些 的 描 述 方 式 。 在 此 之 前 ， 我 们 需 要 先 来 了 解 几 个 概 念 ， 也 是 本 期 的 重 点 ： 蜜 罐 、 蜜 饵 、 蜜 标 、 蜜 网 与 蜜 场 。 蜜 罐 ， 英 文 名 H o n e y p o t 。 这 个 概 念 早 在 1 9 8 8 年 就 被 C l i f f o r d S t o l l 提 出 ， 他 认 为 “ 蜜 罐 是 一 个 了 解 黑 客 的 有 效 手 段 ” ， 并 且 有 出 版 一 部 黑 客 小 说 《 T h e   C u c k o o ' s   E g g 》 。 我 们 再 参 考 一 下 维 基 百 科 、 百 度 百 科 上 的 解 释 ： 专 指 用 来 侦 测 或 抵 御 未 经 授 权 操 作 或 者 是 黑 客 攻 击 的 陷 阱 ， 因 原 理 类 似 诱 捕 昆 虫 的 蜜 罐 因 而 得 名 。 其 作 用 方 法 是 通 过 布 置 一 些 作 为 诱 饵 的 主 机 、 网 络 服 务 或 者 信 息 ， 诱 使 攻 击 方 对 它 们 实 施 攻 击 。 这 样 我 们 大 致 可 以 理 解 为 ， 其 是 通 过 构 建 一 个 专 门 用 来 吸 引 攻 击 者 攻 击 的 目 标 对 象 ， 以 捕 获 攻 击 者 的 一 个 陷 阱 。 考 虑 到 资 源 利 用 率 问 题 ， 这 类 技 术 往 往 采 用 虚 拟 化 技 术 实 现 ， 如 K V M 、 V M w a r e 、 D o c k e r 等 。 0 1 蜜 罐
蜜 罐 有 很 多 种 分 类 方 法 ： 按 其 部 署 目 的 可 分 为 产 品 型 与 研 究 型 ； 按 照 其 交 互 等 级 ， 可 以 分 为 低 交 互 、 中 交 互 、 高 交 互 三 种 ； 按 照 其 表 现 出 来 的 形 态 区 分 ， 种 类 无 疑 就 更 多 了 ， 操 作 系 统 类 、 服 务 类 、 W e b 应 用 类 、 数 据 库 类 、 物 联 网 终 端 类 、 工 控 设 备 类 等 等 。 这 里 我 们 重 点 讨 论 一 下 按 照 交 互 等 级 的 分 类 方 法 。 什 么 是 低 交 互 蜜 罐 呢 ？ 想 必 在 仔 细 阅 读 本 文 的 你 应 该 具 备 一 定 的 攻 防 经 验 吧 。 我 们 都 了 解 过 ， 要 想 入 侵 一 个 目 标 ， 最 开 始 的 过 程 就 是 信 息 收 集 ， 扫 描 、 探 测 是 常 用 的 手 段 ， 我 们 利 用 自 动 化 工 具 比 如 N M A P ， 对 目 标 主 机 发 起 探 测 后 ， 对 应 的 主 机 会 返 回 一 段 信 息 作 为 反 馈 ， 通 过 对 这 个 信 息 进 行 分 析 N M A P 就 得 到 了 目 标 主 机 是 否 存 活 、 开 放 了 哪 些 端 口 和 服 务 、 可 能 是 怎 样 的 操 作 系 统 等 等 诸 如 此 类 的 信 息 ， 没 错 ， 低 交 互 就 是 主 要 作 用 于 这 个 阶 段 ， 其 仿 造 了 这 样 的 存 活 的 I P 、 网 站 、 服 务 ， 在 攻 击 者 进 行 探 测 扫 描 时 能 够 发 现 这 样 的 对 象 。 那 高 交 互 蜜 罐 呢 ？ 其 实 就 是 更 深 入 一 些 ， 不 仅 仅 作 用 于 这 个 阶 段 ， 高 交 互 蜜 罐 具 有 更 多 的 操 作 空 间 ， 你 可 以 利 用 弱 口 令 登 录 它 ， 可 以 像 一 个 真 正 的 网 站 访 问 它 ， 可 以 用 数 据 库 客 户 端 连 接 访 问 它 。 想 必 说 到 这 ， 你 已 经 大 致 了 解 了 高 交 互 、 低 交 互 蜜 罐 的 差 别 了 ， 低 交 互 只 提 供 了 应 答 仿 真 ， 并 不 能 进 行 后 续 的 深 度 交 互 ， 就 是 这 样 的 一 个 界 定 区 别 。 在 实 际 应 用 中 ， 我 们 一 般 不 去 讨 论 中 交 互 蜜 罐 ， 主 要 也 是 因 为 其 不 好 界 定 ， 可 以 理 解 其 是 在 低 交 互 蜜 罐 的 基 础 上 做 了 进 一 步 的 延 伸 ， 但 又 并 非 通 过 实 体 硬 件 或 虚 拟 化 技 术 仿 真 出 的 可 操 作 性 实 例 。 从 对 蜜 罐 交 互 性 层 面 上 的 讨 论 ， 您 大 致 可 以 了 解 到 这 样 的 一 个 概 念 ， 就 是 蜜 罐 是 有 仿 真 度 差 别 的 。 那 问 题 又 来 了 ， 为 什 么 不 都 用 高
交 互 蜜 罐 呢 ？ 为 什 么 要 做 低 交 互 蜜 罐 ？ 主 要 有 两 方 面 原 因 ： 一 是 ， 并 不 是 所 有 的 仿 真 对 象 ， 都 那 么 容 易 仿 真 ， 高 交 互 蜜 罐 大 多 数 的 实 现 方 式 就 是 “ 真 正 的 搭 建 了 一 套 相 似 的 环 境 ” ， 这 个 过 程 最 好 有 与 目 标 完 全 相 同 的 软 件 环 境 ， 比 如 实 现 一 个 数 据 库 类 型 的 高 交 互 蜜 罐 ， 最 好 的 办 法 就 是 在 虚 拟 机 中 直 接 搭 建 一 套 数 据 库 软 件 ， 并 在 其 中 添 加 一 些 仿 真 数 据 ， 但 并 不 是 所 有 的 环 境 都 如 此 容 易 的 获 得 对 应 的 软 件 ， 比 如 工 业 控 制 系 统 设 备 ， 我 们 只 能 对 其 协 议 与 应 答 进 行 仿 真 。 第 二 点 原 因 在 于 资 源 的 利 用 率 问 题 ， 上 文 我 们 讲 到 欺 骗 技 术 的 根 本 目 的 有 两 个 ， 其 一 是 干 扰 攻 击 者 的 认 知 、 攻 击 过 程 ， 增 加 网 络 复 杂 度 是 极 好 的 一 种 干 扰 方 式 ， 可 以 增 加 攻 击 者 的 攻 击 成 本 ， 另 一 方 面 可 以 感 知 攻 击 者 的 攻 击 动 作 ， 低 交 互 的 方 式 由 于 其 资 源 耗 损 比 较 少 ， 因 此 占 用 资 源 更 低 ， 往 往 可 以 用 于 扩 大 蜜 罐 的 部 署 范 围 以 及 将 网 络 复 杂 化 工 作 。 而 高 交 互 蜜 罐 则 往 往 用 于 希 望 捕 捉 攻 击 者 更 多 信 息 的 时 候 使 用 ， 比 如 身 份 追 溯 、 行 为 分 析 。 蜜 饵 （ H o n e y b a i t ） , 从 字 面 意 义 上 理 解 就 是 诱 饵 的 意 思 ， 通 过 布 置 一 些 攻 击 者 可 能 感 兴 趣 的 资 源 作 为 诱 饵 ， 以 达 到 吸 引 攻 击 者 的 目 的 。 该 资 源 同 样 不 提 供 真 实 的 服 务 ， 所 以 一 般 情 况 下 不 会 被 正 常 人 触 动 ， 所 以 一 旦 触 动 时 基 本 可 以 判 断 为 系 统 被 入 侵 。 到 这 大 家 是 不 是 发 现 ， 概 念 上 跟 蜜 罐 有 一 点 相 似 ？ 同 样 都 是 吸 引 攻 击 者 攻 击 ， 同 样 都 是 仿 真 。 二 者 的 主 要 区 别 其 实 在 于 ， 蜜 饵 是 布 置 在 “ 用 户 真 实 环 境 ” 当 中 的 ， 可 以 是 文 件 、 数 据 或 某 个 W e b 页 面 等 ， 当 攻 击 者 对 真 实 环 境 中 的 目 标 进 行 入 侵 时 起 到 诱 饵 的 作 用 ， 而 蜜 罐 本 身 是 “ 虚 假 的 对 象 ” ， 本 身 就 是 诱 导 攻 击 者 进 行 攻 击 的 目 标 。 另 一 个 概 念 ， 蜜 标 （ H o n e y t o k e n ） ， 这 个 概 念 其 实 是 在 蜜 饵 的 基 础 上 ， 增 加 了 反 制 手 段 ， 比 如 在 文 件 中 增 加 了 反 制 方 法 （ 如 木 马 、 反 溯 脚 本 等 ） ， 当 文 件 被 打 开 时 ， 蜜 标 可 以 反 向 采 集 攻 击 者 信 息 甚 至 反 控 攻 击 者 主 机 。 实 际 交 流 时 ， 二 者 往 往 不 做 区 分 ， 统 一 用 蜜 饵 代 指 。 再 来 说 说 蜜 网 （ H o n e y n e t ） ， 蜜 网 是 由 1 个 或 多 个 实 例 化 的 蜜 罐 构 成 的 诱 捕 网 络 ， 就 是 对 蜜 罐 通 过 网 络 配 置 、 网 络 编 排 的 技 术 进 行 组 网 的 产 物 ， 一 般 是 纯 粹 由 蜜 罐 构 成 的 ， 独 立 于 “ 用 户 真 实 环 境 ” 的 。 一 个 独 立 的 网 络 ， 脱 离 了 用 户 的 真 实 环 境 ， 显 然 不 是 最 佳 的 部 署 方 案 ， 而 且 都 由 蜜 罐 来 构 成 网 络 ， 网 络 越 大 ， 资 源 的 消 耗 也 越 大 ， 对 蜜 网 范 围 的 扩 张 也 是 不 利 的 。 那 对 此 ， 通 常 来 说 厂 商 会 提 供 一 个 专 用 的 重 定 向 器 （ 俗 称 A g e n t ） , 用 以 安 装 在 用 户 真 实 环 境 中 的 空 闲 主 机 或 服 务 器 中 ， 并 将 其 指 定 端 口 的 流 量 转 发 引 流 至 蜜 罐 。 那 在 蜜 网 的 基 础 上 ， 结 合 这 种 引 流 技 术 形 成 的 新 的 网 络 ， 就 叫 做 蜜 场 （ H o n e y f a r m ） 了 。 实 际 交 流 时 ， 二 者 往 往 不 做 区 分 ， 统 一 用 蜜 网 代 指 。 0 2 蜜 饵 与 蜜 标 0 3 蜜 网 与 蜜 场
本 期 我 们 主 要 讲 述 了 构 建 欺 骗 诱 捕 体 系 时 ， 常 用 的 几 种 概 念 ， 这 些 都 是 在 构 建 欺 骗 诱 捕 网 络 时 的 基 础 组 件 。 在 这 些 组 件 技 术 的 基 础 上 ， 按 照 提 前 准 备 好 的 剧 本 ， 安 排 引 流 入 口 、 诱 捕 信 息 的 发 布 渠 道 ， 并 且 布 置 好 仿 真 的 数 据 、 应 用 ， 之 后 就 是 等 待 鱼 儿 上 钩 了 。 当 然 ， 仅 仅 了 解 几 种 概 念 ， 你 可 能 还 没 解 渴 ， 后 面 我 们 会 再 由 浅 入 深 ， 逐 渐 分 享 一 些 “ 干 货 ” 。 / / 下 期 预 告 下 期 预 告 理 论 介 绍 篇 （ 一 ） 欺 骗 诱 捕 网 络 的 部 署 方 式 围 观 安 恒 信 息 成 为 杭 州 亚 运 会 官 方 网 络 安 全 服 务 合 作 伙 伴 热 文 护 航 亚 运 ｜ 安 恒 信 息 重 磅 推 出 “ 九 维 五 星 ”   网 络 安 全 场 景 化 保 障 体 系 热 文 安 恒 信 息 落 地 乌 镇   打 造 国 内 首 家 “ 互 联 网 网 络 安 全 医 院 ” 往 期 精 选

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理