蜜罐的相关知识

桃扇骨 2022-11-10 10:58 156阅读 0赞

# 1. 什么是蜜罐 #

*  `站在攻击者角度`蜜罐就是一台主机或者说一个互联网资产，例如一个数据库、一个web网站、一个服务等
 *  `站在防御者角度`蜜罐就是一个启动在主机上的服务，或者说一个docker镜像，它承担着牺牲自己来获取攻击者数据的作用，大多数情况的蜜罐本身并没有什么攻击作用，更多是一种信息收集兼“挨打”的设备，换句话说。

# 2. 蜜罐的工作原理 #

蜜罐分为很多种，不同的蜜罐有不同的工作方式，但最终目的都是`诱使黑客对其进行攻击，然后对其的行为进行记录并声称日志，通过对蜜罐收集到对日志进行人工或者自动化的分析来得到对网络环境中的威胁情况感知。`

每一个蜜罐都会暴露一些或难或易的漏洞给攻击者，等待攻击者去攻击。攻击者对其进行攻击的时候蜜趁此机会搜集攻击者的信息，并且拖延攻击者的进攻步伐同时方便安全运营的同事对其进行运营操作例如封ip等。

一般情况下蜜罐并不会真正的拦截攻击者，它更多的职责是帮助生成攻击者画像或者行为路径比如攻击者ip、攻击者访问了那些url、攻击者访问了哪些端口等等。

下面举例列出几种蜜罐的工作方式：

*  电子邮件蜜罐，其实就是一些被故意放出来的邮箱账号，这些账号一般只能被扫描器发现，正常用户是不会给这些邮箱发邮件的，当邮箱蜜罐收到邮件的时候就将发件人标记，然后以后属于被标记的发件人的邮件全部当垃圾邮件丢弃，并且发件人的源ip可以被加入黑名单中。
 *  数据库蜜罐，用来监控攻击者对数据库的攻击命令或发现利用sql注入进行的攻击。运营人员可以将访问次数据库的所有ip直接ban掉
 *  爬虫蜜罐，这种蜜罐只有爬虫才能够访问到，而正常用户无法看到的链接。例如源代码中一个被注释掉的url等。通过爬虫蜜罐可以抓取到那些正在对公司资产进行扫描等爬虫并进行分析与封禁。
 *  脆弱应用蜜罐，比如在内网或者公网部署一个含有一个jenkins未授权的漏洞的蜜罐来捕获扫描器行为与攻击者的攻击行为，并将蜜罐隔离起来防止攻击者利用蜜罐进行横移，将攻击者困在其中并记录其行为与ip。

# 3. 蜜网是什么 #

由很多个蜜罐组成的完整的网络叫做蜜网，一般情况下蜜网都被放在隔离网段，它也是一套完整的资产，有web服务器，用户主机、数据库等等。它就是为了模拟一个真实的互联网环境而存在的，为了诱使攻击者进入其中然后记录攻击者的行为并对其进行分析。

# 4. 沙箱与蜜罐蜜网着重点的区别 #

沙箱允许恶意软件安装并运行以供观察其恶意行为；蜜罐和蜜网关注分析黑客会在自以为已被渗透的网络上干些什么；

# 5. 监控进入蜜罐的流量有什么价值 #

1.  得到攻击者ip
2.  分析威胁级别
3.  总结归类攻击者作案手法，进而制定更匹配的防御方案
4.  获取攻击者常用的恶意软件，并制定对应的防御策略
5.  我们已有的安全措施在组织网络攻击方面的实际效果是怎样的

# 6. 使用蜜罐的好处 #

1.  批量获取恶意ip，且准确率高，因为能访问蜜罐的ip都是恶意ip
2.  节省资源
3.  相比较于常规的IDS，误报率小的多
4.  捕获到更多攻击者的信息
5.  可以轻易捕获内部威胁
6.  放置一些诱饵信息进而浪费黑客的攻击时间，甚至达到反制黑客主机的效果

# 7. 蜜罐的缺点 #

1.  一个好的、配置合理的蜜罐会欺骗攻击者，让他们相信他们已获得真实系统的访问权限。它将具有与真实系统相同的登录警告消息、相同的数据字段甚至相同的外观和徽标。但是，如果攻击者成功将其识别为蜜罐，他们就会继续攻击您的其他系统，同时不与蜜罐接触。
2.  如果蜜罐本身有不可预知的漏洞可以让攻击者进行横移的话，那么这个蜜罐所带来的危害是无法想象的，因此要将蜜罐保护好，防止攻击者从中“逃逸”出来。
3.  蜜罐不能覆盖所有的攻击面，所以还是要有专门的安全人员时刻关注前沿的安全新闻。
4.  蜜罐永远无法代替IDS与防火墙等基础防御设备。

# 8.公网蜜罐与内网蜜罐侧重点的区别 #

对于内网来说，常见的攻击手段包括网络嗅探、资产探测/端口扫描、暴力破解、拒绝服务、ARP攻击、DNS劫持、漏洞利用（redis未授权访问、jboss配置不当导致的rce等）等，且内网的攻击手段是随着服务种类的增多不断增加的。

我们需要做的，是发现内网中的异常行为/攻击行为。相比外网来说，无需收集0day、无需分析恶意ip、对接威胁情报等，所以我们不需要高交互类型的蜜罐，在内网中低交互的蜜罐能满足我们的需求。

所谓低交互蜜罐，就是通过模拟服务，监听端口连接并记录数据包，可以实现端口扫描和暴力破解的检测等。

# 参考文章 #

[蜜罐是什么？如何通过蜜罐提高安全性][Link 1]

[蜜罐调研与内网安全][Link 2]

[开源蜜罐测评报告][Link 3]

[沙箱、蜜罐和欺骗防御的区别][Link 4]

[Link 1]: https://www.kaspersky.com.cn/resource-center/threats/what-is-a-honeypot
[Link 2]: https://mp.weixin.qq.com/s/D6Kc0y41TL9diui1eW1L7g
[Link 3]: https://www.freebuf.com/articles/paper/207739.html
[Link 4]: https://www.secrss.com/articles/5086