一种混合型蜜罐的研究与分析*

针对传统蜜罐的交互度与安全性不能两全的问题,提出了一种高伪装的混合型蜜罐模型。该模型是由诱骗系统和伪装服务系统构成。诱骗系统以弱化系统的方式动态配置高交互的蜜罐来引诱入侵者,再利用重定向技术将入侵数据流引向高伪装的服务系统中,同时部署蜜网网关进行数据控制和数据捕获。通过对相关技术指标的分析可知,该模型整体上具有较高的交互度和欺骗性。     

蜜罐技术系统在局域网安全中研究与设计

本文对蜜罐的关键技术进行了深入研究并进行了详细论述,并在此基础上结合现有工具和技术设计实现了一个改进的高交互度的蜜罐系统。该蜜罐系统成功实现了多层次的数据捕获和数据控制功能。     

蜜罐取证的技术及法律问题研究

蜜罐作为新兴的网络防御及动态取证技术,不仅能够主动防御网络攻击,而且还可以收集入侵者实施攻击的重要证据。它通过网络欺骗、端口重定向、报警、数据控制和数据捕获等技术,增强动态防护体系的检测与反应能力,提高网络的安全防护水平。蜜罐运行会产生一定的技术风险,而选择低风险蜜罐、强化系统的数据获取和报警功能以及增加连接控制和路由控制等能有效实现风险控制。对于蜜罐取证可能产生的陷阱、隐私权及责任等法律问题,则可采取避免过度主动引诱、隐私权提示及审慎监控等方式加以克服。     

蜜罐重定向机制的设计与实现

面对日益严重的安全威胁,蜜罐技术为捕获并深入分析黑客行为提供了基础。本文在传统蜜罐和第二代蜜网技术基础上引入重定向机制,提出了一种结合入侵检测技术与蜜罐技术的重定向主动防御模型,并详细论述了重定向机制的实现技术与实现策略,给出了系统部署环境,最后通过实验验证系统设计的有效性。     

基于蜜罐的安全系统设计

为解决传统蜜罐系统视野狭小,存在大量安全隐患等缺点,提出了一种新的基于蜜罐的网络安全系统,并给出了对该系统主要部件的设计.该系统采用多层诱骗方法以扩大视野;将数据控制与重定向技术相结合,以便在入侵的各阶段对系统进行保护;将虚拟机技术与数据捕获技术相结合,有效提高数了据捕获的隐蔽性和数据传输的安全性.最后,在实验室的检测表明了系统的有效性.     

一种网页挂马攻击中的重定向混淆检测方法

当前关于网页挂马攻击检测的研究集中于静态检测方法和动态检测方法,但随着Web应用中动态交互技术及代码混淆技术的大量应用,静态检测方法效果已不明显,同时动态检测方法往往耗时过多。本文在总结当前关于网页挂马攻击检测研究的基础上,提出网页挂马攻击中的JavaScript重定向混淆检测方法,并基于开源JavaScript脚本引擎SpiderMonkey进行设计与实现。此方法可有效解决网页挂马攻击中的JavaScript脚本重定向混淆问题,也可作为低交互客户端蜜罐与高交互客户端蜜罐结合使用提高检测效率。     

基于工控业务仿真的高交互可编程逻辑控制器蜜罐系统设计实现

工控蜜罐的诱捕能力受仿真程度显著影响,针对现有工控蜜罐缺乏业务逻辑仿真的问题,提出了一种基于工控业务仿真的高交互可编程逻辑控制器（PLC）蜜罐设计框架和搭建方法。首先,基于工控系统的交互层次提出了一种新的工控系统（ICS）蜜罐分类方法;然后,根据工控设备的不同仿真维度,将蜜罐诱捕过程分为过程仿真循环和服务仿真循环;最后,通过定制的数据转存模块将过程数据转换到服务仿真循环中,以实现业务逻辑数据的实时响应。实验以西门子S7-300 PLC设备为参考,结合典型工控蜜罐软件Conpot和建模仿真工具Matlab/Simulink,实现了信息服务仿真和控制过程仿真的协同工作。实验结果表明,相较于Conpot,高交互PLC蜜罐系统新增了11种西门子S7设备私有功能,其中读（04 Read功能码）写（05 Write功能码）操作实现了对PLC的I区7个通道的监测和Q区1个通道的控制。这种全新的蜜罐系统突破了现有交互层次和方式的局限,为工控蜜罐设计拓展了新方向。     

基于工控业务仿真的高交互可编程逻辑控制器蜜罐系统设计实现

工控蜜罐的诱捕能力受仿真程度显著影响，针对现有工控蜜罐缺乏业务逻辑仿真的问题，提出了一种基于工控业务仿真的高交互可编程逻辑控制器（PLC）蜜罐设计框架和搭建方法。首先，基于工控系统的交互层次提出了一种新的工控系统（ICS）蜜罐分类方法；然后，根据工控设备的不同仿真维度，将蜜罐诱捕过程分为过程仿真循环和服务仿真循环；最后，通过定制的数据转存模块将过程数据转换到服务仿真循环中，以实现业务逻辑数据的实时响应。实验以西门子S7-300 PLC设备为参考，结合典型工控蜜罐软件Conpot和建模仿真工具Matlab/Simulink，实现了信息服务仿真和控制过程仿真的协同工作。实验结果表明，相较于Conpot，高交互PLC蜜罐系统新增了11种西门子S7设备私有功能，其中读（04 Read功能码）写（05 Write功能码）操作实现了对PLC的I区7个通道的监测和Q区1个通道的控制。这种全新的蜜罐系统突破了现有交互层次和方式的局限，为工控蜜罐设计拓展了新方向。     

网络安全中高交互蜜罐系统的设计

针对网络面临的安全威胁,该文提出了一种多层次数据捕获和数据控制思想的新方法。结合现有的工具和技术设计实现了一个高交互度的蜜罐系统,有效地实现了蜜罐多层次的数据捕获和数据控制功能,具有一定的实际意义。     

动态混合蜜罐在企业网络安全中的应用

蜜罐技术是一种没有任何产品价值的安全资源,它与网络防火墙、入侵检测等传统的网络防护技术结合在一起在大型分布式网络中部署可以提高系统安全性。为避免低交互蜜罐仿真度不高,高交互蜜罐部署代价高的缺点,设计了一个在具有多个企业子网的大型局域网中应用动态混合蜜罐的网络安全防护系统,并介绍其关键功能的实现和优越性。     

高交互式工控蜜罐系统设计与实现

随着工业互联网技术在工业行业的广泛应用,工业互联网安全问题也越来越多地暴露在公众视野中。在工业互联网安全领域,攻击和防护之间始终存在着差距。这使得针对工业互联网的安全研究处于一个不利的局面。蜜罐系统作为一种吸引潜在攻击者的陷阱工具,通过服务模拟吸引对象攻击,记录攻击数据、分析攻击行为,研究攻击策略,形成威胁情报数据,在平衡攻击和防护之间差距中起着重要的作用。首先,研究了当前蜜罐系统的背景,分析了不同种类蜜罐系统之间的区别;接着,明确了蜜罐系统的功能需求,提出了基于真实工控环境的高交互式蜜罐系统,完成了蜜罐系统的设计与搭建工作;最后,通过渗透测试验证了蜜罐系统的有效性,为进一步依靠蜜罐系统开展网络安全研究奠定基础。     

基于数据包分片的工控蜜罐识别方法

蜜罐是一种用于安全威胁发现与攻击特征提取的主动防御技术,能够提供高价值且低误报率的攻击流量和样本。蜜罐的应用压缩了网络黑客的隐匿空间,攻击者可通过蜜罐识别技术来发现和规避蜜罐。因此,安全人员有必要从攻击者的角度深入研究蜜罐识别的方法,以便优化蜜罐系统的设计与实现。本文从蜜罐的结构出发,总结了8种蜜罐识别要素,并评估了不同识别要素的准确性和隐蔽性。结合互联网蜜罐分布特点,归纳了一种互联网中的蜜罐识别流程,并基于Conpot工控蜜罐架构的固有缺陷,提出了一种基于数据包分片的工控蜜罐识别方法。通过三次互联网扫描,共发现2432个Conpot工控蜜罐,并进一步分析了其分布特点。     

基于智能Agent和数据挖掘技术的蜜罐系统的研究

传统的网络安全技术被动防护的特点,很难满足现在网络的需要。文章利用Agent的智能化和分布式协同处理功能,在传统蜜罐的基础上,提出一种基于智能Agent的蜜罐系统结构,并对获取的非法数据进行关联、挖掘,根据已有的入侵方法找出未来可能发生的入侵方式。系统利用智能Agent的分布式处理能力特点完成对各个服务器和主机的保护;利用数据挖掘算法在大量数据中提出有用信息不断更新知识库;利用专家系统实现对非法访问到蜜罐系统的漂移;利用蜜罐系统作为非法数据容器和分析工厂。文章首先介绍传统网络安全技术的不足;然后针对智能Agent、蜜罐技术的研究现状进行阐述;接着提出基于Agent和数据挖掘技术的蜜罐系统的模型;最后指出其发展前景和面临的挑战。     

基于DivertSocket的Honeypot技术研究

Honeypot系统通过设置诱骗服务来迷惑攻击者,从而使真正网络服务避免被恶意探测和攻击。分析了现有Honeypot技术的不足,提出并讨论了基于DivertSocket和事件分离的强交互和弱交互Honeypot的实现技术(DS-Honey-pot),给出了相关定义,分析了DS-Honeypot安全性。     

基于防火墙钩子的IPSec VPN研究与实现

针对采用网络驱动接口规范（NDIS）实现IPSec VPN系统过程中存在的问题,提出一种基于防火墙钩子的IPSecVPN系统,研究了Windows网络层防火墙钩子数据包过滤技术,将IPSec封包处理提升到网络层中加以实现。该系统能有效解决由NDIS实现方式引起的MTU处理、路由和数据包分片、重组等问题,提高了系统处理效率,且具有较好的应用特性。     

蜜罐先知型半分布式P2P Botnet的构建及检测方法

蜜罐技术在僵尸网络（botnet）的防御和检测中扮演着重要的角色。攻击者可能会利用已有的基于蜜罐防御技术的漏洞,即防御者配置蜜罐要担当一定的责任,不允许蜜罐参与真实的攻击,进而构建出可以躲避蜜罐的botnet。针对这一问题,提出了攻击者利用认证sensor组建的蜜罐先知型半分布式P2P botnet,针对此类botnet,提出了用高交互性蜜罐和低交互性蜜罐相结合的双重蜜罐检测技术,并与传统蜜罐技术做了比较。理论分析表明,该检测方法能够有效地弥补蜜罐防御技术的漏洞,提高了蜜罐先知型半分布式P2P botnet的检出率。     

网络层外交互卫星通信系统及其应用

外交互卫星通信系统是适合我国远程教育应用需求的一种极具竞争力的解决方案。该文分析该通信模式,提出一种网络层外交互卫星通信系统技术方案,介绍系统组成、数据处理流程以及核心单元的功能和设计实现方法。实际测试表明,网络层外交互卫星通信系统可以同时支持远程教育的数据广播业务和双向交互业务,在远程教育及偏远地区宽带网络接入领域具有十分广阔的应用前景。     

一种改进的Honeyd隧道路由方法

基于Honeyd的分布式蜜罐系统隧道路由存在乒乓效应。为此，提出一种改进的Honeyd隧道路由方法。研究通用路由封装(GRE)隧道通信的基本原理，分析乒乓效应产生的原因，并据此改进扩展IP协议、路由表和数据包处理流程。实验结果表明，通过该方法改进后的GRE隧道能保持原网络的拓扑结构，且对网络吞吐率和CPU占用率没有影响。     

蜜罐技术在计算机取证中的应用与研究

对计算机取证的概念、方法进行了详细分析,有效地将蜜罐技术应用于计算机取证中,并且利用蜜罐系统进行了数据捕获的测试。