基于DivertSocket的Honeypot技术研究

Honeypot系统通过设置诱骗服务来迷惑攻击者,从而使真正网络服务避免被恶意探测和攻击。分析了现有Honeypot技术的不足,提出并讨论了基于DivertSocket和事件分离的强交互和弱交互Honeypot的实现技术(DS-Honey-pot),给出了相关定义,分析了DS-Honeypot安全性。     

基于诱骗式蜜罐系统设计与应用

一、蜜罐Honeypot概述 对于安全研究组织来说,面临的最大问题是缺乏对入侵者的了解,他们最需要了解的是谁正在攻击、攻击的目的是什么、攻击者如何进行攻击、攻击者使用什么方法攻击,以及攻击者何时进行攻击等。这些问题如果只是凭空猜测,往     

基于Honeypot主动防御系统的数据控制设计

主动防御技术是近年来网络安全领域发展中的一种新技术。文章以Honeypot为基础,建立系统模型,重点对数据控制进行了优化设计。数据控制是本系统中最关键的一环,优化设计采用数据重定向功能和数据包抑制设计,既能灵活诱骗攻击者的攻击行为,又能对其攻击活动进行一定的限制,大大降低Honeypot带来的安全风险。     

基于Honeypot网络安全技术的数据捕获模块设计

在对传统的防火墙和入侵检测技术探讨的基础上,通过对入侵诱骗技术Honeypot系统的研究,设计了一个基于Honeypot技术的数据捕获模块.介绍了基于Linux系统的数据捕获实现方法,其中使用了三层数据捕获来监控攻击者的入侵行为,这样尽可能多地捕获并学习攻击者的相关信息,从而保护系统安全.     

网络欺骗和嗅探技术研究

网络欺骗能够显著地增加攻击者的工作量、攻击复杂度以及不确定性,从而使攻击者不知道其进攻是否奏效或成功,而且它允许防护者跟踪攻击者的行为,在攻击者之前修补系统可能存在的安全漏洞。本文主要探讨网络欺骗和嗅探技术。     

入侵检测系统中的蜜罐技术应用

蜜罐作为一种主动的安全防御技术被引入网络安全领域。它的价值体现在它希望被攻击和威胁以获得攻击者更多的信息和攻击技术。同时通过吸引攻击者的攻击而保护真正的系统。     

Honeynet新技术及其应用

伴随着网络的普及与发展,越来越频繁的黑客入侵已经对网络安全构成了严重的威胁,然而当前的大部分系统采用的是被动防御技术,有防火墙技术和入侵检测技术等,而随着网络技术的发展,逐渐暴露出其缺陷。防火墙在保障网络安全方面,对病毒、访问限制、后门威胁和对于内部的黑客攻击等都无法起到作用。入侵检测则存在着难以检测新类型黑客攻击方法,并可能漏报和误报的问题,这些都必须要求有更高的技术手段来防范黑客攻击与病毒入侵。Honeypot技术使这些问题有望得到进一步的解决,通过观察和记录黑客在Honeypot上的活动,人们可以了解黑客的动向、黑客使用的攻击方法等有用信息。如果将Honeypot采集的信息与IDS采集的信息联系起来,则有可能减少IDS的漏报和误报,并能用于进一步改进IDS的设计,增强IDS的检测能力。Spitzner认为Honeypot的概念非常简单,就是一个专门让黑客攻击的系统,而作为欺骗系统的Honeypot所发挥的作用是极其有限的,Honeypot主要作用是提供了一条获取黑客信息的途径;基于Honeypot理论发展而来的Honeynet在理论技术方面已经比较成熟,Honeynet主张使用真实的系统。这样既可以观察黑客是如何侵入系统的,又可以深人观察黑客进入系统之后的一些活动,Honeynet方案提供给黑客的活动环境是一个网络,该网络一般有多台作为“诱饵”的Honeypot机,连到Internet上,吸引黑客攻击。Honeynet利用人侵检测系统捕获网络上传输的数据包,记录黑客活动信息。另外,Honeynet利用防火墙控制黑客不能以Honeypot机为跳板攻击该网络外的系统。     

入侵检测系统中的蜜罐技术应用

蜜罐作为一种主动的安全防御技术被引入网络安全领域。它的价值体现在它希望被攻击和威胁以获得攻击者更多的信息和攻击技术。同时通过吸引攻击者的攻击而保护真正的系统。     

采用工作量证明共识机制的区块链中挖矿攻击者间的“鲶鱼效应”

近年来,采用工作量证明共识机制(Proof of Work,PoW)的区块链被广泛地应用于以比特币为代表的数字加密货币中.自私挖矿攻击(Selfish mining)等挖矿攻击(Mining attack)策略威胁了采用工作量证明共识机制的区块链的安全性.在自私挖矿攻击策略被提出之后,研究者们进一步优化了单个攻击者的挖矿攻击策略.在前人工作的基础上,本文提出了新颖的两阶段挖矿攻击模型,该模型包含拥有单攻击者的传统自私挖矿系统与拥有两个攻击者的多攻击者系统.本文的模型同时提供了理论分析与仿真量化分析,并将两个攻击者区分为内部攻击者与外部攻击者.通过引入内部攻击者与外部攻击者的概念,本文指出传统自私挖矿系统转化为多攻击者系统的条件.本文进一步揭示了在多攻击者系统中两个攻击者将产生竞争并面临着“矿工困境”问题.攻击者间的竞争可被总结为“鲶鱼效应”:外部攻击者的出现导致内部攻击者的相对收益下降至多67.4%,因此内部攻击者需要优化攻击策略.本文提出了名为部分主动发布策略的全新挖矿攻击策略,相较于自私挖矿策略,该策略是半诚实的攻击策略.在特定场景下,部分主动发布策略可以提高攻击者的相对收益并破解攻击者面临的“矿工困境”问题.     

网络分流诱捕系统的设计和实现

提出了一种Windows环境下网络分流诱捕系统的设计和实现方法。它根据IDS规则库，利用Windows DDK网络驱动NDIS中间层技术实现网络流量的过滤和分流，为Honeypot收集大量非法流量，提高了Honeypot的效率，同时阻隔面向真实服务器的攻击流量，保护了真实服务器。     

基于数据包分片的工控蜜罐识别方法

蜜罐是一种用于安全威胁发现与攻击特征提取的主动防御技术,能够提供高价值且低误报率的攻击流量和样本。蜜罐的应用压缩了网络黑客的隐匿空间,攻击者可通过蜜罐识别技术来发现和规避蜜罐。因此,安全人员有必要从攻击者的角度深入研究蜜罐识别的方法,以便优化蜜罐系统的设计与实现。本文从蜜罐的结构出发,总结了8种蜜罐识别要素,并评估了不同识别要素的准确性和隐蔽性。结合互联网蜜罐分布特点,归纳了一种互联网中的蜜罐识别流程,并基于Conpot工控蜜罐架构的固有缺陷,提出了一种基于数据包分片的工控蜜罐识别方法。通过三次互联网扫描,共发现2432个Conpot工控蜜罐,并进一步分析了其分布特点。     

基于LKM的无线蜜罐实现技术研究*

为降低真实AP被探测攻击的概率及实现对探测攻击行为进行跟踪研究,提出了一种基于可加载内核模块LKM与无线网卡驱动MadWiFi的无线接入点蜜罐实现技术,随机生成大量的虚假无线接入点并响应连接探测,同时对探测攻击行为进行跟踪分析。实验结果表明该无线蜜罐实现技术达到了预期效果。     

蜜罐取证的技术及法律问题研究

蜜罐作为新兴的网络防御及动态取证技术,不仅能够主动防御网络攻击,而且还可以收集入侵者实施攻击的重要证据。它通过网络欺骗、端口重定向、报警、数据控制和数据捕获等技术,增强动态防护体系的检测与反应能力,提高网络的安全防护水平。蜜罐运行会产生一定的技术风险,而选择低风险蜜罐、强化系统的数据获取和报警功能以及增加连接控制和路由控制等能有效实现风险控制。对于蜜罐取证可能产生的陷阱、隐私权及责任等法律问题,则可采取避免过度主动引诱、隐私权提示及审慎监控等方式加以克服。     

蜜罐技术研究与应用进展

蜜罐是防御方为了改变网络攻防博弈不对称局面而引入的一种主动防御技术,通过部署没有业务用途的安全资源,诱骗攻击者对其进行非法使用,从而对攻击行为进行捕获和分析,了解攻击工具与方法,推测攻击意图和动机.蜜罐技术赢得了安全社区的持续关注,得到了长足发展与广泛应用,并已成为互联网安全威胁监测与分析的一种主要技术手段.介绍了蜜罐技术的起源与发展演化过程,全面分析了蜜罐技术关键机制的研究现状,回顾了蜜罐部署结构的发展过程,并归纳总结了蜜罐技术在互联网安全威胁监测、分析与防范等方向上的最新应用成果.最后,对蜜罐技术存在的问题、发展趋势与进一步研究方向进行了讨论.     

蜜网技术与网络安全

网络安全领域日益受到重视,蜜罐与蜜网技术是基于主动防御理论而提出的。蜜罐与蜜网技术通过精心布置的诱骗环境来吸引网络攻击者的入侵,进而了解攻击思路、攻击工具和攻击目的等行为信息。本文介绍了蜜罐的主要技术原理,并且比较和分析了第一代、第二代和第三代蜜网模型。     

Honeypot back-propagation for mitigating spoofing distributed Denial-of-Service attacks

The Denial-of-Service (DoS) attack is a challenging problem in the current Internet. Many schemes have been proposed to trace spoofed (forged) attack packets back to their sources. Among them, hop-by-hop schemes are less vulnerable to router compromise than packet marking schemes, but they require accurate attack signatures, high storage or bandwidth overhead, and cooperation of many ISPs.In this paper, we propose honeypot back-propagation, an efficient hop-by-hop traceback mechanism, in which accurate attack signatures are obtained by a novel leverage of the roaming honeypots scheme. The reception of attack packets by a roaming honeypot (a decoy machine camouflaged within a server pool) triggers the activation of a tree of honeypot sessions rooted at the honeypot under attack toward attack sources. The tree is formed hierarchically, first at Autonomous system (AS) level and then at router level. Honeypot back-propagation supports incremental deployment by providing incentives for ISPs even with partial deployment.Against low-rate attackers, most traceback schemes would take a long time to collect the needed number of packets. To address this problem, we also propose progressive back-propagation to handle low-rate attacks, such as on-off attacks with short bursts. Analytical and simulation results demonstrate the effectiveness of the proposed schemes under a variety of DDoS attack scenarios.     

蜜罐技术的分析与研究

蜜罐是一种旨在诱骗、拖延和搜集有关攻击的诱饵,作为一种主动防御技术,在网络安全的防护中,蜜罐技术可以用来分析攻击行为和设计新的防御系统.从蜜罐技术的原理和体系结构出发,针对国内外蜜罐技术的发展现状,分析了蜜罐技术未来的研究趋势;同时根据其关键技术,提出了合理的蜜罐部署方式.     

一种基于多阶段攻击响应的SDN动态蜜罐

蜜罐作为一种主动防御机制,可以通过部署诱饵目标,主动吸引攻击者与虚假资源进行交互,从而在防止有价值的真实资源受到破坏的同时,也能根据收集到的数据分析攻击行为并主动应对。然而,现有蜜罐方案存在无法针对复杂攻击手段部署特定蜜罐防御;蜜罐攻防博弈中动态性考虑不够充分,无法根据收益与成本有效选择蜜罐最佳防御策略;以及性能开销较大等缺陷。文章提出基于多阶段攻击响应和动态博弈相结合的SDN动态蜜罐架构以及基于Docker的SDN动态蜜罐部署策略和方法,设计和实现了一种可根据攻击阶段动态调整的SDN动态蜜罐系统。实验证明,该系统能够根据网络情况,面向攻击者行为,快速动态生成针对性蜜罐进行响应,有效提升了蜜罐的动态性和诱骗能力。     

NIDS在蜜罐系统中的应用

本文根据NIDS存在的问题和蜜罐系统的优势,设计了一个将NIDS与蜜罐系统相结合的模型。由蜜罐吸引攻击者,NIDS将可疑数据包重定向至蜜罐系统中。蜜罐记录下攻击者的行为,进行远程备份,并通过恢复模块保证整个系统处于安全状态。     

NIDS在蜜罐系统中的应用

本文根据NIDS存在的问题和蜜罐系统的优势，设计了一个将NIDS与蜜罐系统相结合的模型。由蜜罐吸引攻击者，NIDS将可疑数据包重定向至蜜罐系统中。蜜罐记录下攻击者的行为，进行远程备份，并通过恢复模块保证整个系统处于安全状态。