注册
登录
在FreeBuf发表的第一篇有关蜜罐文章（传送门），引起了业界不小的轰动，但是上篇文章主要是和大家探讨服务型蜜罐的技术细节和实现方法，网络蜜罐没有涉及到。那么本篇文章和大家聊聊网络蜜罐。 为什么要研究网络蜜罐？A）服务型蜜罐伪装欺骗的毕竟是被动的，如果可以从网络层面对APT攻击行为做强制性诱导，而不是被动的等待黑客上钩，更能体现蜜罐安全价值。 B）如果向用户提供企业级安全解决方案，需要一整套闭环安全生态系统。光有服务型蜜罐有些单一，目前业界解决方案，有三个方向，模拟数据中心服务 的蜜罐，基于沙箱技术的客户端的蜜罐，和网络型诱导蜜罐。第一项是基础，客户端蜜罐很多终端安全安全厂商都有很完备的解决方案，唯独网络型诱导蜜罐，目前 没有一个成熟的技术解决方案，所以。。。 C）网络型蜜罐和现有的DPI网络分析设备、网络型DLP有啥区别，怎么体现其探测未知威胁的能力优于后两者？ 主动防御时代结束，被动感知时代来临为什么基于签名技术的检测在企业实际运营中作用不大，机器学习可以帮助你 恶意代码和行为检测作为抵御黑客和网络犯罪分子防御的第一道防线。它主要应用两个的技术：基于签名的技术和基于异常检查的技术。基于签名的检测是 旧的技术，可以追溯到20世纪90年代，并在识别已知的威胁非常有效。每个签名是代码或动作模式的字符串对应于已知的攻击或恶意代码，网络通信和文件可以 针对这种签名的数据库进行检查，以查看是否有任何已知威胁存在。它无法检测到恶意代码或不具有签名和威胁形势使得它难以保持这样的签名名单最新事件。据赛 门铁克报道称，近百万新的威胁每天都释放。 那么，恶意软件如何改变呢？在其中在代码指令被写入的方式可以改变，或者同时保持其功能性的语法改变。变质恶意软件是更复杂的，因为它能够自身改变为与每个新鲜感染一个完全新的实例，而多态恶意软件用不同的加密密钥，每次加密本身。此代码突变使得独特的签名生成极其困难。 启发式技术主要是利用机器学习算法和数据挖掘的方法来识别嵌入在运行程序的恶意指标。机器学习算法有学习和当暴露在数据的适应能力。通过分析已知 恶意软件的活动，一个程序可以开发寻找和检测新威胁的模式和确定未知程序就是恶意软件的可能性的能力。使用基于云的机器学习，以及先进的集群和数据挖掘技 术的，也增加了速度和恶意软件分析的效率。 网络蜜罐的核心技术诱导是蜜罐的核心价值所在，那么怎么才能把攻击者诱导进入到蜜罐网络呢？可以在网络层对进入内网流量进行全量分析，使用DNS sinkhole concept的概念去重定向botnet对外连接流量。 检测可疑和 botnet 服务器通讯的 DNS 流量，当检测到相关流量，它会更改 botnet 服务器 DNS 地址从定向到我指定的蜜罐服务器上，在沙箱的环境中，监控和分析 botnet 网络行为和特征。 其原理如下： 能重定向最重要的是对botnet域名的判断。也就是说通过机器学习的方式挖掘出恶意DNS域名。 分析DNS可疑流量可以通过： a) Domain Generation Algorithm b) Fast Flex Service Networks c) URL/IP blacklist domain database （连接外部威胁情报） 那么我们先研究一下botnet，以及防御手段。分析DNS流量来判断botnet应该是这其中的核心功能，那么具体怎么实现的呢？
DPI网络安全设备与网络蜜罐欺骗技术技术对比这块技术涉及到网络流量分析厂商，那么我们先分析一下这些厂商。使用传统网络流量分析技术，确定标准流量模式的基准线(例如异常的DNS流量说明 可能有僵尸网络流量)，并对异常模式进行标注，代表着一个被入侵的环境。这种方法实现了实时检测，能够囊括匿名和非匿名技术，不需要端点代理。
在这里我着重介绍一下DLP数据防泄漏解决方案，当然主要是网络数据防泄密模块。 到目前为止，市面上的DLP产品，只能解析7层明文协议（http、smtp、ftp、msn），并且把其中网络携带的附件截取下来，然后做内容 检索。完成网络层发现敏感信息的过程。如果要实现阻断功能，那只能借助反垃圾邮件网关和代理服务器，分别对smtp和http协议阻断。
系统架构： 回到正题，网络蜜罐技术对比表
总结经过以上技术分析，我们已经了解网络蜜罐对比其他的DPI设备的技术优势。当然还有最重要的是通过大数据的手段判断botnet。真心希望国内出现这么牛逼反APT网络蜜罐系统。 | |||||||||||||||||||||||||||||||||||||||||||||||||
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
