| 企业局域网部署完成一旦上线就要面临严峻考验，其中来自内部、外部的安全威胁是最让管理员们头痛的。为此，很多管理员软硬结合构建防御体系，但是不管它如何坚固都显得有些被动。实战中，往往是当局域网被攻陷后，我们甚至还不知道对手是谁，对他们使用了哪些工具、以何种方式达成攻击目标，以及为什么进行攻击更是一无所知。“知己知彼，百战不殆”，IT安全人员只有在掌握了攻击者采用的攻击技术，攻击心理及习惯等后，才能更有效地维护网络安全，进而抓捕攻击者。笔者根据以往的实践经验认为，利用蜜罐工具构筑蜜罐系统，设置陷阱诱攻击者入瓮是一个不错的方案。本文将在测试环境中，模拟利用两款蜜罐工具布防和诱捕攻击的过程。
模拟环境：
虚拟机A IP:192.168.1.10 (蜜罐系统)
虚拟机B IP:192.168.1.6 (攻击主机)
一、打造蜜罐，反击攻击者
1、软件介绍
“Defnet HoneyPot 2004”是一个著名的“蜜罐”虚拟系统，它会虚拟一台有“缺陷”的电脑，等着恶意攻击者上钩。这种通过Defnet HoneyPot虚拟出来的系统和真正的系统看起来没有什么两样，但它是为恶意攻击者布置的陷阱。只不过，这个陷阱只能套住恶意攻击者，看看他都执行了那些命令，进行了哪些操作，使用了哪些恶意攻击工具。通过陷阱的记录，可以了解攻击者的习惯，掌握足够的攻击证据，甚至反击攻击者。
2、下套诱捕
Defnet HoneyPot是一款绿色软件，下载后直接使用，不用安装，其设置非常简单，迷惑性、仿真性不其它蜜罐强多了。
(1).设置虚拟系统
运行Defnet HoneyPot，在Defnet HoneyPot的程序主界面右侧，点击“HoneyPot”按钮，弹出设置对话框，在设置对话框中，可以虚拟Web、FTP、SMTP、Finger、POP3和Telnet等常规网站提供的服务。
图1例如要虚拟一个FTP Server服务，则可选中相应服务“FTP Server”复选框，并且可以给恶意攻击者“Full Access”权限。并可设置好“Directory”项，用于指定伪装的文件目录项。
图2
在“Finger Server”的“Aclvanced”高级设置项中，可以设置多个用户，“admin”用户是伪装成管理员用户的，其提示信息是“administrator”即管理员组用户，并且可以允许40个恶意攻击者同时连接该用户。
图3在“Telnet Server”的高级设置项中，还可以伪装驱动器盘符(Drive)、卷标(Volume)、序列号(serial no)，以及目录创建时间和目录名，剩余磁盘空间(Free space in bytes)，MAC地址，网卡类型等。
图4这样一来，就可以让虚拟出来的系统更加真实了。
(2).幕后监视
蜜罐搭建成功后，点击HoneyPot主程序界面的“MonITore”按钮，开始监视恶意攻击者了。当有人攻击我们的系统时，会进入我们设置的蜜罐。在HoneyPot左面窗口中的内容，就可以清楚地看到，恶意攻击者都在做什么，进行了哪些操作了。
图5
[1] [2] [3] 下一页
|
