0 引言
蜜罐是一種主動防御工具，在網絡安全問題的預防、檢測和響應階段都發(fā)揮著它的作用。隨著網絡中入侵攻擊越來越多，蜜罐正逐漸成為企業(yè)信息安全的新防御手段。對于一般的企業(yè)應用，企業(yè)網是一個單一的網絡，目前市場上已有不少的免費的或商業(yè)化的蜜罐工具可供使用，而對于一些在全國多個省份設立分支機構的企業(yè)，因其本身企業(yè)內部網是較復雜的分布式網絡，簡單的在各個分支結構獨立的設置多個蜜罐是無法很好的發(fā)揮其作用的。因此，本文針對這類分布式的企業(yè)內部網設計了一種分布式的蜜罐系統(tǒng)，針對不同系統(tǒng)建立不同平臺的蜜罐，并使之形成一個交互的體系，全面反饋網絡情況，更好發(fā)揮蜜罐的主動防御功能“捌。分布式蜜罐不同于蜜網，它強調的是區(qū)域的分布式，即地理位置的分布式，而蜜網技術則是在一個點所作的體系架構，蜜網可以作為分布式蜜罐的節(jié)點。
1 分布式蜜罐系統(tǒng)設計目標
通過研究蜜罐技術的基本原理，并根據分布式企業(yè)內部網的特點及所受的安全威脅，設計并實現(xiàn)一個分布式蜜罐系統(tǒng)，在使用分布式蜜罐系統(tǒng)時候，蜜罐的核心要求就是企業(yè)可以對于Internet及企業(yè)網內部的攻擊者的相關行為和數(shù)據進行鋪貨，保護真實目標系統(tǒng)，并及時產生安全預警；對于內部攻擊者，可以追蹤攻擊源，為攻擊行為審計取證；同時為網絡安全管理人員提供相應數(shù)據，使其可以及時調整安全策略，制定相應措施，為企業(yè)創(chuàng)建一個安全的網絡環(huán)境。
對于設計分布式蜜罐系統(tǒng)來說，主要的設計目標包括以下五個部分H1：第一，大量并且有價值的信息通過系統(tǒng)具備良好的數(shù)據捕獲能力獲得，能及時對于威脅做出相關的反應。第二，能夠對于攻擊者行為進行控制，同時具備一定的系統(tǒng)安全性I第三，安全預警信息能夠根據獲取信息情況，自動進行發(fā)出處理，另外，可以根據日志審計的結果及時調整安全策略，第四，分布監(jiān)控，集中管理。第五，系統(tǒng)配置靈活，易于擴充和配置。
2 分布式蜜罐系統(tǒng)技術分析
構建分布式蜜罐系統(tǒng)除了運用常規(guī)蜜罐的技術：網絡誘騙、數(shù)據控制、數(shù)據捕獲和數(shù)據分析之外，還需要考慮的關鍵技術問題主要是由其分布式體系所決定的。
2.1 復雜條件下分布式蜜罐系統(tǒng)的部署
隨著Internet技術的發(fā)展，現(xiàn)在的企業(yè)網絡規(guī)模在不斷擴大，設備物理分布變得十分復雜。同時攻擊者的入侵行為也逐漸復雜化、隱蔽化，并常常通過多個主機實施大面積的分布式攻擊。在這樣的新情況下，簡單的在各個業(yè)務子網獨立的設置多個蜜罐，或為企業(yè)網部署單個的蜜網存在很大不足，具體如下：
1)捕獲到的數(shù)據難以直接反映全局的信息狀況。
2)因為蜜罐技術視野狹窄，只能看見針對自身的攻擊行為，而無法捕獲針對其他系統(tǒng)的攻擊行為；而復雜網絡環(huán)境下，存在多種接入方式，蜜罐很容易被繞過。
3)集中式數(shù)據處理對控制器要求很高，控制器可能成為瓶頸和單一失效點；并且系統(tǒng)擴展性、靈活性較差。
4)對于復雜的、有可能的協(xié)同攻擊，無法很好的檢測和響應。
因此，針對不同的企業(yè)網絡的不同規(guī)模，我們提出面向企業(yè)網的分布式蜜罐系統(tǒng)，作為企業(yè)主動防御的一個重要工具，并為企業(yè)制定安全策略、調祭安拿措施提供重要依據。
較大型的企業(yè)網絡通常具有多級、分布和樹形的特點。因此，我們的分布式蜜罐系統(tǒng)在宏觀上應該具有與實際網絡一致的體系結構，即多級分布式體系結構。
2.2 分布式蜜罐捕獲數(shù)據的匯總
蜜罐的捕獲能力來自于其數(shù)量和分布范圍，分布式的蜜罐系統(tǒng)在其檢測面積、捕獲信息量等方面是單點配置的蜜罐無法比擬的。然而，分布式的環(huán)境和捕獲信息量的大幅增加對捕獲信息的傳輸匯總提出了一定的要求。
對數(shù)據的匯總我們主要考慮兩個方面的問題，一是采集數(shù)據的內容，二是數(shù)據采集的方式。對此我們分別作如下說明：
1)數(shù)據采集的內容
在分布式的環(huán)境下，蜜罐數(shù)量相應較多，蜜罐數(shù)量的增加帶來上報信息數(shù)量的增加，并且上報的信息數(shù)據要通過網絡傳輸?shù)竭h程的管理中心，因此我們采集信息數(shù)據時就需要考慮網絡流量的問題。一般來說，有兩種基本的方法來采集數(shù)據，一是各分布式站點對數(shù)據進行處理，集中匯總的只是結果集；二是基于前端設備包轉發(fā)，將原好i數(shù)據匯集到管理中心，這樣可以很容易實現(xiàn)復雜IP段的分布部署和實體的集中。因為蜜罐所捕獲的數(shù)據是高度保真的小數(shù)據集，數(shù)據量并不是特別太，閃此我們采用兩種方法，結合兩者的優(yōu)點，數(shù)據庫采用本地和集中管理中心兩級數(shù)據庫，根據沒定的策略，數(shù)據首先在本地存儲，需要時發(fā)送到集中管理中心集中存儲。分布式控制中心能夠對數(shù)據進行一定的處理分析，本地數(shù)據庫可存放融合后的各類數(shù)據，也存放網絡原始數(shù)據包，供集中管理中心查詢。
2)數(shù)據采集的方式
分布式站點獲取的數(shù)據匯總的另一個關鍵的方面，在通過安全的方式收集前提要求下，確保信息的相關真實性、保密性和完整性在采集信息時能夠進行保存。便是要確保信息足以通過安全的方式收集的，數(shù)據采集的重點還在于所采集信
息的真實性、完整性和較高保密性。我們可以通
過一些加密措施(如使用IPSec隧道)來保障傳送
的數(shù)據安全。
格式的標準化在發(fā)送數(shù)據時應該被采用，以實現(xiàn)不同的分布式站點或網絡系統(tǒng)采集到的數(shù)據能夠實現(xiàn)共享和聚合。應該明確蜜罐和蜜網的命名，對于管理與維護每個蜜網類型提供一定幫助。
2.3 大規(guī)模數(shù)據分析
分布式蜜罐造成龐大的上報數(shù)量，相應也增加了數(shù)據分析處理的壓力。首先必須形成一個具有較強的自動前段處理能力的分揀機制，對數(shù)據進行預處理，一般是按一定規(guī)則對數(shù)據進行過濾和分類。而后，利用其余相關技術，包括統(tǒng)計分析、可視化以及數(shù)據挖掘等方面的內容進行攻擊特征研究，進行攻擊趨勢分析。
目前，對數(shù)據分析技術的進一步研究已經取得了一定的成果，其中狩獵女神項目組開發(fā)了攻擊關聯(lián)分析工具Athena，它是在AJ領域中經典規(guī)劃圖和目標規(guī)劃圖模型基礎上，提出擴展目標規(guī)劃圖模型，實現(xiàn)攻擊規(guī)劃識別算法規(guī)劃圖模型，實現(xiàn)攻擊規(guī)劃識別算法，對輸入的IDS報警信息、Argus網絡連接數(shù)據等多源數(shù)據輸出高層攻擊場景圖。蜜網項目組也提出了同一數(shù)據分析框架UDAF，支持不同格式的數(shù)據獲取，數(shù)據過濾，數(shù)據融合，數(shù)據輸出以及數(shù)據可視化分析。
2.4迅速的自動報警
前面提到過，蜜罐像其他系統(tǒng)一樣，也是可以被攻破的，一旦它被攻陷，就有可能被利用作為攻擊、滲透其他系統(tǒng)的跳板。
值得注意，可以攻破蜜罐，當蜜罐被攻陷以后，這樣就成為攻擊其他系統(tǒng)的跳板。為了防止攻擊者在攻陷蜜罐主機后將其作為跳板攻擊業(yè)務網絡或第三方網絡，蜜罐系統(tǒng)必需具有數(shù)據控制的功能，在一個網絡環(huán)境中。網絡管理員是否及時能知道蜜罐是否被攻陷無疑是很重要的，攻擊行為也多為分布式的協(xié)同攻擊。一個地方子網中的蜜罐被攻陷，通常意味著其他子網也會受到攻擊，更需要及時迅速的報警。
在一般的蜜罐系統(tǒng)中常常使用的報警軟件為Swatch軟件，作為一種守護程序，它能夠自動監(jiān)視目標系統(tǒng)的各種日志文件，包括Snort—inline還有IPTables生成的日志文件。通過Swatch預先設定好的模式匹配原則，這樣可以對于系統(tǒng)的運行狀態(tài)獲取進行分析。當這匹配模式形成后，就往往能夠通過郵件、系統(tǒng)喇叭等方面或其他定義好的程序等進行告警。此外，它還能夠像Syslogd守護程序那樣主動的掃描日志文件并對特定的13志消息采取修復行動。
在分布式蜜罐系統(tǒng)中，Swatch通常安裝配置在各分布站點的站點管理服務器上，與網絡安全管理員所使用的集中管理平臺不在同一個地域，因此，需要我們將單個業(yè)務子網的報警信息與集中管理平臺相聯(lián)系和整合，以使報警信息盡快到達集中控制中心，其他子網提供預警。
3 系統(tǒng)分布式體系結構設計
根據系統(tǒng)設計目標，我們所設計的面向企業(yè)網的分布式蜜罐系統(tǒng)采用多級分布式體系結構，系統(tǒng)結構如圖l所示。
圖1 系統(tǒng)結構示意圖
整個系統(tǒng)主要由三個部分組成：集中管理控制中心、各級節(jié)點控制中心和蜜罐。集中管理控制中心負責整個分布式系統(tǒng)的管理和數(shù)據分析，各個節(jié)點控制中心負責業(yè)務子網中各個節(jié)點的控制。
集中管理控制中心是整個分布式蜜罐系統(tǒng)的管理中心，負責收集和分析整個蜜罐系統(tǒng)捕獲的各種數(shù)據，同時集成了用戶管理、分布站點管理、數(shù)據管理、報警處理等管理功能和數(shù)據庫。
各級節(jié)點控制中心可以是一臺充當網關的主機，在同一網段內至少設置一個，也可根據情況設置多個不同級別的節(jié)點控制中心。節(jié)點控制中心對網段內的蜜罐進行配置和管理。節(jié)點控制中心可以存放它所管理的蜜罐的各種日志信息，并對各種捕獲信息進行初步分析，及時產生報警；節(jié)點控制中心和集中管理控制中心相聯(lián)系，是集中管理控制中心各種數(shù)據的來源。通常節(jié)點控制中心和蜜罐之間有網關進行隔離，所有進出蜜罐的通信都必須經過網關。
在面向企業(yè)網的分布式蜜罐系統(tǒng)中，我們的主要目的足了解內部網所遭受到的攻擊，檢測防御中的失誤，并采取相應的措施或及時發(fā)出預警，因此并不總是需要高交互蜜罐，而應選擇最低安全風險的蜜罐。所以各分布站點的蜜罐部署可以采用一個或多個低交互式的蜜罐。蜜罐的部署模式通常采用防護罩式，部署在防火墻之后，這樣不僅可以檢測來自外網的攻擊，收集到已經通過防火墻的有害數(shù)據，也可以探查內部攻擊者。
此外，在低交互的蜜罐選擇上，我們也要考慮到企業(yè)資源的充分利用。我們可以在一臺主機上安裝任何操作系統(tǒng)，作為一個真實的蜜罐主機，但是這樣在同一時刻，就只能有一個操作系統(tǒng)在一臺機器上運行，沒能更好的利用商業(yè)資源；并且，一旦蜜罐系統(tǒng)遭受攻擊，重新安裝真實蜜罐系統(tǒng)也會耗費一定的時間。因此，在面向企業(yè)網的分布式蜜罐系統(tǒng)中，我們都采用虛擬蜜罐或虛擬機蜜罐，這樣可以在盡可能小的投入下建立蜜罐系統(tǒng)，并且維護較方便，也可以迸一步實現(xiàn)蜜罐的自動化配置。
4 結束語
目前，一般企業(yè)在企業(yè)網絡中運用的絕大多數(shù)安全技術是被設計用來阻止未授權的可疑行為獲取資源，并且安全工具僅僅是作為一種被動的保護措施被布置，所以它們對網絡的保護有一定的局限。而蜜罐技術作為一種動態(tài)防御機制．是企業(yè)現(xiàn)有安全措施的一種非常有益的補充，它對安全管理人員及時了解企業(yè)網絡安全狀況，調整安全策略，制定相應應對措施非常有效。雖然目前已經有不少蜜罐工具，但只適用于網絡簡單的小型企業(yè)，對具有分布式網絡的大型企業(yè)來說，設計部署分布式蜜罐系統(tǒng)是必要的。
核心關注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.oesoe.com/
相關文章
