网络安全运营和事件管理（二十四）：知识-智能和分析之蜜罐和蜜网
祺印说信安
2026年6月26日 00:06
河南
在小说阅读器读本章
去阅读
以下文章来源于河南等级保护测评
，作者铸盾安全
河南等级保护测评
.
等级保护，不只是等级测评！一起探讨更全面的等级保护制度！ 做对用户有真实价值的网络安全服务，等级保护测评、风险评估、网络安全培训、网络安全咨询、网络安全合规。 传播网络安全知识，分享网络安全政策，共建风清气正的网络安全氛围。
《网络安全知识体系》
安全运营和事件管理（二十四）蜜罐和蜜网
6 知识：智能和分析
6.2 蜜罐和蜜网
蜜罐是一种相对古老的技术，正如Stoll的书中所例证的那样。它们被Honeynet Project和Spitzner的书所普及。社区通常将蜜罐定义为信息系统资源，其价值在于未经授权或非法使用该资源。更具体地说，蜜罐是一台机器（蜜网是一组机器），作为诱饵提供给攻击者。因此，蜜罐使用信息系统或网络中的“免费”资源为外部世界提供逼真的服务。在正常使用中，合法用户不应访问这些计算机，因此任何交互都被视为与恶意使用有关。通过监控攻击者对蜜罐的使用情况，研究人员希望获得有关攻击过程和新的恶意代码的相关信息，并利用此信息用于攻击检测和缓解。
最初，蜜罐是非常简单的工具，在连接到具有给定IP地址的给定端口时发出警报。但是，随着攻击者和恶意软件的发展，能够检测到与他们所在的平台应提供的服务不同的交互。连接。因此，蜜罐和蜜网技术在大规模、复杂的基础设施中以相当复杂的方式发展起来。它们已经产生了攻击者分析，从观察到统计分析，再到现在被确定为妥协指标（IoC）的东西，有组织的证据证明攻击者正试图破坏信息。系统或网络。
蜜罐背后的主要假设是，攻击者会积极寻找受害者，而普通用户只会使用通过配置，路由和正式宣传的资源。命名。在互联网扫描蠕虫（如Slammer）的主要时期，这可能是正确的。但是，攻击者还有其他方法可以静默地收集有关其目标的信息，例如，通过搜索引擎。因此，扫描是由合法的或至少是已知的参与者完成的，但它没有提供有关攻击者的信息。此外，互联网上还存在大量的背景噪音活动。因此，蜜罐s的主要前提是，由于所有活动都是恶意的，因此没有误报。
蜜罐收集的信息完全由攻击者提供，他们也在开发技术来了解它们是否在受控环境中运行。环境与否。如果它们检测到受控环境（如虚拟机），它们将停止交互。虽然云计算已经普及了虚拟化的使用，但还有其他迹象表明控制和监控。今天蜜罐的最佳使用可能是在敏感数据中，以虚假电子邮件地址和数据库中的虚假行或列的形式出现。
网络安全运营和事件管理（二十三）：知识-智能和分析之网络安全知识管理
网络安全运营和事件管理（二十二）：执行-缓解和对策之站点可靠性工程
网络安全运营和事件管理（十九）：执行-缓解和对策之入侵防御系统
网络安全运营和事件管理（十七）：计划-安全信息和事件管理及数据收集
网络安全运营和事件管理（十五）：分析之测试和验证入侵检测系统
网络安全运营和事件管理（七）：应用程序日志-Web服务器日志和ILES
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论