2014年3月 重庆文理学院学报 Mar.，2014 第33卷第2期 Journal of Chongqing University of Arts and Sciences Vol.33No.2 分布式蜜罐系统的研究与设计 贺文娟 （安徽科技学院理学院，安徽凤阳233100） [摘要]蜜罐作为新型的主动防御工具，已经积极应用到网络之中.分析分布式蜜罐系统的 部署方式，提出分布式蜜罐系统的体系结构.该结构能够帮助反映分布式网络安全的真实情 况，可以有效提高分布式网络的安全性。 [关键词]分布式；蜜罐系统;体系结构 ［中图分类号]TP393.08【文献标志码]A［文章编号]1673-8004(2014)02-0092-03 现今，随着网络覆盖范围的进一步扩大，网 术[2-3],通过在蜜罐上设置一些网络诱惑使得攻 络给人们的生活带来各种便利的同时，也面临着 击者主动攻击蜜罐，从而起到保护正常工作网络 越来越复杂多样的网络威胁.传统的网络安全技 的作用。 术比如防火墙，入侵检测都属于被动防御的方 蜜罐具有只能捕捉到针对自身的攻击行为 式，对于已知的安全威胁有着很好的报警和防御 的这样的一个特点，所以蜜罐捕捉到的数据很难 措施.对于未知的安全威胁如何检测、如何防御， 反映出一个网络的全貌；并且现在的网络往往都 也是网络安全研究的一个重要方向. 具有复杂的结构，存在多种介人网络的方式，在 蜜罐技术采用主动防御的方式，在监测网络 网络内部部署单一的蜜罐很容易就被跳过去.单 入侵、保护网络客体、信息学习反馈、提高完善反 一的蜜罐和蜜网在数据处理方面是集中处理，对 击入侵能力等网络安全方面有极大的优势！".分 控制器的要求很高，控制器会造成单点失效的后 布式蜜罐系统是将多个蜜罐和蜜网通过网络互 果，系统的可扩展性比较差.单一的蜜罐也无法 联按照分布式体系进行部署的网络，数据采集和 很好检测并响应复杂的网络攻击.因此，本文提 数据管理是分布式蜜罐系统的两个重要组成部 出面向网络部署分布式蜜罐系统，为网络安全提 分.和普通的单一蜜罐相比，分布式蜜罐系统对 供主动防御，并分析网络威胁，制定网络安全策 于分布式网络来说，在捕获网络威胁方面起到了 略，提供重要的数据 更有效的作用，能捕捉到大范围内的攻击者的活 采用分布式模型部署网络中的蜜罐.分布式 动，获得大量的相关数据进行安全分析，为保障 模型主要分为系统部署、分析判决、警报反馈3 网络安全起到重要的作用. 个组成部分[4]，如图！所示， 采用三层分布式部署该系统中的蜜罐，如图 1分布式蜜罐系统技术需求 2所示 1.1分布式蜜罐的部署 第一层次：管理控制中心，它的主要作用是 蜜罐技术是一种基于诱骗的新的安全技 负责整个分布式系统的管理，收集各个蜜罐捕获 [收稿日期]2013-08-14 【基金项目】安徽省自然科学基金资助项目（KJ2013Z044）， 【作者简介]贺文娟（1982-），女，安徽蚌埠人，讲师，硕士，主要从事网络安全与数据库方面的研究、 92 的数据信息，将这些数据记录在日志中，留待日 越多，那么蜜罐捕获的数据量就越大，这些数据 后进行数据分析，同时具有报警处理的功能 都需要通过网络上传至远程的管理控制中心，因 此网络流量是作者采集数据时需要考虑到的 防火境 警报反馈 个问题.一般情况下，有两种方法采集蜜罐捕获 重定向组件 的数据信息，第一种方法是各个节点控制中心先 IDS 对其下面的蜜罐捕获到的数据进行汇总分析处 系统部署 理，再将结果汇总上传至上一次的管理控制中 关联警报控制中心 分析判决 心.第二种方法是将原始数据直接汇总上传至管 理控制中心，这种方法比较容易实现实体的集中 图1分布式模型 和复杂IP段的分布部署.因为蜜罐本身没有正 常的网络流量，进出蜜罐的任何链接都是可疑 G 管理控制中心 的，蜜罐捕获到的数据都是有价值的，并且数据 量也比较小.可以结合上述两种方法的优点，采 用两级数据管理方式，分别在节点控制中心和管 理控制中心设置数据库，数据可以先保存在节点 控制中心，节点控制中心可以保存原始数据，也可 图2分布式部署蜜罐 以对数据进行分析处理，存放处理后的各种数据， 需要时将数据汇总上传至管理控制中心 第二层次：节点控制中心，作用是管理下一 （2）采集的方式 层次的虚拟蜜罐收集的各种数据信息，可以对这 些数据进行简单处理，然后汇至上一层次的管理 当蜜罐捕获到数据之后，采取什么样的方式 上传至上一级的控制中心，既要保证数据的完整 控制中心 性，更要保证数据信息的真实性、保密性，这也是 第三层次：虚拟蜜罐主机，由上一层次的蜜罐 主机采用虚拟软件虚拟出的带有漏洞的多台虚拟 数据采集过程中需要考虑的又一问题.只有保证 蜜罐或者是网络服务.它们的作用就是利用自身 采集到的数据真实、完整，那么蜜罐才是可用的， 存在的漏洞吸引攻击者的攻击，捕获攻击者的攻 通过对传输的信道进行加密来确保数据在传输 击活动，将数据传递给上一层次的节点控制中心 过程中的完整、真实.对于蜜罐部署在不同类型 采用分布式部署蜜罐系统，在继续发挥蜜罐 的网络中所收集到的数据共享和聚合问题，应当 自身优势的同时，可以扩大数据信息的收集面， 在发送数据时采用标准化的格式，对蜜罐和密网 并且，假如其中一个节点控制中心遭到攻击者的 分别命名，这样有利于管理维护每个蜜网， 识破，也不会使得整个蜜罐系统暴露在攻击者的 1.3 数据分析 面前，其他蜜罐仍然可以正常工作，从而增强了 在分布式蜜罐系统中如何对分布在不同蜜 整个系统的安全性。 罐上的数据进行集中管理分析也是一个很重要 1.2数据采集 的问题.在网络上部署的蜜罐数量越多，蜜罐捕 在网络中部署分布式蜜罐系统，蜜罐的个数 获到的数据就越多，将这些分散的数据进行分析 是由网络的规模所决定的，网络越大越复杂，所 处理，首先必须要有一个自动前段处理的分抹机 部属的蜜罐就越多越分散.如何构建一个有效的 制，就是对这些数据按照一定的规则进行过滤和 分布式蜜罐系统，除了要考虑到蜜罐部署的位 分类.然后，在利用一些其他技术，比如数据挖 置，也需要考虑到如何进行数据的采集，将采集 掘、统计分析、可视化（比如carniwwwhore）等手 到的数据如何汇总进行处理分析也是分布式蜜 段进行特征分析、攻击趋势分析， 罐系统中需要解决的重要内容.在这里，将数据 北京大学的蜜网研究项自Artemis（狩猎女 的采集分为采集的内容和采集的方式两个方面 神）开发的Athena，是一款攻击关联分析工具，它 来进行讨论 的作用是结合经典规划图和目标规划图，提出扩 (1)采集的内容 展目标规划图模型，实现攻击规划识别算法及规 在分布式蜜罐系统环境中，蜜罐部署的数量 划图模型，对多种类型的数据输出高层攻击场景 93 图.同时，蜜网项目组提出的UDAF是一个数据 用，对本网段的所有蜜罐进行配置和管理，收集 分析框架，可以支持不同格式的攻击数据的捕 蜜罐捕获的各种数据信息，并将数据汇总上传至 获，过滤数据，融合数据，以及数据的输出及可视 管理控制中心，还有及时报警的功能。 化分析.总之，从分布式蜜罐系统捕获的大量数据 管理控制中心 中提取出攻击行为的特征和模型是比较困难的. 1.4自动报警 极节点制中心 蜜罐系统一旦被攻破，攻击者就会将其作为 跳板攻击其他正常工作的第三方网络，因此蜜罐 系统除了有良好的数据控制功能，还必须要有及 二级节点控制中心 时的报警功能.尤其在分布式蜜罐系统中，当一 个蜜罐被攻击者识破，就意味着其他子网的蜜罐 也面临着随时被攻陷的可能性.这就需要及时将 图3系统结构示意图 蜜罐被识破的信息上报给网络管理员， Switch是一种守护程序，可以做为报警软件 3 3结语 使用在蜜罐系统当中，除了能够监视目标系统中 的各种日志，还可以设定好模式匹配原则，分析 随着蜜罐技术的发展，蜜罐已经成为一个非 系统的运行状态.当做好模式匹配之后，当有不 常重要的网络安全工具.分布式蜜罐系统主要是 符合的行为发生，就可以及时进行报警.报警的 针对大型的分布式网络，本文分析在分布式蜜罐 方式可以采用发邮件，系统喇叭或者自定义一个 系统中蜜罐的部署机制以及蜜罐系统数据采集 小程序.除此之外，Switch还可以主动扫描日志， 分析和报警机制.该系统能捕获到未知的攻击行 并修复特定的日志.不过，在分布式蜜罐系统中， 为，能够及时发现最新的网络攻击方式，将其和 Switch安装在各个节点控制中心，而网络管理员 传统的网络安全工具结合起来，能够起到很好的 是在上一次进行信息收集的整合，因此必须将报 保护防御功能 警信息尽快上传在集中控制中心。 【参考文献］ 22 分布式蜜罐系统体系结构设计 [1]夏春和，吴震,赵勇，等.入侵诱骗模型的研究与建立 根据蜜罐的部署分析，该分布式蜜罐体系结构 [J].计算机应用研究，2002(4)：76-79. [2]冯登国.网络安全原理与技术[M].北京：科学出版 由管理控制中心、多级节点控制中心、虚拟蜜罐主 社，2003：120. 机等3个部分组成.系统结构示意图如图3所示 【3]］杨义先，钮心忻.网络安全原理与技术[M].北京：人 管理控制中心负责收集并分析各个蜜罐捕 民邮电出版社，2003：13-36. 获的数据信息，并且具有管理数据、站点的功能 [4]吴双.分布式蜜罐技术在网络安全中的应用[J].信 和相应的数据库.节点控制中心起到网关的作 息与电脑，2010(5)：102. Research and design of distributed honeypot system HE Wenjuan (Colle