基于蜜罐日志分析的主動防御研究和實(shí)現(xiàn).pdf

1、隨著網(wǎng)絡(luò)安全的發(fā)展，主動防御技術(shù)已經(jīng)逐漸取代被動防御技術(shù)，成為現(xiàn)今網(wǎng)絡(luò)安全的主要研究方向。蜜罐作為一種典型的主動防御技術(shù)，其價(jià)值在于能夠引誘攻擊者對其進(jìn)行掃描和攻陷，從而提供有效數(shù)據(jù)幫助系統(tǒng)管理者分析攻擊者行為，發(fā)現(xiàn)新的攻擊方式。因此，近年來蜜罐技術(shù)已成為國內(nèi)外學(xué)術(shù)界的研究重點(diǎn)之一。 本文首先分析了蜜罐的基本功能和組件，研究了基于蜜罐的行為監(jiān)測和日志記錄技術(shù)。蜜罐本質(zhì)上是一種陷阱系統(tǒng)，涉及蜜罐系統(tǒng)的絕大部分行為都被認(rèn)為是非法行為

2、，因此與普通系統(tǒng)日志和網(wǎng)絡(luò)日志相比，蜜罐系統(tǒng)及蜜網(wǎng)所收集的日志具有低噪聲、種類多、數(shù)據(jù)量少等特點(diǎn)，基于蜜罐日志分析的攻擊檢測誤報(bào)率和漏報(bào)率也非常低。本文抓住這一技術(shù)特點(diǎn)，從日志分析的角度，對蜜罐進(jìn)行了主動防御研究，并且設(shè)計(jì)和實(shí)現(xiàn)了蜜罐日志分析系統(tǒng)（Honeypot Log AnalysisSystem，簡稱HLAS）。 黑客的攻擊行為基本都會在日志記錄中留下痕跡，因此日志是檢測攻擊的最佳數(shù)據(jù)來源。本文詳細(xì)分析了典型的網(wǎng)絡(luò)入侵行為

3、和日志記錄的關(guān)聯(lián)性，總結(jié)了特定的攻擊類型與日志記錄的對應(yīng)關(guān)系，為HLAS系統(tǒng)的設(shè)計(jì)提供了理論基礎(chǔ)。HLAS 支持主機(jī)系統(tǒng)日志、入侵檢測日志、防火墻日志、網(wǎng)絡(luò)流量日志的收集和分析，支持的日志格式類型包括EVT、W3C、Syslog、TCPDump、Snort、NetFlow和WELF。 HLAS的主要功能包括日志數(shù)據(jù)的捕獲、日志的遠(yuǎn)程存儲、基于日志分析的攻擊檢測和日志審計(jì)，并提供了一定的日志審計(jì)模板支持，其中最主要的兩個功能為：基