共计 3648 个字符，预计需要花费 10 分钟才能阅读完成。
前言：蜜罐技术的呈现扭转了这种被动态势，它通过吸引、诱骗攻击者，钻研学习攻击者的攻打目标和攻打伎俩，从而延缓乃至阻止攻打毁坏行为的产生，无效爱护实在服务资源。
自网络诞生以来，攻打威逼事件层出不穷，网络攻防反抗已成为信息时代背景下的无硝烟和平。然而，传统的网络进攻技术如防火墙、入侵检测技术等都是一种敌暗我明的被动进攻，难以有效应对攻击者随时随地发动的无处不在的攻打和威逼。蜜罐技术的呈现扭转了这种被动态势，它通过吸引、诱骗攻击者，钻研学习攻击者的攻打目标和攻打伎俩，从而延缓乃至阻止攻打毁坏行为的产生，无效爱护实在服务资源。
一、什么是蜜罐技术
国内蜜罐技术钻研组织 Honeynet Project 的创始人 Lance Spitzner 给出了蜜罐的权威定义: 蜜罐是一种平安资源，其价值在于被扫描、攻打和攻陷。蜜罐并不向外界用户提供任何服务，所有进出蜜罐的网络流量都是非法的，都可能预示着一次扫描和攻打，蜜罐的外围价值在于对这些非法活动进行监督、检测和剖析。
蜜罐是用来吸引那些入侵者，目标在于理解这些攻打。蜜罐看起来就是一台有一个或者多个能够被攻击者利用破绽的服务器或计算机主机。他们简略的就如同一个默认装置的操作系统充斥了破绽以及被攻破的可能性。
二、蜜罐技术的倒退
蜜罐技术扭转了传统进攻的被动局面。晚期的蜜罐个别伪装成存有破绽的网络服务，对攻打连贯做出响应，从而对攻打方进行坑骗，减少攻打代价并对其进行监控。因为这种虚构蜜罐存在着交互水平低、捕捉攻打信息无限且类型繁多、较容易被攻击者辨认等问题。Spitzner 等平安钻研人员提出并提倡蜜网 (honeynet) 技术，并在 1999 年成立了非赢利性钻研组织 The HoneynetProjectl。蜜网(是由多个蜜罐零碎加上防火墙、入侵进攻、零碎行为记录、主动报警与数据分析等辅助机制所组成的网络体系结构，在蜜网体系结构中能够应用实在零碎作为蜜罐，为攻击者提供更加充沛的交互环境，也更难被攻击者所辨认。蜜网技术使得平安钻研人员能够在高度可控的蜜罐网络中，监督所有诱捕到的攻打流动行为。
为了克服传统蜜罐技术与生俱来的监测范畴受限的弱点，The Honeynet Project 在 2003 年开始引入分布式蜜罐 (distributed honeypot) 与分布式蜜网 (distributedhoneynet) 的技术概念，并于 2005 年开发实现 Kanga 分布式蜜网零碎，可能将各个分支团队部署蜜网的捕捉数据进行汇总剖析。
分布式蜜罐 / 蜜网可能通过反对在互联网不同地位上进行蜜罐零碎的多点部署，无效地晋升平安威逼监测的覆盖面，克服了传统蜜罐监测范畴窄的缺点，因此成为目前平安业界采纳蜜罐技术构建互联网安全威逼监测体系的广泛部署模式，具备较大影响力的包含 The Honeynet Project 的 Kanga 及其后继 GDH 零碎、巴西分布式蜜罐零碎、欧洲电信的 Leurre、Com 与 SGNET 零碎、中国 Matrix 分布式蜜罐零碎等。
在互联网和业务网络中以分布式形式大量部署蜜罐零碎，特地是在蕴含提供充沛交互环境的高交互式蜜罐时，须要部署方投入大量的硬件设施与 IP 地址资源，并须要较多的保护人力老本。2003 年，Spitzner 提出了一种蜜罐零碎部署的新型模式 - 蜜场(honeyfarm)。基于蜜场技术概念实现的网络威逼预警与剖析零碎有 Collapsar，Potemkin 和 Icarus 等。
三、蜜罐的指标与作用
蜜罐技术弱小而灵便，不仅能够辨认对网络上主机的攻打也能够监督和记录攻打是如何进行的。蜜罐能够和入侵检测 IDS 一起工作，与 IDS 相比，蜜罐的误报率较低。这是因为蜜罐既不提供任何网络服务，也没有任何非法用户，但并不是网络上的闲暇设施。因而，任何流入或者流出蜜罐的网络通信都能够是做可疑的，是网络正在被攻打的一种标记。
蜜罐的次要指标是容忍入侵者攻打本身，在被攻打的过程中记录收集入侵者的攻打工具、伎俩、动机、目标等行为信息。尤其是入侵者应用了新的未知攻击行为时，收集这些信息，从而依据其调整网络安全策略，进步系统安全性能。同时蜜罐还具备转移攻击者注意力，耗费其攻打资源、意志，间接爱护实在指标零碎的作用。
四、蜜罐的分类
蜜罐能够运行任何操作系统和任意数量的服务。蜜罐依据交互水平（Level ofInvolvement）的不同能够分为高交互蜜罐和低交互蜜罐。蜜罐的交互水平是指攻击者与蜜罐相互作用的水平，高交互蜜罐提供给入侵者一个实在的可进行交互的零碎。
相同，低交互蜜罐只能够模仿局部零碎的性能。高交互蜜罐和实在零碎一样能够被齐全攻陷，容许入侵者取得零碎齐全的拜访权限，并能够以此为跳板施行进一步的网络攻击。相同的，低交互蜜罐只能模仿局部服务、端口、响应，入侵者不能通过攻打这些服务取得齐全的拜访权限。
从实现办法上来分，蜜罐可分为物理蜜罐和虚构蜜罐。物理蜜罐是网络上一台实在的残缺计算机，虚构蜜罐是由一台计算机模仿的零碎，然而能够响应发送给虚构蜜罐的网络流量。
五、蜜罐防护过程
蜜罐防护过程包含诱骗环境构建、入侵行为监控、前期解决措施 3 个阶段。
（1）诱骗环境构建: 通过构建欺骗性数据、文件等，减少蜜罐环境甜度，诱惑攻击者入侵零碎，实现攻打交互目标。交互度高下取决于诱骗环境仿真度与真实性，目前次要有模仿环境仿真和实在零碎构建计划。
模仿环境仿真计划通过模仿实在零碎的重要特色吸引攻击者，具备易部署劣势。利用一种或多种开源蜜罐进行模仿仿真，多蜜罐联合计划有利于不同蜜罐的劣势集成; 将仿真程序与虚构零碎联合构建蜜罐自定义架构，进步交互度; 对硬件利用模拟器实现硬件虚拟化，防止理论硬件毁坏。然而，虚构个性使模仿环境仿真计划存在被辨认危险。
实在零碎构建计划则采纳实在软硬件零碎作为运作环境，升高识别率，极大进步了攻打交互度。
在软件系统方面，采纳实在零碎接口实在主机服务、业务运作零碎等，具备较高欺骗性与交互度，但其保护代价较高且受爱护资源面临着肯定被侵害危险。在硬件设施方面，可间接利用实在设施进行攻打信息诱捕，如将物理可穿戴设施作为诱惑节点、以手机 SIM 卡作为蜜卡等，通过构建实在软硬件零碎环境进步诱骗度。在低能耗场景下采纳实在软硬件设施诱惑攻击者具备肯定劣势，然而对于某些数据交互频繁的业务零碎内，存在高能耗、不易部署、保护老本大等缺点。
（2）入侵行为监控: 在攻击者入侵蜜罐零碎后，可利用监视器、特定蜜罐、监控零碎等对其交互行为进行监控记录，重点监控流量、端口、内存、接口、权限、破绽、文件、文件夹等对象，防止攻打造成理论毁坏，实现攻打可控性。如模块监控、事件监控、攻打监控、操作监控、流动监控等。
上述攻打入侵行为监控中，不同计划的侧重点不同，高交互蜜罐则需更强监控力度。因为监控范畴无奈全面笼罩，可能导致监控缺失结果，以致攻击者利用监控盲区侵害零碎，同时，较大监控范畴易捕获更多信息，全方位拜访监控成为一种绝对安全措施。
（3）前期解决措施: 监控攻击行为所取得数据，可用于数据可视化、流量分类、攻打剖析、攻打辨认、警报生成、攻打溯源、反向追踪等。具体解决措施为: 提取根底数据，以图表形式展现统计数据; 剖析关联度，提供入侵行为电子证据; 分类歹意特色，过滤歹意用户; 剖析数据包信息，辨认潜在平安威逼; 利用程度检测辨认攻打分类，前期解决措施以剖析形式，使进攻系统分析收集数据，把握攻打信息，实现改善零碎进攻计划的良性循环。
六、蜜礶部署形式
按地理位置分类，蜜罐部署形式可分为单点部署和分布式部署。单点部署将蜜罐零碎部署于同一区域，如工控零碎工业区、无线网络作用域、特定试验场景模仿区等，部署难度小，但作用范畴无限，危险感知能力弱。
分布式部署则是将蜜罐零碎部署于不同地区回，利用散布在不同区域的蜜罐收集攻打数据，因而数据收集范围广，试验数据全面，能无效感知总体攻打态势，但部署较艰难且保护老本高。
按部署归属度划分，蜜罐部署形式可分为业务范围部署和内部独立部署。前者将蜜罐部署于实在业务零碎内，从而进步蜜罐甜度和交互度。但入侵者能够利用蜜罐作为跳板转向攻打实在零碎，因此须要严格监控和数据通信隔离。内部独立部署即蜜罐与实在业务零碎处于空间隔离状态，升高将蜜罐作为攻打跳板的危险，但诱骗性能较低。
当然攻打们面对蜜罐的诱捕，也不会坐以待毙，所以产生了反蜜罐应答措施。
目前蜜罐钻研多为工程部署，而较少波及蜜罐基础理论。敌手与蜜罐反抗属于典型的博弈行为，能够将黄开枝、洪颖、罗文宇等人的博弈论利用至蜜罐中，通过博弈剖析验证，为蜜罐提供实践撑持。利用信令博弈、非单干不齐全信息博弈、贝叶斯不齐全信息博弈等验证推理蜜罐零碎主动性、有效性、约束条件等。
论断：
随着网络技术的一直倒退，网络上的攻击者也越来越多，攻打伎俩也曾出不穷，被动进攻的更曾经不可能齐全跟上病毒、木马的更新速度，总会有漏网之鱼。蜜罐的呈现扭转了网络安全防护的被动局面，从被动承受病毒破坏到被动诱惑病毒攻打取得信息，蜜罐的主动防御技术将会越来越受到人们的器重。
