本期为【尊龙凯时攻防演练专题】系列的第六期，将分享分享在攻防演练场景中，若何通过逐一拆解攻击者的攻击思路与攻击链条，并基于蜜罐产品进行布防，构建糊弄式防御系统。

在攻防演练场景中，防守方必要面对攻击方持续多维的攻击，通过构建糊弄式防御，充分地相识攻击方的整体情况，并凭据攻击特点成立美满的、能有效招架攻击威胁的安全防护系统，是支持达成防守成效与获得更好成就的沉要伎俩。

尊龙凯时捕风蜜罐系统（以下简称：捕风蜜罐）以“未知攻，焉知防”思路为主题，开发了综合防御解决规划：为攻击者创造虚伪的“资源”，通过设置“钓饵”让其困入陷阱，并进行跟踪、观察、分析、研庞注隔离、措置与反造。

1.攻击方思路分析

攻击方在组织入侵攻击之前，通；嵩於┕セ髡绞酢⒐婊セ飨呗贰⒚魅贩止ず献，力争在短功夫内获得最大战果，常见的攻击链条分为三个阶段：

第一阶段：谍报网络

提议攻击前，应尽可能多地网络攻击指标信息，做到良知知彼，直击指标最脆弱的处所。网络领域蕴含：指标组织的人员信息、组织架构、网络资产、技术框架及安全措施信息，为攻击决策提供支持。

第二阶段：成立据点

通过度析缝隙，提议定向攻击，同时也会对指标现有安全措施进行突破。此阶段的重要指标是：确保通过攻击获得对利用法式或底层系统的接见权限之后，依然能够维持持续的接见状态。由于，只有可能维持对系统持久有效的接见权限，就能更深、更远地接触到其他有关利用，从而获取更多的信息。

第三阶段：横向移动

通过在被攻下的指标内网进行横向移动，尽可能的获得更多权限；同时，对指标进行内网谍报网络，重要蕴含当前主机谍报与内网扫描探测谍报。

图1 攻击方的进攻思路

针对上述攻击链条与思路，可在互联网部署ERP、OA、VPN系统、虚构化桌面系统、邮件服务系统等高交互蜜罐资产，并且选择部门蜜罐资产预置分歧的弱口令、缝隙蹬渍骗攻击者；同时散播虚伪信息“蜜饵”，滋扰攻击者网络谍报，使其选择攻击指标时产生误判，指数级地增长攻击者的攻击成本，延缓攻击过程的同时，将攻击者不休诱导引入蜜罐陷阱，从而诱捕攻击者，；ふ媸底什。

尊龙凯时捕风蜜罐系统部署战术与演练价值

1. 战前筹备，构建阵地。

1） 资产梳理

基于企业自身资产治理堆集，结合安全技术支持，对企业互联网、内网资产进行全面网络，重要涉及资产类型蕴含：主机资产、域名资产、Web利用资产、GitHub、网盘等互联网敏感信息泄漏等，并对测绘了局进行确认，责任到人。在不影响业务的前提下，尽可能收缩资产露出面，加强资产可控性。

2） 在必要蹊径部署尊龙凯时捕风蜜罐产品

别离在内表网部署多套尊龙凯时捕风蜜罐系统对攻击者进行诱捕。

互联网区域资产以Web资产为主，凭据攻击者谍报网络的个性，在互联网侧部署大量高交互Web蜜罐，诱导攻击者对蜜罐系统进行攻击。为提高蛊惑性，此类蜜罐均克隆自企业真实的业务系统，例如：邮箱系统、网盘系统等等。攻击者一旦对上述蜜罐提议攻击，蜜罐治理端即可监控到攻击者的源IP、攻击手法、功夫等信息，蜜罐内相信息获取剧本，可读取攻击者浏览器缓存的社交账号信息，通过这些信息可发展溯源反造有关工作。针对内网，攻击者通；嵯榷愿魍谓刑讲，尝试对露出的端口服务进行攻击，凭据这一个性，内网部署大量服务型蜜罐，用于蛊惑攻击者，增长攻击发现概率。

3） 防护、监控类设备关键节点部署

面对互联网重大的攻击流量，全量监测实现难度高、价值大，自动化攻击阻断、流量洗濯是一种不错的伎俩。在各网络天堑均部署防火墙，设置端口级接见节造战术，对互联网流量实现初步过滤；防火墙后顺次部署IPS、WAF等阻断类设备对流量进行规定匹配，阻断其中绝大无数攻击流量；同时，在各个安全域部署流量分析蜜罐探针，对流量中的攻击行为进行分析，如此层层过滤，实现攻击流量全方位监控。

2. 提前布局，以逸待劳。

针对攻击蹊径布局尊龙凯时捕风蜜罐的钓饵和探针，蕴含表部攻击糊弄、内部环境大量部署、表联糊弄等多个攻击方向的糊弄布局，尽可能多的对攻击进行糊弄，获取其攻击数据，从而检测潜在的未知威胁，为新的本地化威胁谍报提取提供基础的威胁事务信息和充足的原始数据信息。

并利用网络中的空闲的资源，感知新的攻击趋向和威胁。蕴含空闲的端口资源，联动尊龙凯时智甲用终端空闲端口转发给蜜罐、尊龙凯时镇关防火墙的映射出表网，以及针对数据中心私有云混合环境的云内探针联动，都能够较好的扩大覆盖面增长感知面。

捕风蜜罐的自动构建资产技术，能够通过对真实网络环境资产探测进建，充分利用空闲IP资源自动构建与真实环境类似的、具备深度交互多档次仿真的假装蜜罐网络。同时，可能判断真实资产配置IP与自动创建假装资产IP是否矛盾，并支持跨VLAN的环境下的自动海量蜜罐资产的假装，达到自动、智能、大量构建假装资产的能力，大量的自动假装蜜罐在网络内部越发容易感知网络内部的横向移动行为，同时使攻击者难以分辨真实资产和假装资产，无法急剧射中指标。

捕风蜜罐支持自界说资产模板组合，可自由组合将已有的模板组合成新资产模板，同时能够利用空闲主机作为代理节点来动态扩容蜜罐仿真、感知领域，以此达到蜜罐服务的矫捷露出以及更高数量级的蜜罐服务数量，从而实现蛊惑攻击敌手；ふ媸底什闹髡。

常用仿真服务列表
蜜罐类型	特点	溯源能力
利用服务蜜罐	支持假装CRM、信呼OA、Nginx等常见系统，能够自界说预置用户名密码，具备肯定的交互能力。	IP信息、社交账号、攻击爱好、媒体信息。
系统服务蜜罐	支持假装OpenSSL、Windows 7 等常见系统，能够自界说预置用户名密码，具备肯定的交互能力。	IP 信息、社交账号、攻击爱好、媒体信息。
数据库蜜罐	支持假装MySQL、MongoDB、Oracle等常见系统，能够自界说预置用户名密码，具备肯定的交互能力。	IP信息，植入URL等。反造数据库要求等。
网络设备仿真蜜罐	支持假装华为路由器，防火墙等常见系统，能够自界说预置用户名密码，具备肯定的交互能力。	DNS 劫持等捕获劫持域名站点。
工控设备仿真蜜罐	支持假装IPMI、BACnet等常见系统，具备单一的交互能力。	攻击IP、缝隙植入下载 URL等。

3. 监控分析，良知知彼。

捕风蜜罐采集蕴含网络数据、系统日志、利用日志、文件等数据。

通过全面采集能够提高某些攻击行为的检测可能性，好比针对SSH的暴力破解行为，并能够纪录黑客尝试的分歧账户密码信息。

同时，对采集到的数据进行对应分析与展示。分析蕴含但不限于：攻击功夫、攻击行为、攻击阶段、攻击方式、威胁等级、受攻击资产等；结合攻击数据（如IP地址、网络、URL、攻击样本等）天生可视化图表，用以支持对攻击事务的逻辑复现及攻击行为全过程分析，进而发现攻击者主张、指标、手法、技术等。并可天生对应的攻击谍报数据，充实数据谍报库并用以展示使用。

捕风蜜罐通过以上维度对蜜罐资产进行实时监测，能够鉴别出扫描、缝隙入侵、Webshell植入、黑客工具植入等50多种威胁行为，并具备预防攻击逃逸的能力，有效降低攻击者通过内部横向扩散带来的风险。捕风蜜罐的蜜罐网关表联糊弄能力，既能够误导攻击者，也能够利用该个性发现内部已失陷主机。同时，可与防火墙联动，对威胁谍报检出的攻击IP进行拦截。

4. 诱敌深刻，请君入瓮。

捕风蜜罐能够通过在蜜罐资产中投放虚伪数据造作的蜜饵文件、反造VPN 法式，可通过进一步提升甜度使得攻击者产生已经攻入真实系统的错觉，同时获取更多的攻击者的信息，甚至进一步反造攻击者。

在攻击者攻击进入蜜罐仿真系统内部对表衔接通讯时，蜜罐网关对蜜罐内部要求流量进行糊弄应答，从而进一步引发攻击的网络或系统行为
Ｄ芄徽攵酝缫，如DNS要求、TCP要求、URL要求、Ping等进行响应及交互等糊弄应答响应，在保险内表资产安全的情况下，引发出更多流量进行蜜网流量检测
？榈耐胁检测。

5. 谍报出产，急剧普查。

捕风蜜罐在监测的安全事务中提取攻击者投放的文件哈希、网络恶意域名、C&C等谍报特点，经过海量文件、域名、IP白名单过滤，形成可协同监测的本地化威胁谍报。

监测方式重要选取静态解密和动态分析提取样本文件的网络信标。针对样本鉴别、网络信息提取并经过白域名IP过滤后产生网络威胁谍报，提取攻击源IP、样本MD5、C&C提取等。由于攻击者或者恶意法式的威胁活动中涉及的网络、文件等操作好多蕴含正常的站点，好比百度、微软蹬昨名站点测试联通性，开释一些辅助的说话法式包文件等。因而本地化威胁谍报出产必要安全厂商提供高质量的白名单进行过滤，针对安全事务中提取的指标进行误报排除。白名单必要持续地从各个操作系统、补丁跟踪、利用法式颁布站点获取成立宽泛的白名单库。网络白名单则必要成立各个类型的信赖站点持续跟踪有关的资源变动。

6. 溯源分析，擒贼擒王。

尊龙凯时捕风蜜罐系统使用基于JSONP跨域获守信息的网络溯源步骤，通过跨域技术挪用有关社交媒体账号的接口，穿透代理，实现跨域资源获取，从而实现抓取攻击者社交ID的职能。

捕风蜜罐系统支持鉴别攻击者的网络身份（网络ID、手机号、用户名、邮箱等）、设备指纹、使用的操作系统等，支持鉴别苏宁、搜狐、yy语音、雪球网、爱奇艺等网络ID。

图2 攻击者画像分析绘造示意

在一系列的诱捕，谍报网络后，已根基实现攻击者的信息采集，从而对攻击者进行画像、追踪和溯源。

1） 通过根基信息溯源：IP、位相信息

传统的基于IP的溯源法对攻击者的身份信息获取分有限，很难实时进有效溯源和反造。蜜罐系统则给了防守方反造的机遇，通过蜜罐预设的反造段，自动获取攻击者主机或者网络信息，捕风蜜罐系统能够对某个IP进行多维度的信息查问，通过关联人员、地址、注册单元、邮件、域名关键字等信息，可对攻击IP进行画像，进而参考社交信息溯源进一步治理分析，可将攻击者定位至天然人、单元组织。从而更正确的定位攻击者的身份，实现更精准的溯源。

2） 通过社交信息溯源：微信、QQ、手机、邮箱等

①利用通讯平台，增长老友，套守信息；

②利用其注册昵称，查问在其他站点同名注册者；

③对比社工库信息，进一步锁定攻击者信息。最后将各平台获取的信息整合，齐全拼凑出天然人画像。尊龙凯时捕风蜜罐不仅拥有优良的威胁捕获能力和溯源能力，在安全运营中，同样能够表演着加强企业安全防护建设能力的角色，为构建安全网络功夫做出沉要的贡献。

下期预报

下期为【尊龙凯时攻防演练专题】系列的第七期，将分享通过Web在线实时自动防御解决规划，在攻防演练期间有效招架未知的 Web 攻击、提高防护效能。