實例解析蜜罐技術
蜜罐的實際例子
下面我們以Redhat linux 9.0為平臺，做一個簡單的蜜罐陷阱的配置。
我們知道，黑客一旦獲得root口令，就會以root身份登錄，這一登錄過程就是黑客入侵的必經之路。其二，黑客也可能先以普通用戶身份登錄，然后用su命令轉換成root身份，這又是一條必經之路。
我們討論如何在以下情況下設置陷阱：
(1)當黑客以root身份登錄時；
(2)當黑客用su命令轉換成root身份時；
(3)當黑客以root身份成功登錄后一段時間內；
第一種情況的陷阱設置
一般情況下，只要用戶輸入的用戶名和口令正確，就能順利進入系統。如果我們在進入系統時設置了陷阱，并使黑客對此防不勝防，就會大大提高入侵的難度系數。例如，當黑客已獲取正確的root口令，并以root身份登錄時，我們在此設置一個迷魂陣，提示它，你輸入的口令錯誤，并讓它重輸用戶名和口令。而其實，這些提示都是虛假的，只要在某處輸入一個密碼就可通過。黑客因此就掉入這個陷阱，不斷地輸入root用戶名和口令，卻不斷地得到口令錯誤的提示，從而使它懷疑所獲口令的正確性，放棄入侵的企圖。
給超級用戶也就是root用戶設置陷阱，并不會給系統帶來太多的麻煩，因為，擁有root口令的人數不會太多，為了系統的安全，稍微增加一點復雜性也是值得的。這種陷阱的設置時很方便的，我們只要在root用戶的.profile中加一段程序就可以了。我們完全可以在這段程序中觸發其他入侵檢測與預警控制程序。陷阱程序如下：
- # root .profile
- Clear
- Echo “You had input an error password , please input again !”
- Echo
- Echo –n “Login:”
- Read p
- If ( “$p” = “123456”) then
- Clear
- Else
- Exit
第二種情況的陷阱設置
在很多情況下，黑客會通過su命令轉換成root身份，因此，必須在此設置陷阱。當黑客使用su命令，并輸入正確的root口令時，也應該報錯，以此來迷惑它，使它誤認為口令錯誤，從而放棄入侵企圖。這種陷阱的設置也很簡單，你可以在系統的/etc/profile文件中設置一個alias，把su命令重新定義成轉到普通用戶的情況就可以了，例如alias su=”su user1”。這樣，當使用su時，系統判斷的是user1的口令，而不是root的口令，當然不能匹配。即使輸入su root也是錯誤的，也就是說，從此屏蔽了轉向root用戶的可能性。
第三種情況的陷阱設置
如果前兩種設置都失效了，黑客已經成功登錄，就必須啟用登錄成功的陷阱。一旦root用戶登錄，就可以啟動一個計時器，正常的root登錄就能停止計時，而非法入侵者因不知道何處有計時器，就無法停止計時，等到一個規定的時間到，就意味著有黑客入侵，需要觸發必要的控制程序，如關機處理等，以免造成損害，等待系統管理員進行善后處理。陷阱程序如下：
- # .testfile
- times=0
- while [ $times –le 30 ] do
- sleep 1
- times=$[times + 1]
- done
- halt /* 30秒時間到，觸發入侵檢測與預警控制 */
將該程序放入root .bashrc中后臺執行：
- # root . bashrc
- ….
- Sh .testfile&
該程序不能用Ctrl-C終止，系統管理員可用jobs命令檢查到，然后用kill %n將它停止。
從上述三種陷阱的設置，我們可以看到一個一般的規律：改變正常的運行狀態，設置虛假信息，使入侵者落入陷阱，從而觸發入侵檢測與預警控制程序。
關鍵技術設計
自蜜罐概念誕生之日起，相關技術一直在長足的發展。到今天為止，蜜罐技術應用的最高度應該說是Honeynet技術的實現。
蜜罐技術總結
蜜罐技術的發展也是伴隨著各種不同的觀點而不斷的成長的。蜜罐技術是通過誘導讓黑客們誤入歧途，消耗他們的精力，為我們加強防范贏得時間。通過蜜網讓我們在受攻擊的同時知道誰在使壞，目標是什么。同時也檢驗我們的安全策略是否正確，防線是否牢固，蜜罐的引入使我們與黑客之間同處于相互斗智的平臺counter-intelligence,而不是處處遭到黑槍的被動地位。我們的網絡并不安全，IDS，FIREWALL，Encryption技術都有其缺陷性，我們期待它們與蜜罐的完美結合，那將是對網絡安全的最好禮物。我們完全相信，蜜罐技術必將在網絡安全中發揮出極其重要的作用，一場世界上聲勢浩大的蜜罐技術行動必將到來。
上一篇：實例解析蜜罐技術
【編輯推薦】
