Arbor網(wǎng)絡(luò)公司的新服務(wù)Darknet正在引起安全業(yè)界的關(guān)注，這項服務(wù)使用各種蜜罐、蜜罐網(wǎng)絡(luò)和Arbor公司自己的PeakFlaw IPS（入侵攔截系統(tǒng)）對Darknet的網(wǎng)絡(luò)活動進行分析。CAIDA（互聯(lián)網(wǎng)數(shù)據(jù)分析協(xié)會）、密歇根大學、威斯康星大學等正在利用Darknet對拒絕服務(wù)攻擊、Botnet流量以及其他的可疑流量進行分析。
企業(yè)部署Darknet的優(yōu)點
不過因為Darknet是對隨機的IP段進行監(jiān)視，因此它對底層攻擊流量的分析能力有限，它更適合用于對特定類型的或者針對特定目標的攻擊分析。而且它的優(yōu)勢還在于維護的工作量要遠小于常用的蜜罐系統(tǒng)。
“通過部署Darknet，我們對攻擊和連接企圖進行監(jiān)視”Cloudmark公司的高級研究員Adam O'Donnel說，“Darknet的維護需求比蜜罐的維護需求低，因為我們象維護蜜罐系統(tǒng)一樣維護真實或虛擬的服務(wù)器硬件”
Honeynet項目的副總裁Ralph Logan 認為：“Darknet的優(yōu)點還在于能進行大面積的網(wǎng)絡(luò)流量捕捉，這使我們能更容易的發(fā)現(xiàn)分布式拒絕服務(wù)攻擊(DDoS)、拒絕服務(wù)攻擊(DoS)和Botnet威脅。因為常用的蜜罐網(wǎng)絡(luò)可以形容為一個點，而Darknet本身就是一個面。”
高交互式蜜罐與低交換式蜜罐
蜜罐網(wǎng)絡(luò)使用接近“真實”的服務(wù)器作為跟蹤入侵行為的容器，這些經(jīng)過特別配置的服務(wù)器適用于對攻擊頻率和特定攻擊手段的發(fā)展進行分析，現(xiàn)在常用的蜜罐網(wǎng)絡(luò)分兩種類型，低交互式(Low-interaction)和高交互式(High-interaction)蜜罐網(wǎng)絡(luò)。低交換式蜜罐網(wǎng)絡(luò)和攻擊者并不進行真正的交換，主要用于分析攻擊在什么時間以什么形式發(fā)起，而高交互式蜜罐網(wǎng)絡(luò)能夠和攻擊者進行交互，并能夠記錄攻擊者和攻擊活動的詳細信息。
Logan還補充說：“低交互性蜜罐系統(tǒng)主要用于軟件自動的和惡意軟件的攻擊進行捕獲，能分析出一次攻擊是在什么時候以什么方式發(fā)起；而高交互性蜜罐系統(tǒng)可以找出一次攻擊是誰和為什么發(fā)起的”。
不過蜜罐網(wǎng)絡(luò)也有它們的缺點，你需要分配人手去管理它們和跟蹤它們的信息流，而且蜜罐網(wǎng)絡(luò)也只能捕獲已知的漏洞。
蜜罐系統(tǒng)正在逐漸成為企業(yè)信息安全的新防御手段
分布式蜜罐網(wǎng)絡(luò)計劃的負責人Albert Gonzalez表示：蜜罐網(wǎng)絡(luò)是優(yōu)秀的信息收集工具，但不幸的是，蜜罐網(wǎng)絡(luò)系統(tǒng)很多時候不能提供未知漏洞的信息，它們對捕獲最新的0 day漏洞無能為力，只能提供有關(guān)攻擊者的攻擊手法和攻擊工具的信息。
Arbor公司和其他攻擊分析組織一樣，使用Darknet和蜜罐網(wǎng)絡(luò)的組合來給他們的ISP客戶提供攻擊流量的分析服務(wù)。“Arbor公司的服務(wù)整合了蜜罐和自有的Peakflow技術(shù)，還整合了其他的技術(shù)，能分析全球Darknet的捕獲信息。” Arbor的安全產(chǎn)品經(jīng)理Sunil James說。
Logan說，運行在Darknet里面的蜜罐系統(tǒng)可以偽裝得更為真實，讓攻擊者難以分辨，因為蜜罐系統(tǒng)設(shè)置在一個真實的IP段里面。“沒有人能看出某個機器是個蜜罐系統(tǒng)——它看起來就像是一個企業(yè)服務(wù)器，這在捕獲針對某個特定組織的IP段進行攻擊的攻擊者時特別有用。”
建立Darknet的過程并不像建立蜜罐系統(tǒng)那樣從Honeynet項目下載免費的工具就可以完成。Darknet的監(jiān)視系統(tǒng)需要操作者有一定的技術(shù)水平，“你需要準備一個路由器，并把整個IP段的流量路由到安裝有包嗅探器和分析軟件的機器上。”Cloudmark公司的O'Donnell這樣認為。
不過從蜜罐網(wǎng)絡(luò)和Darknet所獲取的所有信息并不能使你抓到入侵者，“這些方案捕獲不了最重要可以用于識別攻擊者的信息”Logan說，“這是因為互聯(lián)網(wǎng)的開放和匿名性，跟蹤一個入侵者是很困難的。不過從另一個方面來說，蜜罐系統(tǒng)和蜜罐網(wǎng)絡(luò)也適用于捕獲來自企業(yè)內(nèi)部的攻擊，如果企業(yè)的某個員工被記錄訪問過蜜罐機器，或者試圖登陸蜜罐機器，就說明他很有問題。”
隨著來自組織內(nèi)部的攻擊逐漸增多，蜜罐系統(tǒng)正在逐漸成為企業(yè)信息安全的新防御手段，盡管現(xiàn)在蜜罐系統(tǒng)的建立和維護還相當麻煩。Logan最后說，“在過去幾年中，在內(nèi)網(wǎng)中部署蜜罐系統(tǒng)的企業(yè)正在增多，企業(yè)在內(nèi)網(wǎng)中部署蜜罐系統(tǒng)，對保護他們的內(nèi)網(wǎng)和發(fā)現(xiàn)來做企業(yè)內(nèi)部人員的攻擊很有幫助。”
聯(lián)系客服
