基于异常检测的蜜罐系统的设计与实现

论文摘要

随着Internet的发展,基于网络的应用系统越来越多,现代社会对网络的依赖日益增强,同时网络的安全也面临着巨大的挑战。面对威胁,众多安全机构研发了许多安全产品,但攻击者的技术水平也在不断提高,安全产品的更新换代始终跟不上新问题的出现,往往在某个攻击造成了巨大损失后,才采取补救措施。原有单一的安全技术,如防火墙或入侵检测技术,不足以保护网络安全。因此只有通过在对网络安全防御体系和各种网络安全技术和工具的研究基础上,制定具体的系统安全策略,通过设立多道的安全防线、集成各种可靠的安全机制,建立完善的多层安全防御体系,才能抵御来自系统内、外的入侵攻击,达到维护网络系统的安全。蜜罐是近几年兴起的一种主动安全技术。它是一种安全资源,它的价值体现在被扫描、攻击和攻陷。通过部署一个蜜罐系统或者蜜网,来引诱入侵者,记录入侵者的活动,可以了解入侵者的入侵技术、方式以及工具,从而有助于提高网络自身的安全防御能力。蜜罐技术从被提出之日起,就被视为研究的工具,虽然有成功的应用案例,但都出于商业目的,因此研究如何让蜜罐系统既具有研究价值又具有安全保护作用具有重要的现实意义。本文围绕如何让蜜罐系统既具有研究价值又具有保护局域网内的计算机的作用展开讨论。首先对传统安全技术与网络异常检测技术进行了概述,指出进行网络安全研究的重要性,对蜜罐技术的基本概念、分类、特点进行了系统的阐述,并着重分析了蜜网的关键技术与蜜罐软件honeyd的体系结构、工作方式;其次针对蜜罐系统不具有安全保护作用的问题,提出了一种实时报警蜜罐系统的体系架构,该体系结构引入了网络异常检测机制,使得蜜罐系统能够实时的检测到网络内潜在的入侵危险并进行实时报警,达到了让蜜罐既具有研究价值又具有实时报警起到安全保护的目的,该体系结构同时还引入了管理模块,使得对蜜罐系统的管理更加方便和灵活;然后设计实现了蜜罐系统的管理、异常检测、远程日志与安全通信等模块,基于防火墙、入侵检测技术实现了蜜罐系统的数据控制、数据捕获。本文最后对蜜罐系统特点做出了总结,对下一步所要完善和发展的内容提出了建议。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 课题的背景及意义
• 1.2 国内外研究现状
• 1.3 本文工作简介
• 2 主动防御技术概要
• 2.1 入侵诱骗技术
• 2.2 各种蜜罐技术
• 2.3 相关研究进展
• 3 基于异常检测的蜜罐设计
• 3.1 基本思想及设计目标
• 3.1.1 基本思想
• 3.1.2 设计目标
• 3.2 蜜罐系统结构
• 3.3 主要模块设计
• 3.3.1 管理模块
• 3.3.2 防御和入侵检测模块
• 3.3.3 异常检测模块
• 3.3.4 蜜罐模块
• 3.3.5 远程日志模块
• 3.4 设计目标在系统结构中的体现
• 4 蜜罐系统的实现
• 4.1 系统工具与环境
• 4.2 异常检测模块的实现
• 4.2.1 基本思想
• 4.2.2 系统结构
• 4.2.3 网络流量捕获模块的设计与实现
• 4.2.4 流量统计与预警模块的设计与实现
• 4.3 其它模块的实现
• 4.3.1 管理模块
• 4.3.2 入侵检测管理工具设计与实现
• 4.3.3 Honeyd 的远程日志的设计与实现
• 4.3.4 数据控制的实现
• 4.3.5 蜜罐honeyd 的设置
• 4.3.6 数据通信的安全设计
• 5 系统测试
• 5.1 模拟测试环境
• 5.2 蜜罐的运行
• 5.3 各项功能测试
• 5.3.1 防火墙外出连接测试
• 5.3.2 端口开放与模拟的服务测试
• 5.3.3 管理模块测试
• 5.3.4 异常检测系统测试
• 5.3.5 Honeyd 远程日志测试
• 6 结论
• 致谢
• 参考文献
• 附录