基于蜜罐日志分析的主動防御研究和實現(xiàn).pdf

1、隨著網(wǎng)絡安全的發(fā)展，主動防御技術已經(jīng)逐漸取代被動防御技術，成為現(xiàn)今網(wǎng)絡安全的主要研究方向。蜜罐作為一種典型的主動防御技術，其價值在于能夠引誘攻擊者對其進行掃描和攻陷，從而提供有效數(shù)據(jù)幫助系統(tǒng)管理者分析攻擊者行為，發(fā)現(xiàn)新的攻擊方式。因此，近年來蜜罐技術已成為國內(nèi)外學術界的研究重點之一。 本文首先分析了蜜罐的基本功能和組件，研究了基于蜜罐的行為監(jiān)測和日志記錄技術。蜜罐本質上是一種陷阱系統(tǒng)，涉及蜜罐系統(tǒng)的絕大部分行為都被認為是非法行為

2、，因此與普通系統(tǒng)日志和網(wǎng)絡日志相比，蜜罐系統(tǒng)及蜜網(wǎng)所收集的日志具有低噪聲、種類多、數(shù)據(jù)量少等特點，基于蜜罐日志分析的攻擊檢測誤報率和漏報率也非常低。本文抓住這一技術特點，從日志分析的角度，對蜜罐進行了主動防御研究，并且設計和實現(xiàn)了蜜罐日志分析系統(tǒng)（Honeypot Log AnalysisSystem，簡稱HLAS）。 黑客的攻擊行為基本都會在日志記錄中留下痕跡，因此日志是檢測攻擊的最佳數(shù)據(jù)來源。本文詳細分析了典型的網(wǎng)絡入侵行為

3、和日志記錄的關聯(lián)性，總結了特定的攻擊類型與日志記錄的對應關系，為HLAS系統(tǒng)的設計提供了理論基礎。HLAS 支持主機系統(tǒng)日志、入侵檢測日志、防火墻日志、網(wǎng)絡流量日志的收集和分析，支持的日志格式類型包括EVT、W3C、Syslog、TCPDump、Snort、NetFlow和WELF。 HLAS的主要功能包括日志數(shù)據(jù)的捕獲、日志的遠程存儲、基于日志分析的攻擊檢測和日志審計，并提供了一定的日志審計模板支持，其中最主要的兩個功能為：基