基于Argos的捕獲零日攻擊的蜜罐技術(shù)的研究.pdf

1、蜜罐是一種用來(lái)誘捕，延緩網(wǎng)絡(luò)攻擊和收集攻擊者信息的技術(shù)。它與其他入侵檢測(cè)軟件，防火墻和漏洞掃描軟件的最大區(qū)別是它響應(yīng)迅速，適應(yīng)能力強(qiáng)，能夠主動(dòng)的捕獲攻擊，而不再是被動(dòng)防御。我們能夠利用蜜罐搜集的日志來(lái)分析攻擊者的攻擊行徑，從而設(shè)計(jì)出新的防御方案，以最快的響應(yīng)速度減少受侵害的損失。蜜罐從簡(jiǎn)單的低交互腳本模擬服務(wù)方式如今已經(jīng)發(fā)展到利用虛擬操作系統(tǒng)技術(shù)來(lái)使得攻擊者更難以辨認(rèn)其與真實(shí)機(jī)的區(qū)別。一個(gè)虛擬蜜罐能夠在一種機(jī)器上模擬多種操作系統(tǒng)，構(gòu)成了

2、各式各樣的網(wǎng)絡(luò)環(huán)境，使其更加真實(shí)。Argos作為下一代新型高交互蜜罐，利用動(dòng)態(tài)標(biāo)簽技術(shù)，從根本上能夠檢測(cè)出多種緩沖區(qū)溢出，能夠有效的捕獲到零日攻擊。 如果一個(gè)漏洞被發(fā)現(xiàn)后，在24小時(shí)內(nèi)，立即被惡意利用，出現(xiàn)對(duì)該漏洞的攻擊方法或出現(xiàn)攻擊行為，那么該漏洞被稱為“零日漏洞”，該攻擊被稱為“零日攻擊”。 Argos是一種利用蜜罐技術(shù)實(shí)現(xiàn)的安全模擬器，基于Qemu開(kāi)發(fā)，Qemu足Linux平臺(tái)下利用動(dòng)態(tài)翻譯機(jī)制來(lái)達(dá)到高模擬速度的開(kāi)

3、源虛擬機(jī)軟件。Argos在Qemu的模擬機(jī)制上開(kāi)發(fā)了相應(yīng)的檢測(cè)記錄機(jī)制，能夠誘騙遠(yuǎn)端入侵者利用緩沖區(qū)溢出入侵操作系統(tǒng)，而入侵者并不知道入侵的其實(shí)足虛擬的操作系統(tǒng)，其入侵行為已被記錄。利用動(dòng)態(tài)標(biāo)記分析技術(shù)，它能跟蹤網(wǎng)絡(luò)信息的執(zhí)行，發(fā)現(xiàn)多種試圖非法使用的代碼，并產(chǎn)生相應(yīng)的內(nèi)存日志記錄。Argos的最杰出的功能是識(shí)別出零日攻擊和其他類似的攻擊。一個(gè)高模擬度的蜜罐，不應(yīng)該隱藏起來(lái)，而應(yīng)該對(duì)外界可見(jiàn)，與真實(shí)機(jī)一樣，擁有顯視的IP，公開(kāi)提供應(yīng)有的服

4、務(wù)，產(chǎn)生正常的流量。然而這一點(diǎn)對(duì)以前的蜜罐來(lái)說(shuō)是不可能的，因?yàn)閻阂獾暮蜔o(wú)害的流量不能被區(qū)別開(kāi)來(lái)。而Argos能夠精確的通報(bào)每一個(gè)可能成功的漏洞攻擊，將惡意流量進(jìn)行記錄。因此對(duì)Argos的捕捉零日攻擊的原理有必要進(jìn)行研究分析，所以本論文的工作主要集中在以下三個(gè)方面。 1．對(duì)緩沖區(qū)溢出原理進(jìn)行深入研究，總結(jié)分析緩沖區(qū)溢出攻擊和防御途徑。 2．研究虛擬機(jī)的實(shí)現(xiàn)機(jī)制，并深入研究Qemu的實(shí)時(shí)翻譯機(jī)制。 3．研究以Argo