虛擬Honeynets
論壇登陸名: Inetufo
提交者郵件地址:
Inetufo@fz5fz.org
提交者QQ號碼:
標題: 瞭解你的敵人：定義虛擬Honeynets
內容:
Know Your Enemy:
Defining Virtual Honeynets
虛擬蜜罐網路的不同類型
Honeynet Project
http://www.honeynet.org
Last Modified: 27 January, 2003
翻譯：Inetufo
Homepage:
http://www.fz5fz.org
Email:Inetufo@fz5fz.org
譯者注：
本文主要定義了虛擬Honeynet的概念，講述了它和傳統Honeynet的不同之處，搭建虛擬Honeynet的三種常用方法及其優缺點。
由於本人對某些術語的把握不夠，所以可能存在翻譯不當之處，還望各位斧正。
原文連接：
http://www.honeynet.org/papers/virtual/
在過去的幾年裏，Honeynets證明瞭他們作為一個主要研究blackhat組織所使用的攻擊工具，策略，和動機的安全組織的價值。對於某些組織更好的理解和防禦所面臨的威脅來說，這些資訊是非常重要的。Honeynet的主要問題之一是它們是深奧的，難以構建的，難以維護的資源。Honeynet要求對物理系統和安全機制進行多樣的有效的配置。然而，Honeynet工程正在研究一種新的，可能的，虛擬Honeynets。
什麼是Honeynet
Honeynets是honeypot的一種形式。Honeypot是用來讓人攻擊，存在安全風險的資源。而Honeynet是一種交互性很高的Honeypot，這就意味著他要保護和攻擊者直接打交道的真正的作業系統。這種高度的交互性能夠使我們瞭解入侵者怎樣攻破系統，怎樣聯繫和為什麼要入侵系統的一切東西。Honeynets是通過構建一個網路系統來實現這個目的的。這個網路是高度集成的，所有流入和流出的資料都會被控制和捕捉，在這個網路中的每一個系統都是一個真正的Honeypot，每個系統都是為了誘導攻擊者的攻擊而設計。但是，在目前的大多數組織中，Honeypots是構建相同的，全面的功能系統。當這些系統被攻擊時，Honeynets捕獲攻擊者的所有活動。這些資訊使我們能夠找到對於我們當前所面臨的威脅的一個好的處理方法。關於Honeynets的技術細節，你可以參考Know Your Enemy: Honeynets。我們這篇文章主要講述構建虛擬Honeynets的不同方法。但這並不是講述怎樣構建一個虛擬Honeynets。怎樣建立虛擬Honeynets的細節將在以後講述。
虛擬Honeynets
什麼是虛擬Honeynet?它是允許你在一個電腦系統上運行你需要的一切東西的一種解決方案。我們之所以用術語虛擬，是因為所有不同的系統都有他們自己的運行‘方式’，而不依賴於電腦。
這些解決方案是可能的，因為有允許在同一時間，同一硬體平臺上運行多個作業系統的虛擬軟體。虛擬Honeynets本質上不是一種新技術，它們只是簡單的採用了Honeynet技術的概念，而把它們在一個系統上實現。和傳統Honeynets比較，這種實現有他獨特的優點和缺點。
優點是：開銷較小，易於管理，因為所有東西都被整合在一個系統中。你可以用一台電腦來配置一個虛擬Honeynet來代替用8個電腦配置的一個全面的Honeynet。但是，這種簡單會付出一定的代價。首先，通過硬體和虛擬軟體能夠配置的作業系統類型具有局限性。比如，大多數Honeynets是基於Intel X86晶片的，所以你只能配置基於這種結構的作業系統。你絕不可能在一個虛擬Honeynet中配置Alteon switch, VAX, 或者Cray computer。其次，虛擬Honeynet會帶來風險。特別是攻擊者可能會破壞虛擬軟體，並且控制整個Honeynet，從而達到對整個系統的控制。最後，有指紋識別的風險。一旦破壞者攻破了你虛擬Hon!
eynet所在的系統，他們就能夠確定系統是在一個虛擬環境中運行。
我們把虛擬Honeynets分為兩種類別，獨立的和混雜的虛擬Honeynet。在這兩者當中，獨立虛擬Honeynet是比較普遍的。我們將首先定義這兩種不同的類型，然後再講述虛擬Honeynets的不同配置方法。
獨立虛擬Honeynet
一個獨立虛擬Honeynet是被濃縮到一台電腦上的一個完整的Honeynet網路。這個完整的網路被虛擬的包含在一個單一的物理系統中。一個Honeynet網路的典型組成是，一個用於資料控制和資料捕獲的防火牆閘道，和在Honeynet中的honeypots。你能夠看在這裏看到這種配置的圖。這種類型的虛擬Honeynet(s)具有的某些優點如下：
l 可攜性。虛擬Honeynets能夠搭建於移動電腦上，能被帶到任何地方。Honeynet Project在2002年8月的Blackhat簡報上證明瞭這項功能。
l 即插即可捕獲。你只需要一台電腦，把他連接到任何一個網路上就可以作好抓獲那些blackhats的準備。這使的配置容易許多，因為你僅僅要做的只是物理配置和連接一個系統。
l&nb!
sp; 資金和空間上的節!
省。你只
需要一台電腦，所以這就減少了你硬體上的開支。他只需要一個很小的空間來放置，僅僅使用一個出口和一個埠！對於我們這些時間和能力有限的人來說，這是一個節省的好辦法。
缺點如下：
l 如果硬體出了問題，整個Honeynet將不能使用。
l 高質量的電腦。儘管一個獨立的Honeynets只需要一台電腦，但是他必須是一個強大的系統。取決於你的設置，你必須擁有足夠的記憶體和處理能力很強的處理器。
l 安全性。因為所有東西都共用硬體資源，所以存在攻擊者攻破系統其他部分的危險。這些大多數取決於虛擬軟體，稍後將討論。
l 軟體局限性。因為所有東西都在一個系統中運行，你能使用的軟體就會受到限制。例如，在Intel晶片上運行Cisco IOS是非常困難的。
混合虛擬Honeynet
混合虛擬Honeynet是傳統Honeynet和虛擬軟體的混合體。資料捕獲，比如防火牆，資料控制，比如IDS感測器和日誌在一個隔離的，?
鋁?南低持小Ｕ庵止鋁?跣×吮還?韉姆縵鍘Ｈ歡械膆oneypots都是虛擬的運行在一個單獨的視窗中。你可以在這裏看到演示圖。
這種設置的優點是：
l 安全性：在獨立虛擬Honeynets中，存在攻擊者攻破honeynet其他部分（比如說防火牆）的危險。在混合虛擬Honeynet中，唯一的危險只可能是攻擊者進入其他的honeypots。
l 靈活性：你可以使用多種軟體和硬體來實現混合網路的資料控制和資料捕獲。例子之一，你可以在網路上使用OpenSnort或者Cisco pix appliance。你也可以運行你想要運行的任何一種honeypot，而放棄在網路上的另一台主機。（虛擬Honeypot’s主機除外）。
一些缺點：
l 不可移植，既然honeynet網路由多台主機組成，那麼移動就很困難。
l 時間和空間的高價性：網路中有多台電腦，你將花費更多的精力，空間和資金。
可能的解決方案
既然我們定義了虛擬Honeynets的兩種常見類型，那麼讓我!
們重點講述實現一個虛擬Honeynet的可能途徑。這裏，我們概述出三種!
允許你自
行配置的技術。勿庸置疑，還有其他的意見，比如說Bochs，但是Honeynet Project已經使用並測試過所有這三種方法。三種方法沒有好壞之分。相反的，他們各自都有自己獨特的優點和缺點，你採用哪種方案能夠工作的更好完全取決於你自己。我們要講述的三種方案是VMware Workstation, VMware GSX Server, 和用戶模式 Linux。
VMware Workstation
VMware Workstation是一個長期使用的和確定的虛擬Honeynet的選擇。它是為桌面用戶設計的，可以運行在Linux和Windows兩種平臺下。使用VMware Workstation來做虛擬Honeynet的優點是：
l 多種作業系統的支援，你可以在一個虛擬環境中運行各種各樣的作業系統（稱之為GuestOS’s），包括Linux,Solaris,Windows和FreeBSD Honeypots。
l 網路選擇，工作站提供了處理網路的兩種方式。第一種是橋，它對混合虛擬Honeynet網路來說非常有用，因為它使honeypot使用電腦的板卡，就像其他主機位於Honeynet網路上一樣。第二種選擇是 Host-Only 網路, 這對獨立虛擬Honeynets來說很好，因為你?
梢醞u闌鵯礁玫目?仆?洹?
l VMware Workstation為每一個客戶作業系統創建一個映射。這些映象單單是一個檔，移植性很高。這意味著你可以把他們轉移到其他電腦上。你可以通過拷貝備份來恢復一個honeypot到他的最初狀態。
l 掛裝VMware虛擬磁片映象的可能性。你可以使用vwware-mout.pl驅動來掛裝一個VMware映射。
l 使用簡單。 VMware Workstation 有圖形介面 ( Windows 和 Linux) ，使得安裝，配置，運行作業系統非常簡單。
l 作為一個商業產品，VMware Workstation有技術支援，可以升級，可以打補丁。
一些缺點：
l 成本，每個VMware workstation許可花費$300。這對於某些愛好者或者沒有收入的學生來說可能有點昂貴。
l 資源需求，VMware Workstation必須在X環境下運行，每個虛擬機都應?
糜凶約旱拇翱?Ｋ裕宋狦uestOS分配記憶體外，還要為X系統分配?
詿妗?br
>
l GuestOS數量限制，你只能用VMware運行很少數量的虛擬機（1-4）。這可能比較有利於小型的Honeynet。
l 源代碼不公開，因為VMware源代碼未公開，所以你不能進行真正的自定義配置。
l 指紋識別。在honeypot上VMware軟體可能會被識別出來，特別是”VMware tools”裝在系統上。這就可能把honeypots暴露給blackhat。然而，VMware提供選項設置，使指紋識別更加困難，比如有為虛擬介面設置MAC地址的功能。
VMware有一些好的特徵，如掛起虛擬機的功能。你可以暫停VM，當你恢復暫停時，所有進程繼續運行，就象什麼都沒有發生過一樣。一旦某個系統有安全隱患，並且入侵者開始ICMP碎片攻擊，同時登錄到IRC伺服器。我們並不想斷開連接，因為這樣我們將失去很多重要的資訊。所以我們可以掛起VM，配置防火牆來阻止攻擊，然後恢復VM。VMware和其他虛擬軟體的一個有趣的用處就是可以簡單快速的配置出虛擬機。。一旦Honeynet有安全威脅，我們可以通過它盡可能多的瞭解到一些資訊。對於虛擬!
Honeynet來說，我們所要做的所有工作是拷貝檔或者用不能在VMware Workstation中繼續使用的磁片來拋棄任何發生的改變。VMware工作站的另一個特性是可以在HostOS後運行若干個網路。所以，如果你只有一個視窗，你可以將你的honeynet和所有個人電腦放在一個視窗中，而不必擔心雙方之間的資料損壞。如果你想對VMware和它架設honeypot技術的能力獲得更多的資訊，請參考Kurt Seifiried的經典文章Honeypotting with VMware - The Basics.，以及Ryan Barnett寫的Monitoring VMware Honeypots。
VMware GSX Server
VMware GSX Server是VMware Workstation的增強版本。也就是它說可以運行很多高端伺服器。我們可以看到, 用它來搭建一個 Honeynet將很完美。 目前GSX Server作為Host OS運行在Linux和Windows上。如果你想瞭解在GSX上配置虛擬Honeynets的資訊，請參考文章Know Your Enemy: Learning with VMware。優點：
l 作業系統的大範圍支援。GSX Server支持Windows (包括95, 98, NT, 2000, XP and .NET server)，各種Linux發行版，BSD和Solaris(非正式支持)。
l &nb!
sp; 網路支援，包括Workstation支援的所有網路?
δ堋?br
>
l 不需要X支援更多的GuestOS。GSX Server 不需要運行X來運行VMware。這就使你能夠同時運行更多的GuestOS。如果主機運行Linux也不需要安裝X庫。
l Web介面，GSX Server可以通過Web介面來配置。可以通過Web啟動，暫停，創建GuestOS。
l 遠程終止，這是GSX Server最好的特性之一。儘管通過Web和一些VMware軟體,你可以遠端存取GuestOS’s,就象你是坐在控制臺前一樣。你可以做一些事情，比如遠端安裝和檢查系統，而不會在honeynet上傳送資料。
l 裝載VMware虛擬磁片映象，和在WorkStation版中一樣。
l VMware GSX Server可以支援更多的主機記憶體(最高8GB),更多的CPU（最多8個）每個虛擬主機比VMware WorkStation支援更多的記憶體（2GB）。
l 包含用於管理GuestOS’s的Perl API函數。
l &n!
bsp; 和WorkStation一樣,GSX Server是一個提供技術支援的產品,包括補丁和升級。
一些缺點：
l 費用，一份GSX Server許可證需要花費$3,500
l GuestOS’s種類的限制性，象Solaris X86和FreeBSD這些作業系統不被正式支援（雖然你可以安裝他們）。這就限制了你的Honeynet的多樣性。
l 記憶體消耗，GSX Server 推薦大於256的記憶體只用來運行GSX Server軟體。基於視窗的作業系統，比如Windows XP，需要另外256MG的記憶體來運行另外的實例。
l 源代碼不開放，和Workstation一樣。
l 指紋。在honeynet有可能探測到VMware軟體，尤其是系統中裝有“VMware tools”。這可能會使honeypots暴露給blackhat。但是，和Workstation一樣，有降低風險的配置選項。
VMware 同樣也開發VMware ESX Server 伺服器版。 ESX Server運行在硬體介面上，而不僅僅是一?
鋈砑餼齜槳浮SX Server 擁有自己的控制主機硬體的虛擬機操作系!
統，這樣
就允許對虛擬機資源進行更多細微的控制，比如說CPU共用，網路帶寬共用，磁片帶寬共用，同時允許這些資源被動態的改變。它一個是比GSX Server更高端的產品 。它的一些特性是：可以支持多處理器, 更多併發的虛擬機(最多可達64個), 更多記憶體 (最多可達64GB) ，每個虛擬機比GSX Server支援更多的記憶體 (最多可達 3.6GB).
用戶模式Linux
用戶模式Linux是允許你在同一時刻運行多個Linux虛擬版本的一種特殊的內核模組。由Jeff Dike開發。,UML使你可以在同一時間同一個系統上運行Linux的多個實例。它是一個很有發展潛力的新的相關工具。你可以在文章 Know Your Enemy: Learning with User-Mode Linux中詳細的學習怎樣配置你自己的UML Honeynet。
使用用戶模式Linux的一些優點是:
免費和開放源代碼，你可以控制源代碼。
小記憶體和更少的資源要求。 用戶模式 Linux 不需要使用X。它可以用很少的記憶體運行大量的系統。
能夠創建多個虛擬網路 甚至可以完全在原始的虛擬網路中創建虛擬路由器。
同時支持bridging 和 networking, 和VMware相似.
UML可以通過GUESTOS內核記錄擊鍵資訊。 擊鍵資訊被記錄在 HostOS上, 所以怎麼在honeypot?
忻孛艿幕竦沒骷鍬濟揮腥魏撾侍狻?
UML有預先的配置和可下載的檔系統，這使它可以更快更簡單的用honeypots搭建Honeynet。像VMware一樣這些檔系統映射是可掛裝的。
你可以用多種不同的方式控制UML控制臺, 包括通過pseudoterminals, xterms, 以及Telnet一個主機的埠。並且有視窗，你可以在視窗中運行UML，釋放他，你也可以在任何地方登錄連接主機.。
一些缺點：
目前只支援Linux虛擬機,Windows下的介面正在開發中。
作為一個新的工具，存在一些缺陷,如：檔,安全問題。
沒有GUI介面,目前所有的配置和運行都在命令行下進行。入門比較困難。
作為一個開放源代碼的工具, 沒有官方和商業上的支持。
和VMware一樣， 可以通過虛擬軟體來取得UML. Honeynet的指紋。然而, 維護者Jeff Dike 設法減少這種風險, 比如說在GuestOS上對/proc進行修改。
結論
這篇文章的目的是定義什麼是虛擬Honeynet,虛擬Honeynet的不同種類，以及配置意見。虛擬Honeynet採用了Honeynet的技術，而把它們整和在一個系統中。這就使得它們構建更廉價，配置更簡單，維護更容易。但是，他們仍然存在普遍的缺點，包括物理硬體和虛擬軟?
關於我們：
FZ5FZ 主要從事網路/系統安全的學習與研究，深入編程技術的剖析與探討，堅持原創，追求共用。
FZ5FZ 主頁：
http://www.fz5fz.org
資料來源 : (原文是簡體中文)
中華安全網
http://www.safechina.net/
登入
註冊
問答集
搜尋
