Honeypots

Honeypot Basics

蜜罐有许多应用程序和用例, 因为他们的工作是将恶意流量从重要系统转移出去, 在关键系统受到攻击之前获得当前攻击的早期预警, 并收集有关攻击者及其方法的信息. 如果蜜罐实际上不包含机密数据并且受到良好监控, 您可以深入了解攻击者工具, tactics, 和程序(TTPs)，并在不危及网络其他部分的情况下收集法医和法律证据.

要使蜜罐起作用，该系统应该看起来是合法的. 它应该运行生产系统预期运行的流程, 并包含看似重要的虚拟文件. 蜜罐可以是任何设置了适当嗅探和日志记录功能的系统. 在公司防火墙后面放置一个蜜罐也是一个好主意——它不仅提供了重要的日志记录和警报功能, 但是，您可以阻止传出的流量，这样受损的蜜罐就不能用于转向其他内部资产.

研究与生产蜜罐

就目标而言，蜜罐有两种类型:研究蜜罐和生产蜜罐. 研究蜜罐收集有关攻击的信息，专门用于研究野外的恶意行为. 看着你的环境和更广阔的世界，他们收集信息 attacker trends, malware strains, and vulnerabilities 这些都是对手的攻击目标. 这可以告知您的预防性防御、补丁优先级和未来投资.

Production honeypots, on the other hand, 是否专注于识别内部网络上的活动危害并欺骗攻击者. 信息收集仍然是一个优先事项, 由于蜜罐为您提供了额外的监控机会，并填补了周围常见的检测空白 identifying network scans and lateral movement. 生产蜜罐与其他生产服务器放在一起，并运行通常在您的环境中运行的服务. 研究蜜罐往往比生产蜜罐更复杂，存储更多类型的数据.

Honeypots by Complexity 

在生产和研究蜜罐内, 根据组织需要的复杂程度，也有不同的层次:

• Pure honeypot: 这是一个在各种服务器上运行的全尺寸的、完全模仿生产的系统. 它包含“机密”数据和用户信息，并且充满了传感器. 尽管这些工具可能很复杂，难以维护，但它们提供的信息是无价的.
• High-interaction honeypot: 这类似于一个纯蜜罐，因为它运行很多服务, 但它没有那么复杂，也没有那么多数据. 高交互蜜罐并不意味着要模拟一个全面的生产系统, 但是它们确实运行(或看起来运行)生产系统会运行的所有服务, 包括一个合适的操作系统. 这种类型的蜜罐允许部署组织查看攻击者的行为和技术. 高交互蜜罐是资源密集型的，并且具有维护方面的挑战, 但这些发现是值得的.
• Mid-interaction honeypot: 它们模拟应用层的各个方面，但没有自己的操作系统. 他们的工作是拖延或迷惑攻击者，以便组织有更多的时间来弄清楚如何正确地应对攻击.
• Low-interaction honeypot: 这种类型的蜜罐最常部署在生产环境中. 低交互蜜罐运行少量服务，主要用作早期预警检测机制. 它们易于部署和维护, 许多安全团队在其网络的不同段部署多个蜜罐.

Types of Honeypots

目前使用的几种蜜罐技术包括: 

• Malware honeypots: 它们使用已知的复制和 attack vectors to detect malware. For example, honeypots (e.g., Ghost)被精心设计成USB存储设备. 如果一台机器被通过USB传播的恶意软件感染, 蜜罐会欺骗恶意软件感染模拟设备.
• Spam honeypots: 它们用于模拟打开的邮件中继和打开的代理. 垃圾邮件发送者将首先向自己发送一封电子邮件，以测试开放的邮件中继. 如果他们成功了，他们就会发送大量的垃圾邮件. 这种类型的蜜罐可以检测和识别此测试，并成功阻止随之而来的大量垃圾邮件.
• Database honeypot: Activities such as SQL injections 通常不会被防火墙检测到吗, 因此，一些组织将使用数据库防火墙, 哪一个可以提供蜜罐支持来创建诱饵数据库.
• Client honeypots: 大多数蜜罐是侦听连接的服务器. 客户端蜜罐主动查找攻击客户端的恶意服务器, 监测蜜罐的可疑和意外修改. 这些系统通常在虚拟化技术上运行，并具有遏制策略，以最大限度地降低研究团队的风险.
• Honeynets: 蜜网不是一个单一的系统，而是一个可以由多个蜜罐组成的网络. 蜜网旨在战略性地跟踪攻击者的方法和动机，同时包含所有入站和出站流量. 

Benefits of a Honeypot

蜜罐为选择实现它们的组织提供了大量的安全好处, including the following:

他们打破了攻击者的杀戮链，减缓了攻击者的速度

当攻击者在您的环境中移动时, 他们进行侦察, scan your network, 寻找配置错误和易受攻击的设备. At this stage, 他们很可能会把你的蜜罐绊倒, 提醒您调查并遏制攻击者访问. 这允许您在攻击者有机会成功地从您的环境中窃取数据之前做出响应. 恶意行为者还可以花费大量时间试图在蜜罐上工作，而不是追踪拥有真实数据的区域. 将他们的攻击转移到一个无用的系统会浪费时间，并为您提供正在进行的攻击的早期警告.

它们很简单，维护成本低

现代蜜罐不仅易于下载和安装, 但是可以针对危险的错误配置和攻击者行为提供准确的警报. In some cases, 您的团队甚至可能会忘记曾经部署过蜜罐，直到有人开始窥探您的内部网络. Unlike 入侵检测系统，蜜罐不需要已知的恶意攻击签名和新的威胁英特尔就可以使用.

它们可以帮助您测试事件响应流程

蜜罐是一种帮助您提高安全性成熟度的低成本方法, 因为他们测试你的团队是否知道如果蜜罐显示意外活动该怎么做. 你的团队能调查警报并采取适当的对策吗?

蜜罐不应该是你的全部威胁检测策略, 但它们是另一层安全措施，可以帮助及早发现攻击. 它们是安全从业者研究真实世界恶意行为和捕获内部网络危害的少数可用方法之一. 想了解更多关于其他类型的科技，可以提高你的蓝队防御? Check out our page on deception technology.

Read More About Honeypots

蜜罐:来自博客的最新消息