35、Linux 上的蜜罐服务：原理、部署与实践

Linux 上的蜜罐服务：原理、部署与实践

1. 蜜罐概述

蜜罐服务器本质上是一种虚假服务器，它伪装成某种类型的真实服务器，但除了记录和提醒任何连接活动外，背后没有实际的数据或功能。

1.1 为何需要蜜罐

传统的入侵预防系统常常会产生误报，即正常活动触发攻击警报。而蜜罐通常只发送“高保真”警报。一旦蜜罐触发，要么是因为真正的攻击者行为，要么是配置错误。

例如，在服务器的 VLAN 中设置一个蜜罐 SQL 服务器，它监听 1433/tcp（SQL）和 3389/tcp（远程桌面）端口。由于它不是真正的 SQL 服务器，正常情况下这两个端口不应有连接。如果有连接，可能是有人在不该访问的网络区域进行探测，或者是遭受了有效攻击。

1.2 蜜罐的作用场景

• 内部攻击检测 ：攻击者已进入网络并试图向更有价值的主机和服务移动。此时，我们对攻击者的平台有一定的控制能力，如将受感染的主机离线重建，或禁止攻击者的物理主机访问网络。
• 研究目的 ：在公共互联网上放置蜜罐 Web 服务器，可监测各种攻击趋势。这些趋势往往是安全社区发现新漏洞的首个迹象，也有助于发现新的恶意软件或服务漏洞。
• 数据和凭证保护 ：使用有吸引力名称的文件、虚拟账户或对关键数据加水印等方式，当攻击者访问这些目标时触发高保真警报，从而发现内部攻击者或数据泄露情况。

2. 部署场景与架构

2.1 监控常见攻击端口

在内