95、网络安全防护技术：NAS蜜罐与客户数据安全保护

网络安全防护技术：NAS蜜罐与客户数据安全保护

1. NAS蜜罐技术介绍

攻击链的第四部分是恶意控制。成功捕获攻击者的恶意行为后，需要确定哪些是已知攻击、未知攻击、被攻击并扩展的攻击，还要记录这些攻击以进行更好的研究和分析，这就需要对攻击进行识别和分类。

1.1 NAS蜜罐框架

根据设计思路，设计并实现了NAS蜜罐，其架构包含5个部分：
- 控制中心 ：主要控制蜜罐各部分对攻击者的攻击做出响应，连接外部指纹数据库。外部指纹数据库是各厂商和各协议响应包的集合，通过向不同厂商设备发送不同协议查询包，提取、分类和整理响应包形成指纹数据库，用于NAS攻击检测。当收到虚拟响应中心发送的协议和端口信息时，随机从外部指纹数据库中选择相应响应包返回给虚拟响应中心，控制虚拟NAS集激活相应虚拟NAS，传输网络数据到虚拟NAS，并控制攻击识别中心的虚拟主机模块连接到虚拟NAS。记录攻击者在虚拟NAS中的攻击行为，与攻击识别中心交互形成完整攻击路径。
- 虚拟响应中心 ：主要实现对攻击者探测包的响应，包括协议响应模块和IP转发模块。协议响应模块设置多种协议响应单元（如SSH、FTP、HTTP、SMTP等协议类型，可按需扩展）。收到攻击者探测包时，通过特征提取识别包类型，相应协议响应单元将协议和端口信息传输给控制中心，并将控制中心生成的响应包发送给攻击者。IP转发模块记录攻击者的IP信息，在虚拟NAS启动后将IP转发给虚拟NAS集，以欺骗攻击者进行后续攻击。同时将攻击者的检测行为数据发送到数据中心。
- 虚拟NAS集 ：由不同厂商的虚拟NAS组成，成功启动其