27、蜜罐/蜜网数据库在增强警报关联方面的局限性

蜜罐/蜜网数据库在增强警报关联方面的局限性

1. 引言

在安全信息和事件管理（SIEM）环境中，安全分析师需要处理大量异构的警报信息。这些警报往往缺乏精确和简洁的内容，给安全管理员的管理和分析工作带来了巨大挑战。为了提高警报的准确性和对攻击的理解，人们开发了警报关联方法。然而，现有的关联技术大多聚焦于本地警报数据集，受限于被监控系统的功能和结构边界，无法判断本地检测到的警报是否属于更广泛的威胁现象。

蜜罐技术作为一种有价值的工具，可以自动收集和学习基于服务器的攻击和全球威胁现象的相关信息。不同IP地址段受到的攻击方式存在差异，因此深入了解这些威胁信息对于研究与本地检测到的攻击之间的因果关系至关重要。

本文提出了一种新颖的跨视图关联方法，旨在分析被监控系统中本地检测到的警报与蜜罐传感器部署所观察到的全球威胁现象之间的因果关系。该方法有助于重新评估攻击的严重程度和影响，并为选择更合适的对策提供支持。

2. 技术现状

2.1 蜜罐和蜜网

蜜罐是一种主动引入漏洞的环境，用于观察攻击和入侵行为，便于深入分析攻击者的策略，并为操作人员提供有关威胁和网络攻击的情报。根据与攻击者的交互程度，蜜罐可分为以下三类：
| 交互级别 | 优点 | 缺点 | 示例 | 收集的信息 |
| — | — | — | — | — |
| 低交互蜜罐 | - 实现简单
- 易于使用和维护
- 渗透风险低
- 模拟特定服务 | - 交互性能较低
- 无真实交互
- 攻击者活动范围有限
- 仅能检测已知攻击
- 易被高级攻击者察觉
- 仅捕获