网络安全之蜜罐
1. 什么是蜜罐？
蜜罐是一种主动防御技术，通过主动暴露一些漏洞、设置一些诱饵来引诱攻击者进行攻击，从而可以对攻击行为进行捕获和分析。它本质上是一个被精心设计的陷阱，用于模拟真实环境中的服务或系统，吸引黑客的攻击流量。
2. 原理是什么？
蜜罐可以故意暴露一些易受攻击的端口，使这些端口保持在开放状态，主动诱使攻击者进入蜜罐环境中，而不是进入真实的系统。一旦攻击者进入蜜罐环境中，就可以连续跟踪攻击者的行为，实现对攻击者的捕获、攻击路径的溯源，并通过评估攻击者的攻击行为，获取有关如何使真实网络更安全的线索，进而通过技术和管理手段来增强实际系统的安全防护能力。
3. 蜜罐的分类
蜜罐系统根据攻击者与蜜罐的交互级别把蜜罐分为低交互蜜罐、中交互蜜罐和高交互蜜罐。
3.1 低交互蜜罐
低交互蜜罐通常是最容易安装、配置、部署和维护的，它的设计和基本功能都很简单，只是模拟各种服务，攻击者仅限于与预先指定的服务进行交互。例如，一个低交互的蜜罐可以用来模拟一个标准的 Linux 服务器，在 Linux 服务器中正在运行的 FTP、SMTP 和 TELNET 等服务。攻击者可以通过远程连接到这个蜜罐，并且获得服务的登录提示，然后通过猜测或暴力破解进行登录尝试，蜜罐将捕获并且收集这些登录尝试，攻击者与蜜罐的交互仅限于登录尝试，并不能登录到这个系统。
3.2 中交互蜜罐
中交互蜜罐为攻击者提供了比低交互蜜罐更多的交互能力，如提高一些低交互蜜罐无法提高的响应，但比高交互蜜罐的功能少。例如，可以通过构建一个中交互蜜罐来模拟一个 web 服务器，并且呈现出蠕虫病毒攻击所需的漏洞，无论何时攻击者与蜜罐建立 http 连接，蜜罐都会进行响应，使攻击者有机会与模拟的 web 服务器进行交互。这种交互的程度比低交互的蜜罐交互程度高。在低交互的蜜罐中，攻击者可能只会获得一个 http 的响应提示。在蠕虫蜜罐的例子中，可以捕获攻击行为的有效载荷，以便对攻击行为进行分析。
3.3 高交互蜜罐
高交互蜜罐可以为构建者提供大量攻击者的信息，构建和维护非常的耗费时间，而且风险极高，在高交互性的蜜罐中，攻击者可以对真实的操作系统进行访问，系统中有着最真实的漏洞，记录下的入侵信息也都是最真实的。
4. 研究现状
Cheswick B 在实际工程中首次使用了蜜罐技术，并且列出了详细的交互过程。他们在互联网网关上故意设置了一个著名的 send mail 调试漏洞，发现攻击者试图获取密码文件副本，进而透漏给攻击者这个密码副本，通过一步步的设置陷阱带领这个攻击者进行相关的操作，以便于获取到这名攻击者的位置信息并且学习这名攻击者的技术。
Kuwatly I 等人提出了一种应用于入侵检测领域的动态蜜罐，设计了由高交互和低交互共同作用的，结合了主动探测扫描技术和被动指纹识别技术，可以自主的适应动态的、不断变化的网络环境，可以有效解决蜜罐的静态性、部署难等问题。
Buzzio-Garcia J 提出了一种基于 Docker 创建高交互蜜罐的方法，可以用来检测网络级别和主机级别的攻击，此方法可以有效的解决蜜罐的静态性，隐蔽性弱的问题。
enjun Fan 等人提出了一种名为 HoneyDOC 的高效的蜜罐架构，其包含诱饵、捕获器、协调器三个模块，在此基础上设计了一个软件定义网络的蜜罐系统，此蜜罐系统具有较强的识别能力、隐蔽能力和高扩展性。
Hecker C 等人提出了一种基于网络扫描结果自动动态配置蜜罐的方法，可以确定给定目标网络的网络拓扑、连接的主机、操作系统、开放端口和可访问的服务，用该方法可以帮助系统管理员和研究人员快速轻松的构建单一蜜罐或组成蜜网系统，其动态变化性也可以更好地保护网络。
陈启璋等人针对不足，通过采用重定向器和运用拦截代理实现了仿真入侵目标蜜网。解决了系统中存在的安全性不高，迷惑性不强反识别能力弱等问题。
石乐义等人提出了动态阵列蜜罐。以诸多真实环境的功能主机为基本单元，通过服务、蜜罐等任务的动态伪随机切换而形成的动态陷阱系统，从而迷惑和干扰敌手。
李之棠等人通过将被动指纹识别技术和虚拟蜜罐技术有机的结合提出了一个动态蜜罐的思想，这个动态蜜罐是一个即插即用的蜜罐系统，它通过监控和自学习实时的网络环境，收集网络中计算机的信息能够自动地确定应配置多少蜜罐以及怎样对它们进行配置。
