有了解honeynet的 请帮帮忙
你可以到这里看看
HONEYPOT（蜜罐）技术 什么是蜜罐 蜜罐(Honeypot)是一种在互联网上运行的计算 机系统。它是专门为吸引并诱骗那些试图非法闯 入他人计算机系统的人(如电脑黑客)而设计的，蜜 罐系统是一个包含漏洞的诱骗系统，它通过模拟 一个或多个易受攻击的主机，给攻击者提供一个 容易攻击的目标。由于蜜罐并没有向外界提供真 正有价值的服务，因此所有对蜜罐尝试都被视为 可疑的。蜜罐的另一个用途是拖延攻击者对真正 目标的攻击，让攻击者在蜜罐上浪费时间。简单 点一说：蜜罐就是诱捕攻击者的一个陷阱。 Honeypot的特点 (1) 它不是一个单一的系统,而是一个网络,是 一种高度相 互作用的Honeypot ,装有多个系统和应用软 件。 (2) 所有放置在Honeynet 内的系统都是标准 的产品系统, 即真实的系统和应用软件都不是仿效的。 Honeypot分类 可以有多种方法对其进行分类：根据蜜罐 的设计目的不同，可以分为产品型蜜罐和 研究型蜜罐二种；根据蜜罐的工作方式不 同可以分为牺牲型蜜罐和外观型蜜罐二 种。 蜜罐的主要技术 蜜罐的主要技术有网络欺骗，端口重定向，报警，数据控制 和数据捕获等。 1．网络欺骗技术： 为了使蜜罐对入侵者更有吸引力，就要采用各种欺骗手段。 例如在欺骗主机上模拟一些操作系统一些网络攻击者最"喜 欢"的端口和各种认为有入侵可能的漏洞。 2．端口重定向技术： 端口重定向技术，可以在工作系统中模拟一个非工作服务。 例如我们正常使用WEB服务（80），而用TELNET（23）和FTP （21）重定向到蜜罐系统中，而实际上这两个服务是没有开 启的，而攻击者扫描时则发现这两个端口是开放的，而实际 上两个端口是HONEYPOT虚拟出来的，对其服务器而不产生危 害性。 3．攻击（入侵）报警和数据控制 蜜罐系统本身就可以模拟成一个操作系统，我们可以把其 本身设定成为易攻破的一台主机，也就是开放一些端口和 弱口令之类的，并设定出相应的回应程序，如在LINUX中的 SHELL，和FTP程序，当攻击者"入侵"进入系统（这里所 指是HONEYPOT虚拟出来的系统）后，当进入后就相当于攻 击者进入一个设定"陷阱"，那么攻击者所做一切都在其 监视之中：如TELNET密码暴力破解，添加新用户，权限提升， 删除添加文件，还可以给入侵者一个网络连接让其可以进 行网络传输，并可以作为跳板 4．数据的捕获技术 在攻击者入侵的同时，蜜罐系统将记录攻击者输入输出信 息，键盘记录信息，屏幕信息，以及攻击者曾使用过的工 具，并分析攻击者所要进行的下一步。捕获的数据不能放 在加有HONEYPOT的主机上，因为有可能被攻击者发现，从 而使其觉察到这是一个"陷阱"而提早退出 举例说明: 图1 典型的Sebek部署。客户端模块安装在蜜罐（蓝 色）里，蜜罐里攻击者行为被捕获后发送到网络 （对攻击者是不可见的）并且由Honey wall网关被 动的收集。 Tiny Honeypot介绍 Tiny Honeypot 是由George Bakos最初编写,Tiny Honeypot最出色的一点就是系 统容易受到攻击,不用担心电脑黑客和电脑高手们不能入侵,一般会成功的,Tiny Honeypot具有很好的收集那些坏家伙(入侵者) 入侵的信息和信息保存机制。 Tiny Honeypot安装: 首先要下载thp-0.4.6.tar.gz程序然后执行下列命令: cd /usr/local #切换目录到/usr/local zcat thp-0.4.6.tar.gz tar -xvf - #解压gz文件 ln -s thp-0.4.6.tar.gz thp #建立软链接 mkdir /var/log/hpot #新建目录 chown nobody:nobody /var/log/hpot #设定目录权限 chmod 700 /var/log/hpot #修改查看日志权限 cp ./thp/xinetd.d/* /etc/xinetd.d edit xinetd files to change to :"disable = no" #修改参数(后面详解) #make any path preferences adjustements in thp.conf iptables.rules ./thp/iptables.rules #修改规则 /etc/rc.d/init.d/portmap start #启动portmap pmap_set ./thp/fakerpc /etc/rc.d/init.d/xinetd start #启动xinetd 配置过程: 1 .建议在ROOT用户上进行安装，"chmod 700 /var/log/hpot"修改 访问日志的权限，使只有ROOT才能对其进行访问 2.edit xinetd files to change to :"disable = no" 3../thp/iptables.rules 编译iptables.rules访问规则,注意修改其 ip_forward环境变量为"". 0 4.对honeypot进行网络配置 对 Honeypot进行网络及环境变量配置，如IP地址， 允许正常使用的端口，Honeypot重定向的端口以久虚拟的 网络服务，如正常使用80端口进行WWW服务，21,23端口 进行虚拟，Honeypot可以虚拟出许多的服务，如FTP服 务，WWW服务，远程SHELL，SMTP服务等，在这里就不 一一细说了。 配置实例 实例对Thp的配置 入侵检测实例应用: 启动Honeypot 现有一台主机对其虚拟主机（Honeypot A）进行分析及入侵检测: 入侵者通过远程对Honeypot A进行23端口shell连接并远程执行shell命令 入侵者通过远程对Honeypot A进行21端口Ftp连接并执行命令 接下由于我设定的为多用户模式，故可以进行实时检测，打开 /var/log/thp后查看日志文件(注意要具有ROOT用户权限) 对入侵主机进行入侵分析,从日志中可以查看入侵者曾进行的命令和正 在执行的命令. 我们已经一步步的完成使用Linux系统 Honeynet的构建和配置，这个配置包含了多 个Honeynet新技术，但是必须注意的是信息 安全的更新飞速,Honeypot的技术仍不完善, 还需要在新的条件不断的发展和完善!
常见网络安全攻击有哪些
1、DoS和DDoS攻击
DoS是Denial of
Service的简称，即拒绝服务。单一的DoS攻击一般是采用一对一方式的，通过制造并发送大流量无用数据，造成通往被攻击主机的网络拥塞，耗尽其服务资源，致使被攻击主机无法正常和外界通信。
DDos全称Distributed Denial of Service，分布式拒绝服务攻击。攻击者可以伪造IP 地址，间接地增加攻击流量。通过伪造源 IP
地址，受害者会误认为存在大量主机与其通信。黑客还会利用IP 协议的缺陷,对一个或多个目标进行攻击,消耗网络带宽及系统资源,使合法用户无法得到正常服务。
2、MITM攻击
中间人类型的网络攻击是指网络安全漏洞，使得攻击者有可能窃听两个人、两个网络或计算机之间来回发送的数据信息。在MITM攻击中，所涉及的两方可能会觉得通信正常，但在消息到达目的地之前，中间人就非法修改或访问了消息。
3、网络钓鱼攻击
网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息的一种攻击方式。
攻击者可能会将自己伪装成网络银行、在线零售商和信用卡公司等可信的品牌，骗取用户的私人信息。最常见的是向用户发送链接，通过欺骗用户下载病毒等恶意软件，或提供私人信息来完成诈骗。在许多情况下，目标可能没有意识到他们已被入侵，这使得攻击者可以在没有任何人怀疑恶意活动的情况下获取同一组织中更多的相关信息。
在打开的电子邮件类型和单击的链接时要格外留意电子邮件标题，检查回复和返回路径的参数。不要点击任何看起来可疑的东西，也不要在网上留下可以证明自己身份的任何资料，包括手机号码、身份证号、银行卡号码等。
4、鲸鱼网络钓鱼攻击
之所以如此命名，是因为它针对的是组织的大鱼。通常包括最高管理层或其他负责组织的人，这些人掌握着企业或其运营的专有信息，更有可能为了买断信息而支付赎金。
鲸鱼网络钓鱼攻击可以通过采取相同的预防措施来避免攻击，例如仔细检查电子邮件及其随附的附件和链接，留意可疑的目的地或参数。
5、鱼叉式网络钓鱼攻击
鱼叉式网络钓鱼攻击是指一种有针对性的网络钓鱼攻击，攻击者花时间研究他们的预期目标，通过编写与目标相关性极强的消息来完成攻击。通常鱼叉式网络钓鱼攻击使用电子邮件欺骗，电子邮件发送人可能是目标信任的人，例如社交网络中的个人、密友或商业伙伴，使得受害者难以发觉。
6、勒索软件
勒索软件是一种流行的木马，通过骚扰、恐吓甚至采用绑架用户文件等方式，使用户数据资产或计算资源无法正常使用，并以此为条件向用户勒索钱财。这类用户数据资产包括文档、邮件、数据库、源代码、图片、压缩文件等多种文件。赎金形式包括真实货币、比特币或其它虚拟货币。
7、密码攻击
密码是大多数人访问验证的工具，因此找出目标的密码对黑客来说非常具有吸引力。攻击者可能试图拦截网络传输，以获取未经网络加密的密码。他们通过引导用户解决看似重要的问题来说服目标输入密码。
一些安全性较低的密码很容易被攻击者获取，例如“1234567”。此外，攻击者还经常使用暴力破解方法来猜测密码，即使用有关个人或其职位的基本信息来尝试猜测他们的密码。例如，通过组合用户的姓名、生日、周年纪念日或其他个人信息破译密码。
8、SQL注入攻击
SQL注入攻击是指后台数据库操作时，如果拼接外部参数到SQL语句中，就可能导致欺骗服务器执行恶意的SQL语句，造成数据泄露、删库、页面篡改等严重后果。按变量类型分为：数字型、字符型;按HTTP提交方式分为：GET注入、POST注入、cookie注入;按注入方式可分为：报错注入、盲注、堆叠注入等等。
诈骗界说的飞机是什么软件?
“诈骗界说的飞机”指的是一种远程控制软件，通常被用于实施网络诈骗行为。这种软件也被称为“远控”软件，因为它可以远程访问受害者计算机并窃取其敏感信息或控制其操作。
这种软件在黑客和网络犯罪分子中非常普遍，可能会以多种形式出现，如电子邮件附件、恶意软件下载或对话框欺骗等。一旦安装成功，该软件便可以在背后默默地运行，并将受害者的键盘输入、摄像头画面和屏幕截图等信息发送回攻击者的服务器。
由于“诈骗界说的飞机”软件的存在，使用互联网时需要注意自己的安全，保护自己的电脑不被黑客入侵和控制。建议安装可靠的杀毒软件，并避免打开或下载任何来源不明的文件。
ARP瑞星防火墙？
瑞星防火墙集成了防止ARP攻击的功能，如需使用直接点击开启即可。
补充知识：
1、瑞星防火墙
功能：网络攻击拦截：阻止黑客攻击系统对用户造成的危险。 出站攻击防御：最大程度解决“肉鸡”和“网络僵尸”对网络造成的安全威胁。 恶意网址拦截：保护用户在访问网页时，不被病毒及钓鱼网页侵害。个人防火墙是为解决网络上黑客攻击问题而研制的个人信息安全产品，具有完备的规则设置，能有效的监控任何网络连接，保护网络不受黑客的攻击。
2、ARP攻击
ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。
ARP攻击主要是存在于局域网网络中，局域网中若有一台计算机感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。
网络安全
网络安全知识包括黑客知识。
是指网络系统的硬件、软件及系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统可以连续可靠正常地运行，网络服务不被中断。
什么是计算机病毒？
计算机病毒是指编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。
什么是木马？
木马是一种带有恶意性质的远程控制软件。木马一般分为客户端和服务器端。客户端就是本地使用的各种命令的控制台，服务器端则是要给别人运行，只有运行过服务器端的计算机才能够完全受控。木马不会象病毒那样去感染文件。
什么是防火墙？它是如何确保网络安全的？
使用功能防火墙是一种确保网络安全的方法。防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的惟一出入口，能根据企业的安全策略控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务、实现网络和信息安全的基础设施。
什么是后门？为什么会存在后门？
后门是指一种绕过安全性控制而获取对程序或系统访问权的方法。在软件的开发阶段，程序员常会在软件内创建后门以便可以修改程序中的缺陷。如果后门被其他人知道，或者在发布软件之前没有删除，那么它就成了安全隐患。
什么叫入侵检测？
入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，检查网络中是否有违反安全策略的行为和遭到袭击的迹象。
什么叫数据包监测？它有什么作用？
数据包监测可以被认为是一根窃听电话线在计算机网络中的等价物。当某人在“监听”网络时，他们实际上是在阅读和解释网络上传送的数据包。如果你需要在互联网上通过计算机发送一封电子邮件或请求一个网页，这些传输信息时经过的计算机都能够看到你发送的数据，而数据包监测工具就允许某人截获数据并且查看它。
什么是NIDS？
NIDS是网络入侵检测系统的缩写，主要用于检测HACKER和CRACKER通过网络进行的入侵行为。NIDS的运行方式有两种，一种是在目标主机上运行以监测其本身的通信信息，另一种是在一台单独的机器上运行以监测所有网络设备的通信信息，比如HUB、路由器。
什么叫SYN包？
TCP连接的第一个包，非常小的一种数据包。SYN攻击包括大量此类的包，由于这些包看上去来自实际不存在的站点，因此无法有效进行处理。
加密技术是指什么？
加密技术是最常用的安全保密手段，利用技术手段把重要的数据变为乱码（加密）传送，到达目的地后再用相同或不同的手段还原（解密）。
加密技术包括两个元素：算法和密钥。算法是将普通的信息或者可以理解的信息与一串数字（密钥）结合，产生不可理解的密文的步骤，密钥是用来对数据进行编码和解密的一种算法。在安全保密中，可通过适当的密钥加密技术和管理机制来保证网络的信息通信安全。
什么叫蠕虫病毒？
蠕虫病毒源自一种在网络上传播的病毒。1988年，22岁的康奈尔大学研究生罗伯特.莫里斯通过网络发送了一种专为攻击UNIX系统缺陷、名为“蠕虫”的病毒，蠕虫造成了6000个系统瘫痪，估计损失为200万到6000万美圆。由于这只蠕虫的诞生，在网上还专门成立了计算机应急小组。现在蠕虫病毒家族已经壮大到成千上万种，并且这千万种蠕虫病毒大都出自黑客之手。
什么是操作系统病毒？
这种病毒会用它自己的程序加入操作系统进行工作，具有很强的破坏力，会导致整个系统瘫痪。并且由于感染了操作系统，这种病毒在运行时，会用自己的程序片段取代操作系统的合法程序模块。根据病毒自身的特点和被替代的操作系统中合法程序模块在操作系统中运行的地位与作用，以及病毒取代操作系统的取代方式等，对操作系统进行破坏。同时，这种病毒对系统中文件的感染性也很强。
莫里斯蠕虫是指什么？
它的编写者是美国康奈尔大学一年级研究生罗伯特.莫里斯。这个程序只有99行，利用UNIX系统的缺点，用finger命令查联机用户名单，然后破译用户口令，用MAIL系统复制、传播本身的源程序，再编译生成代码。
最初的网络蠕虫设计目的是当网络空闲时，程序就在计算机间“游荡”而不带来任何损害。当有机器负荷过重时，该程序可以从空闲计算机“借取资源”而达到网络的负载平衡。而莫里斯蠕虫不是“借取资源”，而是“耗尽所有资源”。
什么是DDoS？
DDoS也就是分布式拒绝服务攻击。它使用与普通的拒绝服务攻击同样的方法，但是发起攻击的源是多个。通常攻击者使用下载的工具渗透无保护的主机，当获取该主机的适当的访问权限后，攻击者在主机中安装软件的服务或进程（以下简称代理）。这些代理保持睡眠状态，直到从它们的主控端得到指令，对指定的目标发起拒绝服务攻击。随着危害力极强的黑客工具的广泛传播使用，分布式拒绝服务攻击可以同时对一个目标发起几千个攻击。单个的拒绝服务攻击的威力也许对带宽较宽的站点没有影响，而分布于全球的几千个攻击将会产生致命的后果。
局域网内部的ARP攻击是指什么？
ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的进行。基于ARP协议的这一工作特性，黑客向对方计算机不断发送有欺诈性质的ARP数据包，数据包内包含有与当前设备重复的MAC地址，使对方在回应报文时，由于简单的地址重复错误而导致不能进行正常的网络通信。一般情况下，受到ARP攻击的计算机会出现两种现象：1、不断弹出“本机的XXX段硬件地址与网络中的XXX段地址冲突”的对话框。2、计算机不能正常上网，出现网络中断的症状。
因为这种攻击是利用ARP请求报文进行“欺骗”的，所以防火墙会误以为是正常的请求数据包，不予拦截。因此普通防火墙很难抵挡这种攻击。
什么叫欺骗攻击？
网络欺骗的技术主要有：HONEYPOT和分布式HONEYPOT、欺骗空间技术等。主要方式有：IP欺骗、ARP欺骗、DNS欺骗、WEB欺骗、电子邮件欺骗、源路由欺骗（通过指定路由，以假冒身份与其他主机进行合法通信或发送假报文，使受攻击主机出现错误动作）、地址欺骗（包括伪造源地址和伪造中间站点）等。
0条大神的评论