论文部分内容阅读
互联网正面临着越来越多的安全问题。其中，DDos攻击、垃圾邮件、个人隐私侵犯和在线身份盗窃等攻击方式造成的危害尤为突出，入侵并控制大量的Internet主机是这些攻击的重要手段。虽然有很多方法可以防止主机被入侵和控制，但是，为了有效的应对此类安全问题，最好的方式是了解它们攻击并控制网络主机的方法和工具。蜜罐是目前人们在收集新攻击的工作中使用的较为广泛的一个工具。而且，蜜罐通过吸引、消耗攻击，可以间接的保护实际应用系统。
蜜罐根据与攻击的交互级别分为低交互蜜罐与高交互蜜罐。低交互蜜罐通常用仿真服务脚本来响应攻击访问。由于这种简单的响应没有状态信息，因而可以通过伪装的方式，响应大量不同的IP地址访问请求，即拥有较强的响应攻击能力。但由于仿真功能的限制，很难对攻击行为进行全面的追踪与捕获。高交互蜜罐系统以真实的操作系统、服务来响应攻击，可以收集大量的信息，即拥有较强的捕获攻击能力。但它只响应固定IP地址的访问，响应攻击的能力较弱。所以，蜜罐存在着响应攻击能力与捕获攻击能力的之间矛盾。此外，它还有使用率较低，安装使用复杂等不足。
本文旨在解决蜜罐系统存在的这些问题，提出使用Xen虚拟技术将将低、高交互蜜罐系统有机的融合到一起，充分发它们各自优点的方法。主要做法是：在主机(宿主虚拟机)上安装低交互蜜罐，用虚拟机(客户虚拟机)实现高交互蜜罐系统功能。根据攻击的活跃度和捕获价值，使对攻击的交互响应在两者之间动态的切换。仅将攻击访问活跃，捕获价值相对较高的攻击引入高交互蜜罐，对其余大部分攻击访问，用地低交互蜜罐进行响应。这样，系统就能同时拥有了较强的响应攻击能力与捕获攻击能力。单主机的实现和动态的管理方式也使该系统的使用也非常简便。
主要贡献有以下几点：
1)实现了基于Xen虚拟技术的高交互蜜罐；
2)探索出了低、高交互蜜罐有机融合的方法；
3)提出了高交互蜜罐生命周期和蜜罐池的概念；
4)实现高交互蜜罐生命周期的动态管理。