基于Xen的高隐秘性虚拟蜜网设计与研究

论文摘要

蜜网是一种高交互性的蜜罐技术。与传统的被动安全技术相比,由于其采用主动诱捕的方式对攻击行为进行监控,可以给系统管理员提供更多信息,使其了解攻击者所使用的技术,工具和方法,以提高对攻击行为的防御能力。而将蜜网技术与虚拟化结合的虚拟蜜网系统,在保留了蜜网技术的强大探查能力的同时,极大地减低了系统所需的资源,同时减少了部署和维护的难度,正在得到人们广泛的关注,其发展前景广阔。然而,随着大范围的针对性研究,出现了大量的反蜜罐技术。攻击者一旦通过蛛丝马迹了解到目标系统的蜜罐性质,往往会放弃攻击或采取其他手段进行反制,依赖诱骗为根本手段的主动防御系统蜜罐就会丧失其作用。因此,隐秘性就成了蜜罐技术发展的一个瓶颈。虚拟机的引入为虚拟蜜网带来了两个方面的影响:一方面,由于系统规模更加庞大,通用虚拟机往往会给攻击者更多的提示,增加蜜网系统暴露的可能;但另外一方面,由于虚拟机的特性,可以构建基于虚拟机的数据捕获和采集装置,使得现有的反蜜罐技术无效化。通过特别设计的基于虚拟机的蜜网系统,可以将前者的影响减至最小的同时,更加有效地隐蔽蜜网系统和虚拟机的存在,进一步加大反蜜罐的难度。本文首先讨论了蜜网技术的基本原理,分析了常见的隐蔽方法及检测手段,然后介绍了虚拟化技术及开源虚拟机Xen。在此基础上,提出了在Xen的硬件虚拟域中使用Xen接口加强反检测的方法。最后详细介绍了基于Xen的高隐秘性虚拟蜜网的系统架构及数据捕获模块。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 课题的背景和意义
• 1.2 本文的主要工作
• 1.3 本文内容安排
• 第二章 蜜网及其检测技术
• 2.1 蜜罐及蜜网技术概述
• 2.1.1 蜜罐技术定义
• 2.1.2 蜜罐技术分类
• 2.1.3 蜜网技术
• 2.1.4 虚拟化对蜜网系统的影响
• 2.2 蜜网的核心机制
• 2.2.1 数据控制机制
• 2.2.2 数据捕获机制
• 2.2.3 数据集中和分析机制
• 2.3 第二代蜜网分析
• 2.4 蜜网数据捕获模块的隐藏和检测
• 2.4.1 蜜网数据捕获的主要隐藏技术
• 2.4.2 蜜网检测技术及发展
• 2.5 本章小结
• 第三章 虚拟化技术及虚拟蜜网研究
• 3.1 引言
• 3.2 虚拟化技术
• 3.2.1 X86 平台虚拟化概述
• 3.2.2 Xen 泛虚拟化体系结构
• 3.2.3 Xen 完全虚拟化体系结构
• 3.3 基于Xen 的虚拟蜜网数据捕获
• 3.3.1 Xen 虚拟域间的通信及设备模型
• 3.3.2 Xebek：现有的基于Xen 接口的数据捕获和传递
• 3.3.3 Xebek 的局限性和检测方法
• 3.4 虚拟蜜网中虚拟机的隐秘性分析
• 3.4.1 虚拟机的安全性和隐秘性
• 3.4.2 常用的虚拟蜜网用虚拟机的隐秘性分析
• 3.4.3 Xen 的反检测方法
• 3.5 本章小结
• 第四章 高隐秘性虚拟蜜网的设计与实现
• 4.1 设计目标
• 4.2 系统的总体结构
• 4.2.1 虚拟蜜网连接
• 4.2.2 数据捕获
• 4.2.3 数据控制
• 4.3 开发环境介绍
• 4.4 高隐秘性虚拟蜜网的实现
• 4.4.1 Linux 下数据捕获模块
• 4.4.2 修改Xen 获得隐秘虚拟环境
• 4.5 本章小结
• 第五章 结论及展望
• 参考文献
• 致谢
• 攻读学位期间发表的学术论文