網(wǎng)絡(luò)攻防實驗環(huán)境構(gòu)建培訓(xùn)講義-全文預(yù)覽
【正文】 三方o 數(shù)據(jù)捕獲機制獲取黑客攻擊/惡意軟件活動的行為數(shù)據(jù)網(wǎng)絡(luò)行為數(shù)據(jù)－網(wǎng)絡(luò)連接、網(wǎng)絡(luò)流系統(tǒng)行為數(shù)據(jù)－進程、命令、打開文件、發(fā)起連接o 數(shù)據(jù)分析機制理解捕獲的黑客攻擊/惡意軟件活動的行為o 配置和管理機制有效的配置和管理蜜網(wǎng)環(huán)境第三代蜜網(wǎng)o 第二代蜜網(wǎng)技術(shù)－2003年Eeyore光盤概念驗證性實現(xiàn)o 第三代蜜網(wǎng)技術(shù)－2005年5月發(fā)布ROO蜜網(wǎng)網(wǎng)關(guān)光盤 從LiveCD到安裝光盤－更易部署和定制 基于最小化版本的Fedora Core 3－更安全，yum自動化升級 多種配置機制(hwctl, menu, walleye)－更容易配置 提供數(shù)據(jù)分析工具Walleye－更加易用IPTables實現(xiàn)連接數(shù)限制o 網(wǎng)絡(luò)連接數(shù)限制 n 對內(nèi)部發(fā)起到外部的網(wǎng)絡(luò)連接進行數(shù)量限制 n TCP/UDP/ICMP/other IP n /etc/o Roach Motel Mode － “黑店模式” n “反接”防火墻，只進不出 n 允許外部發(fā)起到內(nèi)部的網(wǎng)絡(luò)連接 n 阻斷內(nèi)部發(fā)起到外部的網(wǎng)絡(luò)連接數(shù)據(jù)捕獲機制o 快數(shù)據(jù)通道 n 網(wǎng)絡(luò)行為數(shù)據(jù) – HoneyWall o 網(wǎng)絡(luò)流數(shù)據(jù): Argus o 入侵檢測報警: Snort o 操作系統(tǒng)信息: p0f n 系統(tǒng)行為數(shù)據(jù) – SebekHoneypot o 進程、文件、命令、鍵擊記錄 o 以rootkit方式監(jiān)控sys_socket, sys_open, sys_read 系統(tǒng)調(diào)用 n 網(wǎng)絡(luò)行為與系統(tǒng)行為數(shù)據(jù)之間的關(guān)聯(lián) – sys_socket o 慢數(shù)據(jù)通道 n 網(wǎng)絡(luò)原始數(shù)據(jù)包 – tcpdumpHoneyWall 網(wǎng)絡(luò)行為數(shù)據(jù)o Argus網(wǎng)絡(luò)流捕獲工具 n 網(wǎng)絡(luò)連接5元組sip, sport, dip, dport, proto+連接統(tǒng)計信息 n Thu 12/29 06:40:32 S tcp n o Snort網(wǎng)絡(luò)入侵檢測工具 n 給出網(wǎng)絡(luò)流中已知攻擊的報警信息 n o P0f被動操作系統(tǒng)識別工具 n 被動監(jiān)聽網(wǎng)絡(luò)流，通過不同操作系統(tǒng)協(xié)議棧的不同實現(xiàn)（指紋）識別網(wǎng)絡(luò)連接雙方的操作系統(tǒng) n 系統(tǒng)行為數(shù)據(jù)Sebek o Sebek工作原理 n 劫持Linux系統(tǒng)調(diào)用sys_read, sys_open,sys_socket, … n 劫持Win32核心APIZwOpenFile, ZwReadFile,ZwEnumerateKey, ZwSecureConnectPort等13個核心APIo Sebek版本 for Linux for *BSD for Win32…Sebek的隱藏機制o Sebek Linux Client n 采用一種Rookit隱藏機制 n Sebek: 可裝載內(nèi)核模塊(LKM: loadable kernel module) n Cleaner: 另一內(nèi)核模塊，從內(nèi)核模塊列表中清除Sebek內(nèi)核模塊o Sebek Win32 Client n 實現(xiàn)為一個系統(tǒng)內(nèi)核驅(qū)動，進行隱藏 n 但通過遍歷PsLoadedModuleList可發(fā)現(xiàn)Sebek系統(tǒng)行為數(shù)據(jù)隱蔽上傳數(shù)據(jù)捕獲機制體系結(jié)構(gòu)圖數(shù)據(jù)分析－Walleyeo Perl語言編寫的Web GUI n 通過DBI連接mysql數(shù)據(jù)庫 n o 數(shù)據(jù)分析視圖摘要視圖網(wǎng)絡(luò)流視圖進程樹視圖進程細節(jié)信息（open_file, read_data,mand…）n 網(wǎng)絡(luò)流信息: 網(wǎng)絡(luò)流數(shù)據(jù)包解碼，snort檢測結(jié)果n Pcap數(shù)據(jù)－慢通道Walleye摘要視圖Walleye－進程樹視圖Walleye－鍵擊記錄視圖4. 基于虛擬蜜網(wǎng)的網(wǎng)絡(luò)攻防實驗環(huán)境網(wǎng)絡(luò)攻防虛擬機鏡像虛擬機鏡像名稱虛擬機鏡像類型基礎(chǔ)操作系統(tǒng)發(fā)布者LinuxMetasploitableLinux靶機Ubuntu MetasploitProjectWinXPMetasploitableWindows靶機WinXP SP0 EnSelfbuiltSEED VMLinux 攻擊機/ 靶機Ubuntu SEED ProjectBack Track 4Linux攻擊機Ubuntu Remote ExploitTeamWinXP AttackerWindows攻擊機WinXP SP3 CNSelfbuiltHoneyWall蜜網(wǎng)網(wǎng)關(guān)ROO The Honeynet ProjectWindows Metasploitable o Win2ks_Metasploitable n 基礎(chǔ)操作系統(tǒng)版本：Windows 2000 Server SP4 EN n 網(wǎng)絡(luò)服務(wù): IIS, MSSQL, SMB, ServU, … n Metasploit適用的攻擊模塊: ~150(未測試)o WinXP_Metasploitable n 基礎(chǔ)操作系統(tǒng)版本: WinXP SP2 EN n 客戶端軟件：IE, Adobe, Office, Realplayer,baofeng, winamp, … n Metasploit適用的攻擊模塊: 200300(未測試)o To Be Added n Win2k3_MetasploitableSEED VMSEED (SEcurity EDucation)信息安全教育實驗環(huán)境美國紐約雪城大學(xué)(Syracuse University)的Wenliang Du教授o SEED VMTCP/IP協(xié)議棧攻擊；SQL注入/XSS攻擊SEED虛擬機鏡像配置項具體配置情況操作系統(tǒng)版本Ubuntu with the Linux kernel 系統(tǒng)用戶帳號/口令root/seedubuntu( 不允許直接登錄) seed/dees網(wǎng)絡(luò)設(shè)置NAT模式，即使用宿主網(wǎng)卡作為路由器進行地址轉(zhuǎn)換和報文轉(zhuǎn)發(fā)已安裝軟件包tcl, tk, libnet1, libn
教學(xué)教案相關(guān)推薦
鄂ICP備17016276號-1