CN111818062A - 基于Docker的CentOS高交互蜜罐系统及其实现方法 - Google Patents

Abstract

本发明公开了一种基于Docker的CentOS高交互蜜罐系统，包括：基础服务模块，用于基于基础CentOS镜像，大量部署其他基础服务，以模拟真实主机的操作环境，提升蜜罐与黑客的交互性；漏洞服务模块，用于在增加蜜罐系统内服务数量的同时，留下常见的漏洞，增加进入蜜罐系统的方式，降低进入蜜罐系统的难度，使攻击者进入蜜罐，并采集攻击者的数据；数据聚合模块，用于分析攻击者进入蜜罐系统后的操作，通过远程IP、远程端口、进程号、操作时间四元组，将同一个用户在蜜罐系统内进行的全部操作聚合在一个会话id下，分析攻击作者的操作意图，溯源攻击路径；本发明还提供一种基于Docker的CentOS高交互蜜罐系统的实现方法，本发明起到保护真实主机服务的作用。

Description

基于Docker的CentOS高交互蜜罐系统及其实现方法

技术领域

本发明涉及计算机网络安全技术领域，特别是一种基于Docker的CentOS高交互蜜罐系统及其实现方法。

背景技术

蜜罐技术是一种对互联网攻击方进行欺骗的技术。通常可以认为，蜜罐是一台无人使用但受到严密监控的网络主机，它包含虚假的高价值资源和一些漏洞，以吸引入侵者攻击蜜罐主机，以起到保护真实主机的目的。同时，蜜罐可以记录下黑客进行攻击的所有指令，以此制定防御攻击的手段，供真实主机使用。采用蜜罐技术可以一定程度上的抵御未知攻击，增强实际系统的防护能力。

目前已有的蜜罐技术，大多数为低交互蜜罐的数据分析技术，或由许多低交互蜜罐以及专门的部署手段所组成一个较复杂的蜜罐系统，以实现蜜罐的创新型构造或部署。然而，专门针对于CentOS高交互蜜罐所进行的研究较少。尽管已经有了一些基于Docker的开源蜜罐技术，针对CentOS的一些服务进行了模拟，但是，此类蜜罐有几类缺陷，其一它不易吸引黑客攻击，其二它与黑客的交互性低，可能没有黑客进入或黑客进入后进行少量操作便离开系统，其三不同黑客在蜜罐内的操作不易进行区分，这些因素最终都会使得难以采集到有效的数据进行分析。

CentOS(Community Enterprise Operating System):社区企业操作系统，是Linux发行版之一，它由开放源代码规定释出的源代码所编译而成。

Docker：是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何主流系统的机器上，也可以实现虚拟化。

发明内容

为解决现有技术中存在的问题，本发明的目的是提供一种基于Docker的CentOS高交互蜜罐系统及其实现方法，用于吸引黑客攻击，监控黑客攻击路径、攻击手段，指定防御策略，同时起到保护真实主机服务的作用。

为实现上述目的，本发明采用的技术方案是：一种基于Docker的CentOS高交互蜜罐系统，包括：

基础服务模块，用于基于基础CentOS镜像，大量部署其他基础服务，以模拟真实主机的操作环境，提升蜜罐与黑客的交互性；

漏洞服务模块，用于在增加蜜罐系统内服务数量的同时，留下常见的漏洞，增加进入蜜罐系统的方式，降低进入蜜罐系统的难度，使攻击者进入蜜罐，并采集攻击者的数据；

数据聚合模块，用于分析攻击者进入蜜罐系统后的操作，通过远程IP、远程端口、进程号、操作时间四元组，将同一个用户在蜜罐系统内进行的全部操作聚合在一个会话id下，分析攻击作者的操作意图，溯源攻击路径。

作为一种优选的实施方式，所述的基础服务模块包括常用系统指令、ssh服务、数据库服务和web服务。

作为另一种优选的实施方式，所述漏洞服务模块包括mysql服务、redis服务、nginx代理、thinkphp服务，漏洞包括指令注入漏洞、未授权访问漏洞、解析漏洞、文件上传漏洞，使得该系统更易被黑客攻击入侵，吸引黑客流量，采集黑客数据。

作为另一种优选的实施方式，所述数据聚合模块以TCP连接会话形式，聚合不同的操作指令，溯源黑客的攻击路径，分析黑客攻击意图。

本发明还提供一种如上所述的基于Docker的CentOS高交互蜜罐系统的实现方法，包括以下步骤：

步骤一、制作CentOS基础蜜罐：以Docker技术为基础，拉取CentOS镜像作为基础镜像；再基于此镜像，部署sysdig插件作为CentOS指令监控插件，从系统调用的层面进行监控，再通过lua脚本进行过滤，能完整的监控CentOS系统内执行的全部指令；之后，安装openssh服务，为此CentOS系统留下一个常用入口；

步骤二、部署CentOS内多种服务，以达到暴露漏洞以及高交互的目的：基于开源代码，即可完成包含对应漏洞的各类服务的部署，包括mysql服务、redis服务、Nginx服务、thinkphp服务，以及其包含的命令注入漏洞、未授权访问漏洞、解析漏洞、文件上传漏洞；

步骤三、聚合访问数据：通过sysdig监控记录下指令的进程号以及发生时间，再依据指令注入时间找到对应Nginx日志，确定用户的远程ip和远程端口，由此生成进程号、远程IP和远程端口的键值对，以及生成一个确定此次会话的唯一会话id。

本发明的有益效果是：

本发明基于Docker能在CentOS基础镜像里部署大量服务，提升系统的交互性，并且灵活度极高，可由用户自由决定；此外，由于大量漏洞服务的存在，极易吸引黑客攻击，采集黑客流量；最后数据聚合能最大程度结合各类CentOS服务，分析各服务数据，溯源攻击路径。

附图说明

图1为本发明实施例的系统结构框图图；

图2为本发明实施例中数据聚合的流程框图。

具体实施方式

下面结合附图对本发明的实施例进行详细说明。

实施例

如图1所示，一种基于Docker的CentOS高交互蜜罐系统，包括：

基础服务模块：基于基础CentOS镜像，大量部署其他基础服务，以模拟真实主机的操作环境，达到高交互效果，欺骗攻击者入侵的同时，增加自身隐蔽性，能使攻击者在其系统内停留更长的时间并且不易发现其本身是一个蜜罐。具体提供基础的CentOS服务，主要的，利用Docker的便捷化部署的特性，可以自由、有效的配置蜜罐系统内各种服务，增加服务类别，提升蜜罐与黑客的交互性。首先使用Docker拉取基础centos7镜像作为本实施例的基础镜像，此后所述各类基础服务、漏洞服务均基于此基础镜像进行部署，安装配置各类服务，使其正常工作于基础镜像之上。因此，所述基础服务模块包含但不限于常用的centos指令、ssh服务、数据库服务、web服务等。

漏洞服务模块：在增加系统内服务数量的同时，留下常见的漏洞，增加进入系统的方式，降低进入系统的难度，使攻击者更容易进入系统蜜罐，采集攻击者的数据。增加系统的脆弱性和进入系统的方式，针对CentOS上可部署的多种服务，主要利用其由于历史版本原因、本身技术原因或刻意留下的后门所造成的漏洞，相对于传统蜜罐服务技术仅完成服务的部署及针对黑客进入系统后的数据采集分析，该系统使黑客更容易进入，采集黑客的攻击数据。所述漏洞服务模块包括但不限于mysql服务、redis服务、nginx服务、thinkphp服务等，主要利用其中的指令注入漏洞、未授权访问漏洞、解析漏洞、文件上传漏洞等，部署包含指定漏洞的各类服务的版本于基础镜像之上，修改配置文件，暴露其服务并打开服务端口，引诱攻击者入侵。黑客可以通过任一漏洞入侵系统，留下后门或shell文件等控制系统，进行攻击。

数据聚合模块：攻击者可通过多种方式进入蜜罐，然后攻击蜜罐系统。此数据聚合模块通过远程IP、远程端口、进程号、操作时间四元组，将同一个用户在此系统内进行的全部操作聚合在一个会话id下，因此可以更好的分析攻击作者的操作意图，溯源攻击路径。分析攻击者进入系统后的操作，主要基于CentOS及网络数据传输本身的特性，通过IP、端口、时间、进程号等多元组，聚合一个攻击者进入到系统之后，对多种服务进行操控的全部指令，因此提升了蜜罐内各种服务之间的联系，同时聚合了黑客的整个攻击流程，溯源攻击路径。所述数据聚合模块在攻击者入侵系统之后，以一次TCP连接会话的形式聚合攻击者入侵数据。通过套接字的连接、ssh服务、nginx服务的日志系统等方式，记录扫描连接本蜜罐系统的远程IP、远程端口和连接时间，通过监控系统调用的方式，监控入侵本蜜罐系统的指令操作的进程号、操作时间等，再通过时间、进程号、远程IP和远程端口四元组，将攻击者通过漏洞服务进入系统的指令和进入系统后的操作指令聚合在同一个会话id下。因此，每一个黑客具有自己独有的id，更有利于分析出黑客的意图和攻击手段。

需要说明的是，基础服务模块和漏洞服务模块可根据需求自由添加或删除其中的服务。

本实施例还提供一种基于Docker的CentOS高交互蜜罐系统的实现方法，包括以下步骤：

1.CentOS基础蜜罐的制作：

以Docker技术为基础，拉取CentOS7 Docker镜像作为基础镜像。再基于此镜像，部署sysdig插件作为centos指令监控插件，从系统调用的层面进行监控，再通过lua脚本进行过滤，能完整的监控centos系统内执行的全部指令。之后，安装openssh服务，为此centos系统留下一个常用入口。

2.部署CentOS内多种服务，以达到暴露漏洞以及高交互的目的:

基于开源代码，即可完成包含对应漏洞的各类服务的部署，包括mysql服务、redis服务、Nginx服务、thinkphp服务，以及其包含的命令注入漏洞、未授权访问漏洞、解析漏洞、文件上传漏洞等。在此不对每一类一一阐述，仅以thinkphp作为示例。

在基础镜像的基础上，安装thinkphp5.0.15版本，此版本包含命令注入漏洞。同时部署nginx，作为thinkphp的web服务器。修改nginx的配置文件，以使得thinkphp正常工作，同时修改配置文件中的日志部分，输出web访问客户端信息。

此时，黑客即可通过thinkphp命令注入漏洞攻击该系统。利用system函数远程写入文件，如http://localhost/public/index.php？s＝/index/\think\app/invokefunction&function＝call_user_func_array&vars[0]＝system&vars[1][]＝echo％20/<？php％20eval/(/$_POST[a]/)？/>％20>>test.php，再通过中国菜刀软件即可连接文件，入侵蜜罐系统，进行系列操作之后再离开此蜜罐系统。Web访问的操作和进入CentOS里的系列指令操作分别被nginx的日志以及sysdig插件记录了下来。

3.聚合访问数据:

基于nginx的日志系统及其配置文件，前文所述黑客进行的命令注入操作被记录logs文件中，该文件记录了包括黑客所在的远程IP和远程端口、url访问请求等在内的日志特征。如果黑客进入系统，会首先创建bash进程，然后基于此进程进行系统指令的操作。因此，sysdig基于此进程号，以进程号-时间-系统指令的形式记录下黑客进入后的全部操作。如图2所示，在发生指令注入时，可通过sysdig监控记录下指令的进程号以及发生时间，再依据指令注入时间找到对应Nginx日志，确定用户的远程IP和远程端口，由此生成进程号、远程IP和远程端口的键值对，以及生成一个确定此次会话的唯一会话id。因此，基于此进程号该用户的全部操作被归类于此会话id。该用户之后的攻击行为，可通过其输入指令进行进一步分析。因此，通过thinkphp指令注入漏洞进入系统的用户，其攻击路径会被完整记录。此外，通过其他漏洞或ssh连接等形式入侵蜜罐系统的流量，可以以类似的方式监控其攻击流程，形成一个完整的攻击者画像，有利于之后对蜜罐系统所采集的数据进行进一步分析，充分利用蜜罐所采集到的黑客数据。

以上所述实施例仅表达了本发明的具体实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。

Claims (5)

1.一种基于Docker的CentOS高交互蜜罐系统，其特征在于，包括：

基础服务模块，用于基于基础CentOS镜像，大量部署其他基础服务，以模拟真实主机的操作环境，提升蜜罐与黑客的交互性；

漏洞服务模块，用于在增加蜜罐系统内服务数量的同时，留下常见的漏洞，增加进入蜜罐系统的方式，降低进入蜜罐系统的难度，使攻击者进入蜜罐，并采集攻击者的数据；

数据聚合模块，用于分析攻击者进入蜜罐系统后的操作，通过远程IP、远程端口、进程号、操作时间四元组，将同一个用户在蜜罐系统内进行的全部操作聚合在一个会话id下，分析攻击作者的操作意图，溯源攻击路径。

2.根据权利要求1所述的基于Docker的CentOS高交互蜜罐系统，其特征在于，所述的基础服务模块包括常用系统指令、ssh服务、数据库服务和web服务。

3.根据权利要求1所述的基于Docker的CentOS高交互蜜罐系统，其特征在于，所述漏洞服务模块包括mysql服务、redis服务、nginx代理、thinkphp服务，漏洞包括指令注入漏洞、未授权访问漏洞、解析漏洞、文件上传漏洞，使得该系统更易被黑客攻击入侵，吸引黑客流量，采集黑客数据。

4.根据权利要求1所述的基于Docker的CentOS高交互蜜罐系统，其特征在于，所述数据聚合模块以TCP连接会话形式，聚合不同的操作指令，溯源黑客的攻击路径，分析黑客攻击意图。

5.一种如权利要求1-4任一项所述的基于Docker的CentOS高交互蜜罐系统的实现方法，其特征在于，包括以下步骤：

步骤一、制作CentOS基础蜜罐：以Docker技术为基础，拉取CentOS镜像作为基础镜像；再基于此镜像，部署sysdig插件作为CentOS指令监控插件，从系统调用的层面进行监控，再通过lua脚本进行过滤，能完整的监控CentOS系统内执行的全部指令；之后，安装openssh服务，为此CentOS系统留下一个常用入口；

步骤二、部署CentOS内多种服务，以达到暴露漏洞以及高交互的目的：基于开源代码，即可完成包含对应漏洞的各类服务的部署，包括mysql服务、redis服务、Nginx服务、thinkphp服务，以及其包含的命令注入漏洞、未授权访问漏洞、解析漏洞、文件上传漏洞；

步骤三、聚合访问数据：通过sysdig监控记录下指令的进程号以及发生时间，再依据指令注入时间找到对应Nginx日志，确定用户的远程ip和远程端口，由此生成进程号、远程IP和远程端口的键值对，以及生成一个确定此次会话的唯一会话id。

Images