暗网潜航——黑客术概览（三）——伏而深谋

暗网潜航

庞博文

2020-01-30 04:17 HKT

阅讀更多

生活专栏

內容

　　当黑客已经进行「列举分析」，对攻击方法进行精细的沙盘推演后，也要注意到底防御方有否「装陷阱」。
　　这个特殊的信息安全技术叫「蜜罐」（Honeypot），专指用来抵御或者诱骗攻击者的陷阱系统。建立蜜罐的原因，一般是想进行漏洞研究或鉴证调查，而故意部署一个已安排一系列漏洞的系统，或为了扰乱攻击者寻找有价值的资讯，将他们引导离开而故意布下的假系统。
　　这些系统内都充满似是而非的信息，看来很有价值，但是却同时布下无数监控机关，观察攻击者的行为模式和入侵手法，也用作追查攻击者的真实IP地址甚至地理位置，把他们的一举一动全都记录备案。
　　设计蜜罐系统主要分为模拟系统和真实系统，通常模拟系统是透过软件，把原本的系统端口开放，建立虚拟系统，或改动内部的信息，伪装成别的系统。例如我们可以把一个Linux系统内部的软件伪装成Windows，或透过高负载量系统把整个信息系统建立在虚拟机器里面，又或者配合系统端口的开关，制造本来不存在的系统服务来欺骗端口扫描器。
　　但是我们还有「这个世界没有比Windows NT更像Windows NT」的说法，就是直接使用真正的硬件和软件，建立一整套陷阱系统放置在网络上，诱骗攻击者。
　　蜜罐系统不管是虚拟还是真实，可以有很多形态。通常单一的陷阱主机系统叫做Honeypot、连接多部主机的陷阱信息系统叫做Honeynet、伪装成为一整个主机群大型系统的叫做Honeyfarm 、伪装成浏览器对应网页恶意软件的叫做Client Honeypot等。
　　所以黑客入侵系统时，须不时自我怀疑：之前收集目标存在的漏洞及系统资料，它们是真的吗？
　　几乎所有干练的黑客，都会养成一个习惯：在军事情报学叫做「第十人理论」，不管你收集的情报有多精准、分析得有多彻底、构置而成的攻击流程多紧密，你总是要不断作出质疑，由不同角度反复验证，挑战其中的矛盾或不完善的地方，才能确保情报真实性。
TOZ联合创办人
庞博文