· 網(wǎng)絡攻擊數(shù)量增多，攻擊形勢呈現(xiàn)常態(tài)化；
　　· 網(wǎng)絡攻擊手段不斷出新，傳統(tǒng)的網(wǎng)絡防御手段漸見不支；
　　· 網(wǎng)絡攻擊影響力和影響層面不斷增大；
　　· 新技術(shù)新應用的發(fā)展，帶來新的網(wǎng)絡威脅。

　　因此，如何獲取準確且完整的網(wǎng)絡數(shù)據(jù)，成為了網(wǎng)絡安全威脅分析的重要前提。

　　由天融信網(wǎng)絡流量分析系統(tǒng)（即TA-Flow）及網(wǎng)絡審計系統(tǒng)（即TA-NET）搭建的蜜網(wǎng)場景，集網(wǎng)絡流量分析、蜜網(wǎng)誘捕、網(wǎng)絡審計三位于一體，能有效的檢測網(wǎng)絡攻擊行為。該蜜網(wǎng)場景一方面能夠?qū)δ壳翱蓹z測的攻擊及時預警；另一方面還能夠利用海量數(shù)據(jù)存儲與審計技術(shù)，收集和記錄網(wǎng)絡行為，有助于實現(xiàn)對未知攻擊的回溯，有效的促進網(wǎng)絡安全的研究工作，為網(wǎng)絡安全提供有力保障。

　　該應用主要從三個方面滿足網(wǎng)絡安全研究的需要，即網(wǎng)絡流量分析、蜜網(wǎng)捕獲、網(wǎng)絡審計。場景的架構(gòu)圖如下所示：

圖1  網(wǎng)絡安全審計場景架構(gòu)

　　TA-Flow網(wǎng)絡流量分析系統(tǒng)

　　在該場景中，存在兩個互相不通信的網(wǎng)絡，我們把其中提供正常業(yè)務服務的網(wǎng)絡叫做“業(yè)務網(wǎng)”；另一個叫做“蜜網(wǎng)”。在外部網(wǎng)絡流量進入業(yè)務網(wǎng)前，需要先經(jīng)過TA-Flow網(wǎng)絡流量分析系統(tǒng)，當該系統(tǒng)檢測到攻擊時，利用智能流量牽引技術(shù)將攻擊流量引導至蜜網(wǎng)中，而正常訪問流量仍流向業(yè)務網(wǎng)，這樣的蜜網(wǎng)更有利于記錄和分析針對業(yè)務網(wǎng)的攻擊行為，既保護了業(yè)務網(wǎng)的服務安全，又可為研究攻擊者的攻擊行為提供幫助。當然，該場景的正常運轉(zhuǎn)有一個總的前提，那就是所有的設備對外來流量而言都應該是隱藏的，TA-NET/Flow和蜜網(wǎng)需要通過一些必要的手段來隱藏自己不被網(wǎng)絡攻擊者發(fā)現(xiàn)。

　　智能流量牽引技術(shù)可工作在數(shù)據(jù)鏈路層。攻擊者欲攻擊業(yè)務機，在沒有干預的情況下，流量將流向與真實業(yè)務網(wǎng)連接的接口。但當啟用流量牽引功能時，設備將對攻擊流量的源IP進行流量重定向，所有來自該IP的數(shù)據(jù)包被引導至與蜜網(wǎng)相連的接口，使攻擊流的對象變?yōu)槊酃迿C，但正常用戶的訪問流量仍流向業(yè)務網(wǎng)，不影響正常用戶的訪問。同時，由于系統(tǒng)不提供三層路由的功能，轉(zhuǎn)發(fā)接口并不配置IP，使攻擊者無法確知自己的數(shù)據(jù)包曾通過了TA-Flow。

　　蜜網(wǎng)捕獲

　　蜜網(wǎng)又可稱為誘捕網(wǎng)絡。在該場景中，蜜網(wǎng)不再是一個被創(chuàng)造出來的誘餌，而是一個與業(yè)務網(wǎng)基本相同的網(wǎng)絡，其中：

　　1）蜜罐使用了與業(yè)務網(wǎng)一樣的操作系統(tǒng)、IP、MAC、提供與業(yè)務網(wǎng)一樣的服務，使得攻擊者的流量轉(zhuǎn)入蜜網(wǎng)時，攻擊者無法從網(wǎng)絡流量上察覺攻擊目標已經(jīng)產(chǎn)生變化。同時，雖然兩個網(wǎng)絡均連接在二層交換的流量分析設備上，但業(yè)務網(wǎng)與蜜網(wǎng)之間并不存在通信，原則上可以理解為是不同網(wǎng)絡，以保證相同IP和MAC的同時存在。

　　2）在該場景中，網(wǎng)絡審計系統(tǒng)TA-NET集成了蜜罐服務端的功能，可獲取并解析蜜罐發(fā)送的特制數(shù)據(jù)包，在不被攻擊者察覺的情況下記錄攻擊者在蜜罐主機上的所有擊鍵、讀寫文件、建立網(wǎng)絡連接等操作。從這些行為我們可以得知攻擊者執(zhí)行了什么命令、竊取了哪些文件、鍵入的明文密碼等，幫助我們分析、發(fā)現(xiàn)和重現(xiàn)蜜罐上的攻擊事件。

　　TA-NET網(wǎng)絡審計系統(tǒng)

　　TA-NET使用天融信自主研發(fā)的Tos操作系統(tǒng)，提供高性能的數(shù)據(jù)存儲和查詢功能，實現(xiàn)網(wǎng)絡非加密應用協(xié)議的解析和網(wǎng)絡傳輸文件的還原。TA-NET可以解析特制的蜜罐數(shù)據(jù)包，并將解析出的數(shù)據(jù)與網(wǎng)絡審計進行關(guān)聯(lián)，實現(xiàn)基于條件的實時查詢。

　　TA-NET集“主機操作行為捕獲”和“網(wǎng)絡行為審計”于一體，準確的為我們收集和記錄蜜罐上的事件。它以旁路監(jiān)聽的方式連入蜜網(wǎng)環(huán)境中，保證自身隱蔽性的同時，通過交換機端口鏡像獲取網(wǎng)絡數(shù)據(jù)包備份。通過網(wǎng)絡審計功能，可以觀察基于協(xié)議、端口、IP等的網(wǎng)絡異常情況，對比分析應用協(xié)議的審計結(jié)果，并自定義報警規(guī)則來捕捉需要重點關(guān)注的網(wǎng)絡行為，從中查找可能有關(guān)聯(lián)的攻擊事件。

　　我們知道，網(wǎng)絡安全保障措施雖然在不斷地完善，但攻擊者的攻擊手法也在不斷地變換，而且越來越精明，他們總會不斷的推出新的方法躲過監(jiān)測設備的追蹤，攻克被攻擊者的防御系統(tǒng)。TA-NET/Flow蜜網(wǎng)場景三大功能的結(jié)合，正是解決以上問題的有效途徑：首先由網(wǎng)絡流量的檢測和重定向保證了業(yè)務主機的正常運行，將攻擊流量轉(zhuǎn)入蜜罐中，再由蜜網(wǎng)捕獲和網(wǎng)絡審計兩大模塊收集和記錄攻擊者的后續(xù)行為；對于無法立即識別的事件，也將被詳細的記錄下來，以備后續(xù)可能的異常分析。

　　通過捕獲的各種異常數(shù)據(jù)可以得知，攻擊者是在什么時間攻破系統(tǒng)的、用了什么攻擊手段、在獲得訪問權(quán)限后又做了些什么。我們可以根據(jù)這些信息推斷攻擊者的動機及目的、對方可能的身份、以及和誰一起工作等等。可以說，TA-NET/Flow蜜網(wǎng)場景為網(wǎng)絡威脅研究工作提供了有力的數(shù)據(jù)支撐。