CN110851827A - 基于容器技术实现的服务可定制化高交互蜜罐及使用方法 - Google Patents

Abstract

本发明提供一种基于容器技术实现的服务可定制化高交互蜜罐：包括蜜罐中心，蜜罐中心中设置有基于docker的镜像模板和由蜜罐节点组成的蜜罐集群；本发明还提供一种基于容器技术实现的服务可定制化高交互蜜罐的使用方法，以kvm虚拟机为载体，docker容器为服务单元组成的蜜罐***。此***将同时具有交互程度高，且模拟的服务种类高度灵活的特性。相应的蜜罐***，以kvm虚拟机为基础实现防逃逸的安全保证，再以docker技术模拟不同的服务类型，从而既保证蜜罐本身的安全性，又通过可定制化的能力提高了单蜜罐的交互性。

Description

基于容器技术实现的服务可定制化高交互蜜罐及使用方法

技术领域

本发明涉及一种基于docker容器技术和kvm虚拟化技术实现的***服务可定制化、可独立控制的蜜罐***，具体涉及一种基于容器技术实现的服务可定制化高交互蜜罐。

背景技术

开源蜜罐技术大多基于docker技术，在docker容器中启动多个服务并暴露端口到宿主机，从而接收攻击请求，docker技术本身轻量可移植的优点决定开发者可根据需求模拟不同的协议，诸如web服务、ssh服务、ftp服务等。

对于企业级的蜜罐，多数厂商会基于真实的虚拟机搭建模拟了多种服务的蜜罐节点，

例如，常见情况，会搭建具有OA服务、数据库服务、文件服务器等功能的蜜罐节点生成基础蜜罐，这些蜜罐节点由于建立在真实的虚拟机上，单蜜罐本身具有类似sshd服务、dhcpd等服务及额外搭建的服务，交互程度更高，安全方面也更易监管。

蜜罐技术中，通常蜜罐可分为基于docker的低交互蜜罐技术，或者基于虚拟机实现高交互蜜罐技术。基于docker的低交互蜜罐技术，已经实现了基于配置的开放服务可选择的能力。然而由于docker容器技术本身特性的限制，导致交互程度不足。基于虚拟机实现的高交互蜜罐，往往是根据开发者或维护者提前搭建的***，模拟相关的服务。可定制性较差。

因此，需要对现有技术进行改进。

发明内容

本发明要解决的技术问题是提供一种高效的基于容器技术实现的服务可定制化高交互蜜罐。

为解决上述技术问题，本发明提供一种基于容器技术实现的服务可定制化高交互蜜罐：包括蜜罐中心，蜜罐中心中设置有基于docker的镜像模板和由蜜罐节点组成的蜜罐集群；

蜜罐中心，可供操作的web界面，用户可在界面上通过拖拽的方式选定一组docker镜像模板，蜜罐中心将根据选定的模板基于linux***，创建蜜罐节点；

基于docker的镜像模板，此模块提供一系列内置模拟了不同服务的docker镜像，每个docker镜像单独运行都能生成一个或者一组相应的服务；

蜜罐集群，是由一系列基于linux***的蜜罐节点所组成，每个蜜罐节点都是一个单独的linux***，***内部起多个docker容器，每个docker容器模拟一种服务，docker容器由用户在部署蜜罐节点时，在界面上选中的docker镜像实例化而来。

本发明还提供一种基于容器技术实现的服务可定制化高交互蜜罐的使用方法，包括以下步骤：

1)、根据蜜罐节点中所要模拟的服务选定docker镜像；执行步骤2；

2)、根据docker镜像生成docker-compose.yml文件；执行步骤3；

3)、将docker-compose.yml文件注入到linux虚拟机磁盘；执行步骤4；

4)、linux虚拟机开机；执行步骤5；

5)、linux虚拟机启动脚本执行docker-compose.yml文件；执行步骤6；

6)、linux虚拟机获取与docker-compose.yml文件相应的docker镜像并启动；执行步骤7；

7)、完成。

作为对本发明基于容器技术实现的服务可定制化高交互蜜罐的使用方法的改进：

步骤1包括：

用户在蜜罐中心上选定在一个蜜罐节点中所要模拟的服务，从基于docker的镜像模板中选定相应的docker镜像。

作为对本发明基于容器技术实现的服务可定制化高交互蜜罐的使用方法的进一步改进：

步骤2包括：

根据用户选定的docker镜像，蜜罐中心生成一份docker-compose.yml文件。

作为对本发明基于容器技术实现的服务可定制化高交互蜜罐的使用方法的进一步改进：

linux虚拟机磁盘文件格式为qcow2格式。

作为对本发明基于容器技术实现的服务可定制化高交互蜜罐的使用方法的进一步改进：

步骤6包括：

根据步骤3中注入的docker-compose.yml文件从基于docker的镜像模板拉取对应的docker镜像，用拉取的docker镜像创建相应的docker容器并启动服务。

本发明基于容器技术实现的服务可定制化高交互蜜罐的技术优势为：

本发明提出了一种以kvm虚拟机为载体，docker容器为服务单元组成的蜜罐***。此***将同时具有交互程度高，且模拟的服务种类高度灵活的特性。相应的蜜罐***，以kvm虚拟机为基础实现防逃逸的安全保证，再以docker技术模拟不同的服务类型，从而既保证蜜罐本身的安全性，又通过可定制化的能力提高了单蜜罐的交互性。

对基于docker容器的低交互蜜罐，其轻量的优点却也决定了docker容器本身不能像真正的虚拟机那样具有真实***的特征，攻击者在初步探测后即可发现对应节点只是简单的协议模拟，进而失去进一步攻击的兴趣。此外docker的安全特性不如虚拟机，有经验的攻击者还可能通过docker节点攻击到宿主机层面，对***造成威胁。

对基于虚拟机搭建的高交互蜜罐，其问题是，虚拟机本身较重，且模拟的服务都是提前搭建好，缺少灵活性，往往单***可能会内置多种场景的基于虚拟机的蜜罐模板，从而导致***较重，部署不灵活。

应用本发明，可简化蜜罐***的复杂性，提高蜜罐***的可扩展能力。

应用本发明在新增漏洞或者服务仿真的类别时，只需要提供对应的docker镜像，即可在部署时按需加入新的蜜罐节点。

应用本发明，可随时变更已部署蜜罐节点中模拟的服务种类，能方便的开启或者关闭相应的服务，是的蜜罐节点具有动态变化的特性。

附图说明

下面结合附图对本发明的具体实施方式作进一步详细说明。

图1为本发明基于容器技术实现的服务可定制化高交互蜜罐的结构示意图。

图2为创建一个可定制化高交互蜜罐节点的流程示意图。

具体实施方式

下面结合具体实施例对本发明进行进一步描述，但本发明的保护范围并不仅限于此。

实施例1、基于容器技术实现的服务可定制化高交互蜜罐，如图1所示，整个框架包括蜜罐中心，蜜罐中心中设置有基于docker的镜像模板和由蜜罐节点组成的蜜罐集群；

蜜罐中心，主要功能实现一个可供操作的web界面，用户可在界面上通过拖拽的方式选定一组docker镜像模板，中心将根据选定的模板基于linux***，创建蜜罐节点；

基于docker的镜像模板，此模块提供一系列内置模拟了不同服务的docker镜像，每个docker镜像单独运行都能生成一个或者一组相应的服务，例如web渗透检测服务模拟的docker镜像，在实例化后可生成一个web服务，能通过80端口进行访问。

蜜罐集群，是由一系列基于linux***的蜜罐节点所组成，每个蜜罐节点都是一个单独的linux***，***内部起多个docker容器，每个docker容器模拟一种服务，这些docker容器由用户在部署蜜罐节点时，在界面上选中的docker镜像实例化而来。

docker镜像是最小的单元，每一个docker镜像在进行实例化后都能够模拟一种服务，如web服务、mysql服务等。通过组合多个docker镜像放入到一个linux***中，使得一个linux***能同时具备上述如web服务、mysql服务等多种能力。此时的一个linux***由于具有多个服务，对于攻击者的诱惑能力也更强，可以算的上一个真正的蜜罐节点。而由多个这样的蜜罐，可以搭建一个蜜罐集群，这样一个蜜罐集群就有能力模拟一个完整的业务网络环境。如蜜罐a上模拟的都是办公场景(每个服务都是由一个docker镜像生成，如打印机服务、邮件服务等)、而蜜罐b则可以模拟服务器场景(如mysql服务、web服务等)。

在上述的***框架中创建一个可定制化高交互蜜罐节点，其流程如下图所示，主要包含7个步骤：

1、选定docker镜像：用户在蜜罐中心的可操作界面上选定在一个蜜罐节点中所要模拟的服务，这些服务分别由不同的docker镜像负责生成，即为从基于docker的镜像模板中选定相应的docker镜像。

蜜罐中心中内置一系列docker镜像，这些docker镜像就是能够生成不同服务的模板文件(基于docker的镜像模板)，在选定之后，由响应的组件将这些docker镜像放入到一个蜜罐节点中，这些镜像在运行之后即能模拟响应的服务。镜像是类似于操作***的安装文件，在运行之后就会具备响应的能力。

2、生成docker-compose文件：根据用户选定的docker镜像的组合，蜜罐中心自动生成一份docker-compose.yml文件(注：docker-compose是docker容器的编排工具，通过一份yml格式的配置文件，一条命令能够启动多个docker容器，通过docker-compose脚本来启动、停止、重启一组docker容器)。

3、将docker-compose.yml文件注入到linux虚拟机磁盘：本发明所述linux虚拟机磁盘文件格式为qcow2格式，可通过相关虚拟化库在虚拟机未开机的情况下，将文件注入到指定目录。

4、linux虚拟机开机：在蜜罐中心的控制下，被注入docker-compose.yml文件的虚拟机被启动；

5、开机启动脚本执行docker-compose.yml文件：虚拟机磁盘内预置一份开机启动脚本，脚本内容主要为在开机时执行docker-compose up动作。

6、从蜜罐中心拉取与docker-compose.yml文件相应的镜像并启动：开机脚本执行时，根据步骤3中注入的docker-compose.yml文件从蜜罐中心拉取对应的docker镜像，用拉取的docker镜像创建相应的docker容器并启动服务。

Docker-compose.yml文件中定义了一组规则，规则中将规定使用那些镜像，在docker-compose up命令执行时，将会根据规则中指定的镜像，从蜜罐中心的基于docker的镜像模板中拉取相应的docker镜像到本地。

7、蜜罐节点创建完成：经过步骤6后，此时的虚拟机中已经启动了一组docker容器，能够模拟步骤1中蜜罐节点中所要模拟的服务，例如OA服务、数据库服务、消息服务器等。

docker：Docker是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的Linux或Windows机器上，也可以实现虚拟化。

kvm：Kernel-based Virtual Machine的简称，是一个开源的***虚拟化模块，自Linux2.6.20之后集成在Linux的各个主要发行版本中。

蜜罐：蜜罐技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际***的安全防护能力。

最后，还需要注意的是，以上列举的仅是本发明的若干个具体实施例。显然，本发明不限于以上实施例，还可以有许多变形。本领域的普通技术人员能从本发明公开的内容直接导出或联想到的所有变形，均应认为是本发明的保护范围。

Claims (6)

1.基于容器技术实现的服务可定制化高交互蜜罐，其特征在于：包括蜜罐中心，蜜罐中心中设置有基于docker的镜像模板和由蜜罐节点组成的蜜罐集群；

蜜罐中心，可供操作的web界面，用户可在界面上通过拖拽的方式选定一组docker镜像模板，蜜罐中心将根据选定的模板基于linux***，创建蜜罐节点；

基于docker的镜像模板，此模块提供一系列内置模拟了不同服务的docker镜像，每个docker镜像单独运行都能生成一个或者一组相应的服务；

蜜罐集群，是由一系列基于linux***的蜜罐节点所组成，每个蜜罐节点都是一个单独的linux***，***内部起多个docker容器，每个docker容器模拟一种服务，docker容器由用户在部署蜜罐节点时，在界面上选中的docker镜像实例化而来。

2.基于容器技术实现的服务可定制化高交互蜜罐的使用方法，其特征在于：包括以下步骤：

1)、根据蜜罐节点中所要模拟的服务选定docker镜像；执行步骤2；

2)、根据docker镜像生成docker-compose.yml文件；执行步骤3；

3)、将docker-compose.yml文件注入到linux虚拟机磁盘；执行步骤4；

4)、linux虚拟机开机；执行步骤5；

5)、linux虚拟机启动脚本执行docker-compose.yml文件；执行步骤6；

6)、linux虚拟机获取与docker-compose.yml文件相应的docker镜像并启动；执行步骤7；

7)、完成。

3.根据权利要求2所述的基于容器技术实现的服务可定制化高交互蜜罐的使用方法，其特征在于：

步骤1包括：

用户在蜜罐中心上选定在一个蜜罐节点中所要模拟的服务，从基于docker的镜像模板中选定相应的docker镜像。

4.根据权利要求3所述的基于容器技术实现的服务可定制化高交互蜜罐的使用方法，其特征在于：

步骤2包括：

根据用户选定的docker镜像，蜜罐中心生成一份docker-compose.yml文件。

5.根据权利要求4所述的基于容器技术实现的服务可定制化高交互蜜罐的使用方法，其特征在于：

linux虚拟机磁盘文件格式为qcow2格式。

6.根据权利要求5所述的基于容器技术实现的服务可定制化高交互蜜罐的使用方法，其特征在于：

步骤6包括：

根据步骤3中注入的docker-compose.yml文件从基于docker的镜像模板拉取对应的docker镜像，用拉取的docker镜像创建相应的docker容器并启动服务。

Images