無線802.11蜜罐研究綜述

隨著無線網(wǎng)絡(luò)技術(shù)的普及發(fā)展,基于IEEE 802.11標(biāo)準(zhǔn)的無線局域網(wǎng)(WLAN)應(yīng)用日趨廣泛。然而由于無線信號(hào)的空中廣播本質(zhì)以及協(xié)議設(shè)計(jì)的缺陷,WLAN的安全性受到了極大威脅[1]?，F(xiàn)有的安全策略，如MAC地址過濾、關(guān)閉SSID廣播、IEEE802.11i的安全防護(hù)問題日益突出。而作為彌補(bǔ)手段之一的無線802.11蜜罐近年來越來越多地受到關(guān)注。
無線802.11蜜罐[2]是等待攻擊者或惡意用戶訪問的無線資源，它通過搭建具有無線服務(wù)資源平臺(tái)的蜜罐,誘使攻擊者入侵,將攻擊者拖延在該蜜罐上,使得攻擊者花費(fèi)大量精力對(duì)付偽造的目標(biāo),達(dá)到消耗攻擊者的資源、降低攻擊造成的破壞程度,從而間接保護(hù)真實(shí)的無線系統(tǒng),同時(shí)記錄攻擊頻率、攻擊手段、攻擊成功的次數(shù)、攻擊者的技術(shù)水平及最容易被攻擊的目標(biāo)等真實(shí)統(tǒng)計(jì)數(shù)據(jù)。
1 典型的無線802.11蜜罐
蜜罐蜜網(wǎng)技術(shù)已經(jīng)被廣泛應(yīng)用于各種網(wǎng)絡(luò)環(huán)境上，用于監(jiān)視攻擊者的各種入侵行為,其大量的研究工作也已卓有成效地展開。無線802.11蜜罐作為蜜罐技術(shù)的一種,由于多應(yīng)用于WALN,使得近年來研究工作也,愈來愈受到關(guān)注[3]。
1.1 WISE
WISE(Wireless Information Secuity Experiment)于2002年在華盛頓完成,項(xiàng)目旨在監(jiān)視未授權(quán)的接入、使用和竊聽,并收集WALN黑客工具和技術(shù)的信息。采用802.11b,使用高增益天線增加信號(hào)覆蓋范圍，任何進(jìn)入WISE的企圖都被認(rèn)為是可疑的。
1.2 簡易無線802.11蜜罐
參考文獻(xiàn)[2]分別介紹了兩種基于Honeyd和FakeAp的簡易無線802.11蜜罐,通過 Honeyd模擬接入點(diǎn)后的內(nèi)部網(wǎng)絡(luò),以及模擬TCP/IP協(xié)議棧構(gòu)建偽裝的AP,可同時(shí)監(jiān)視攻擊者的探測(cè)攻擊行為。基于FakeAP實(shí)現(xiàn)的無線802.11蜜罐中,通過FakeAP發(fā)送大量的802.11b信標(biāo)數(shù)據(jù)幀,進(jìn)而偽裝成大量的AP來迷惑攻擊者。
Mark Osborne通過搭建接入點(diǎn)以及利用筆記本上的無線網(wǎng)卡監(jiān)視無線流量,建立了一個(gè)簡易的無線802.11蜜罐系統(tǒng)，同時(shí)開發(fā)了一套如圖1所示的無線入侵檢測(cè)系統(tǒng)(WIDZ)。

1.3 縱深欺騙型無線802.11蜜罐
參考文獻(xiàn)[4]提出了一種三層環(huán)系的縱深欺騙無線802.11蜜罐。最核心層為最深的欺騙,由內(nèi)向外欺騙強(qiáng)度逐漸減弱。外層采用FakeAP模擬一個(gè)或多個(gè)參數(shù)可調(diào)的接入點(diǎn);中層使用Honeyed偽造一個(gè)包括網(wǎng)絡(luò)服務(wù)器,客戶工作站;無線服務(wù)的有線網(wǎng)絡(luò),同時(shí)整合了Snort IDS;內(nèi)層為蜜罐集邏輯結(jié)構(gòu),蜜罐被設(shè)計(jì)為一臺(tái)Linux Mandrake 9.0機(jī)器管理所有欺騙性資源,并提供蜜罐內(nèi)所有活動(dòng)的logging功能。從內(nèi)到外形成金字塔結(jié)構(gòu),同時(shí)內(nèi)層對(duì)緩沖區(qū)溢出,中層對(duì)Nmap OS掃描和Nessus弱點(diǎn)掃描,外層對(duì)Kismet和Netstumbler嗅探均可作出欺騙性響應(yīng)，三層環(huán)系以及金字塔結(jié)構(gòu)如圖2所示。

1.4 Hive
Hive基于Linux Live CD環(huán)境, 提供了搭建獨(dú)立無線蜜罐的工具包括FakeAp、Honeyed等。
1.5 HoneySpot
HoneySpot[5]旨在建立一個(gè)提供Wi-Fi接入服務(wù)的場(chǎng)所,同時(shí)該場(chǎng)所的價(jià)值在于被探測(cè)、攻擊和入侵。HoneySpot分為公共和私有兩種,公共HoneySpot提供接入開放WLAN；私有HoneySpot則分為基于WEP、WPA、WPA2的三種無線網(wǎng)絡(luò)。同時(shí)HoneySpot具有五個(gè)模塊：無線接入點(diǎn)(WAP)模塊提供無線網(wǎng)絡(luò)基礎(chǔ)架構(gòu);無線客戶端(WC)模塊模擬連接到HoneySpot的合法終端用戶;無線監(jiān)視(WMON)模塊收集整個(gè)HoneySpot內(nèi)網(wǎng)絡(luò)流量的設(shè)備;無線數(shù)據(jù)分析(WDA)模塊分析WMON模塊收集的所有網(wǎng)絡(luò)數(shù)據(jù);有線基礎(chǔ)設(shè)施(WI)模塊(可選)為HoneySpot模擬真實(shí)的有線網(wǎng)絡(luò)環(huán)境。HoneySpot的詳細(xì)結(jié)構(gòu)如圖3所示。