网安技巧系列：如何判断蜜罐

如何判断蜜罐

• 如何判断蜜罐
• • 1.检测低交互蜜罐：
  • • （1）配置失真与资源抢夺
    • （2）数据包时间戳分析
    • （3）分析低交互蜜罐产生的网络响应来寻找差异
    • （4）环境不真实导致穿帮
  • 2.检测高交互蜜罐
  • • （1）检测和禁用sebek：
    • （2）检测蜜墙：
    • （3）逃避蜜网记录
    • （4）检测虚拟机
    • （5）检测UML
  • 参考链接

---

如何判断蜜罐

1.检测低交互蜜罐：

（1）配置失真与资源抢夺

我们已经知道低交互蜜罐是不能够给敌人提供一个完整的操作系统环境，所以可以通过使用一些复杂的命令和操作，以及一些想不到的输出解决来检查是不是处在蜜罐环境中。另外一种情况就是出现了配置失真，也就是说在一台机器上出现了两种不同平台的服务，举个例子：运行一个Windows的Web服务器同时运行了一个Linux的FTP服务器，这样的话就出现了配置失真。使用nmap -sV这个方法可以来观察开启的服务，如果发现了平台与服务不匹配的，说明这很有可能就是一个蜜罐。与低交互蜜罐检测最主要的方式是通过网络，这样就意味着低交互蜜罐运行在一个具有正常操作系统的，只要是在操作系统中，不可能把所有的资源都分配给蜜罐，所以如果在蜜罐中执行一个很繁琐很耗资源的操作，这样蜜罐就会和其他服务进程去争抢资源，最直观的感受就是蜜罐的反应速度会慢下来。但是我们通常不具备这个权限来访问这种类型的服务或者是进程，所以我们必须得考虑从网络通信入手，增加蜜罐的操作负载，如果换一个角度想࿰