企业蜜罐建设实践 - 详细教学文档

1. 蜜罐概述

1.1 蜜罐定义

蜜罐(Honeypot)是一个专门为攻击者量身定制且包含大量漏洞的系统，目的是通过部署酷似真实的系统来诱导攻击者实施攻击，通过安全设备或日志记录分析还原攻击路径和攻击载荷。

1.2 蜜罐作用

1. 诱导攻击：耗费攻击者时间精力，减少对实际系统的威胁
2. 信息收集：收集攻击者的入侵途径和载荷，有助于反向定位溯源

2. 蜜罐分类

2.1 按交互程度分类

3. 蜜罐应用场景

3.1 HW行动中的应用

• JSONP探针技术：利用攻击者未清理Cookie的浏览器访问蜜罐捕获个人信息
• 常见JSONP接口：

  https://www.taobao.com/help/getip.php
  https://www.yy.com/yyweb/user/queryUserInfo.json
  https://tieba.baidu.com/tbmall/gettdouiconinfo
  

3.2 红队规避方法

1. 使用专用攻击机(虚拟机)
2. 攻击机不残留个人信息
3. 使用IP代理池，避免真实IP
4. 使用反蜜罐插件：
   • Armor
   • anti-honeypot

3.3 漏洞感知

• 价值：

  • 了解攻击者高频使用的漏洞类型
  • 优先推送高危漏洞补丁
  • 缩短应急响应时间

• 注意事项：

  • 选择高交互式蜜罐
  • 部署用户量最多的版本
  • 关闭非蜜罐服务和端口
  • 确保全量日志记录
  • 高仿真度诱导攻击者
  • 与企业生产网络隔离

3.4 0Day捕获

• 部署要点：
  • 使用真实系统(高交互)
  • 选择最新版本或已打补丁的安全版本
  • 确保获取完整请求数据(包括POST体)
  • 关闭非必要服务和端口
  • 高仿真度设计

3.5 入侵检测

• 内网蜜罐价值：
  • 诱导攻击者远离核心业务
  • 感知内网横向移动
• 推荐工具：HFish(开源蜜罐系统)

4. 蜜罐架构设计

4.1 初始架构

OA系统1(最新版) -- 用于捕获0day
OA系统2(用户量最多未打补丁版) -- 漏洞利用感知
OA系统3(用户量最多版) -- 捕获可疑入侵行为
控制端系统 -- 定期拉取日志分析

问题：

1. 日志记录不全(缺少POST请求)
2. 全量日志影响性能
3. 日志拉取分析过程繁杂

4.2 优化架构

Nginx(反向代理+全量日志记录)
├─ OA系统1(最新版)
├─ OA系统2(用户量最多未打补丁版)
└─ OA系统3(用户量最多版)

5. 详细部署流程

5.1 环境准备

• 操作系统：
  • CentOS：安装Nginx并配置反向代理
  • Windows 7×3：部署不同版本OA系统

5.2 Nginx安装配置

安装步骤：

# 安装依赖
yum -y install gcc gcc-c++ make libtool zlib zlib-devel openssl openssl-devel pcre pcre-devel

# 下载安装Nginx
wget -c https://nginx.org/download/nginx-1.18.0.tar.gz
tar -zxf nginx-1.18.0.tar.gz
cd nginx-1.18.0

# 配置(不需要SSL)
./configure --prefix=/usr/local/nginx

# 编译安装
make
make install

# 启动
cd /usr/local/nginx/sbin
./nginx

负载均衡配置

upstream oa.aaa.com {
    server 192.168.17.206:80;
}

upstream oa.bbb.com {
    server 192.168.17.218:80;
}

upstream oa.ccc.com {
    server 192.168.17.219:80;
}

反向代理配置示例

server {
    listen 80;
    server_name oa.aaa.com;
    location / {
        proxy_pass http://192.168.17.206:80;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        client_max_body_size 2048m;
        proxy_connect_timeout 300s;
        proxy_read_timeout 300s;
        proxy_send_timeout 300s;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
        root html;
    }
}

禁止IP访问

server {
    listen 80 default_server;
    server_name _;
    return 403;
}

5.3 日志采集配置

日志格式定义(包含POST请求体)

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$http_x_forwarded_for" "$request_body"';

按天分割日志

map $time_iso8601 $logdate {
    '~^(?<ymd>\d{4}-\d{2}-\d{2})' $ymd;
    default 'date-not-found';
}

完整Nginx配置示例

worker_processes 3;
error_log logs/error.log;
pid logs/nginx.pid;

events {
    worker_connections 1024;
}

http {
    include mime.types;
    default_type application/octet-stream;
    sendfile on;
    keepalive_timeout 65;
    
    map $time_iso8601 $logdate {
        '~^(?<ymd>\d{4}-\d{2}-\d{2})' $ymd;
        default 'date-not-found';
    }
    
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for" "$request_body"';
    
    upstream oa.aaa.com { server 192.168.17.206:80; }
    upstream oa.bbb.com { server 192.168.17.218:80; }
    upstream oa.ccc.com { server 192.168.17.219:80; }
    
    server {
        listen 80 default_server;
        server_name _;
        return 403;
    }
    
    server {
        listen 80;
        server_name oa.aaa.com;
        location / {
            proxy_pass http://192.168.17.206:80;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            client_max_body_size 2048m;
            proxy_connect_timeout 300s;
            proxy_read_timeout 300s;
            proxy_send_timeout 300s;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }
        access_log /data/log/nginx/server1/access1-$logdate.log main;
    }
    
    # 其他server配置类似...
}

6. 关键注意事项

6.1 部署前思考

1. 如何提高蜜罐可信度吸引攻击者？
2. 是否需要使用WAF防护？
3. 操作系统配置如何选择？
4. 如何避免蜜罐成为攻击跳板？
5. 如何有效采集和分割日志？
6. 蜜罐运营策略(关注点、分析周期)

6.2 常见坑点

1. 快照备份：搭建完成后立即做快照，防止攻击者破坏
2. 网络拓扑：提前设计完整拓扑，考虑所有细节
3. 域名注册：流程耗时约1个月，应提前准备

7. 参考资源

1. HFish蜜罐系统
2. Nginx反向代理配置

本教学文档详细介绍了企业蜜罐建设的全过程，从概念定义到实际部署，涵盖了架构设计、配置细节和运营思考等关键环节，可作为企业安全团队实施蜜罐项目的实用指南。