[安全]通过Honeyd virtual honeypot 发现恶意网络

Honeyd 通过有效的审核技术提供一个honeypot 策略，来促进网络安全。

最近我解释了真实的和虚拟的 honeypots 的不同，以展示它们如何有效保护你的网络。在那篇文章里，我指出了虚拟honeypots 超越与它对应的的真实版本的地方（优点）——明确的说就是低成本和低开销。在这篇文章里，我想主要讲一下honeypot 的配置。我选择使用了Security Profiling 的 Honeyd 作为例证。

为安装Honeyd 做准备

在你下载并安装WinPcap 后，就可以安装Honeyd 了。有些事情可能让你感到恨惊奇，那就是整个安装过程由你已经下载的单个的没有压缩的文件组成。Honeyd 程序最初是基于UNIX 设计的，后来才转向了Windows，这是UNIX 程序特有的，跟Windows 风格的安装不同。

备注

Honeyd 不是一个完全独立的产品。在Honeyd 运行之前，你需要下载并安装WinPcap。这个免费程序是一个Windows 数据包获取模块，Honeyd 依赖于它的行为检测。

沿袭一个UNIX程序的风格，Honeyd 完全基于命令行。要运行Honeyd 你必须完全打开一个命令提示符窗口，控制包含HONEYD.EXE 文件的文件夹，然后键入恰当的命令。同其它UNIX程序一样，记得这些命令是很重要的，Honeyd对格式是很敏感的。其格式如下：

Honeyd [-dPW] [-L logfile] [-I interface] [-p personalities] 

[-x xprobe] [-a assoc] [-f config] [net…]

这里是对其不同开关的分解：

• -d 告诉Honeyd 不要释放用户空间，并启动详细的调试信息。
• -P 运行以查询记录的方式，而不是使用pcap。
• -W 显示一个列表界面。
• -L logfile 是Honeyd 写入的日志。
• -I 界面是网络接口的数目。
• -p personalities 允许Honeyd 读取指纹(fingerprints)。指纹是被设计成定义模拟TCP/IP 攻击行为的nmap 文件。Nmap  文件有两个构建者：nmap.assoc和nmap.print。
• -x xprobe 允许你指定一个xprobe 格式的指纹文件。当有些用户使用一个ICMP 指纹攻击攻击它的时候，一个xprobe 文件可以控制Honeyd 的响应。
• -a assoc 允许你指定一个联合文件——nmap 格式指纹文件同xprobe 格式指纹文件的结合。
• -f config 告诉Honeyd 去读取一个具体文件的配置。一个配置文件告诉Honeyd 该运行哪个脚本。
• net 不是一个真正的变量，不过它更像一个IP 地址或是IP地址域的标志符。net 选项允许你按照Honeyd 的要求定义一个IP 地址字符串。如果你没有定义一个地址或是地址域，Honeyd 将会要求任何一个它检测到的IP 地址。