網 絡 欺 騙 技 術

什么是網絡欺騙？
2 |0 ]: w6 G+ h" l9 E
計算機系統(tǒng)及網絡的信息安全將是新世紀中各國面臨的重大挑戰(zhàn)之一。在我國，這一問題已引起各方面的高度重視，一些典型技術及相關產品如密碼與加密、認證與訪問控制、入侵檢測與響應、安全分析與模擬和災難恢復都處于如火如荼的研究和開發(fā)之中。近年來，在與入侵者周旋的過程中，另一種有效的信息安全技術正漸漸地進入了人們的視野，那就是網絡欺騙。
8 l' ?. l1 P4 v' ~, W8 v6 h2 ~
網絡欺騙就是使入侵者相信信息系統(tǒng)存在有價值的、可利用的安全弱點，并具有一些可攻擊竊取的資源（當然這些資源是偽造的或不重要的），并將入侵者引向這些錯誤的資源。它能夠顯著地增加入侵者的工作量、入侵復雜度以及不確定性，從而使入侵者不知道其進攻是否奏效或成功。而且，它允許防護者跟蹤入侵者的行為，在入侵者之前修補系統(tǒng)可能存在的安全漏洞。

8 p: q$ O1 Z5 m5 z0 M從原理上講，每個有價值的網絡系統(tǒng)都存在安全弱點，而且這些弱點都可能被入侵者所利用。網絡欺騙主要有以下三個作用：
, F/ W, {, C( n6 N; c. ]
6 E2 N: S% @& }' x4 r0 ^　　影響入侵者使之按照你的意志進行選擇；

; u$ m- x' m9 H8 b7 k/ M2 F　　迅速地檢測到入侵者的進攻并獲知其進攻技術和意圖；
7 ?. B* g) q' [: y0 P4 ?: ^+ \
% m- t  o& t% L6 f: ~3 ]　　消耗入侵者的資源。
/ |: X4 k4 v! p+ S% p2 w+ u; b
8 a9 ~8 j8 d% g+ Z3 \  g一個理想的網絡欺騙可以使入侵者感到他們不是很容易地達到了期望的目標（當然目標是假的），并使其相信入侵取得了成功。
4 l+ `' x) m+ d
" _$ G1 i7 b8 d: W+ h0 l! |8 q網絡欺騙的主要技術

Honey Pot和分布式Honey Pot

3 M8 S* l  l& y5 y0 Y8 W! z網絡欺騙一般通過隱藏和安插錯誤信息等技術手段實現(xiàn)，前者包括隱藏服務、多路徑和維護安全狀態(tài)信息機密性，后者包括重定向路由、偽造假信息和設置圈套等等。綜合這些技術方法，最早采用的網絡欺騙是Honey Pot技術，它將少量的有吸引力的目標（我們稱之為Honey Pot）放置在入侵者很容易發(fā)現(xiàn)的地方，以誘使入侵者上當。

; p: j5 k) j* Q1 O' K3 w這種技術的目標是尋找一種有效的方法來影響入侵者，使得入侵者將技術、精力集中到Honey Pot而不是其它真正有價值的正常系統(tǒng)和資源中。Honey Pot技術還可以做到一旦入侵企圖被檢測到時，迅速地將其切換。

但是，對稍高級的網絡入侵，Honey Pot技術就作用甚微了。因此，分布式Honey Pot技術便應運而生，它將欺騙（Honey Pot）散布在網絡的正常系統(tǒng)和資源中，利用閑置的服務端口來充當欺騙，從而增大了入侵者遭遇欺騙的可能性。它具有兩個直接的效果，一是將欺騙分布到更廣范圍的IP地址和端口空間中，二是增大了欺騙在整個網絡中的百分比，使得欺騙比安全弱點被入侵者掃描器發(fā)現(xiàn)的可能性增大。

9 s6 v2 W9 x, E" ?. `盡管如此，分布式Honey Pot技術仍有局限性，這體現(xiàn)在三個方面：一是它對窮盡整個空間搜索的網絡掃描無效；二是只提供了相對較低的欺騙質量；三是只相對使整個搜索空間的安全弱點減少。而且，這種技術的一個更為嚴重的缺陷是它只對遠程掃描有效。如果入侵已經部分進入到網絡系統(tǒng)中，處于觀察（如嗅探）而非主動掃描階段時，真正的網絡服務對入侵者已經透明，那么這種欺騙將失去作用。
4 f$ ]4 g, Y4 b. M- a% p
欺騙空間技術
9 L1 `0 l% u9 y% d" _1 c6 `3 H( w  L( y
欺騙空間技術就是通過增加搜索空間來顯著地增加入侵者的工作量，從而達到安全防護的目的。利用計算機系統(tǒng)的多宿主能力（multi－h(huán)omed capability），在只有一塊以太網卡的計算機上就能實現(xiàn)具有眾多IP地址的主機，而且每個IP地址還具有它們自己的MAC地址。這項技術可用于建立填充一大段地址空間的欺騙，且花費極低。實際上，現(xiàn)在已有研究機構能將超過4000個IP地址綁定在一臺運行Linux的PC上。這意味著利用16臺計算機組成的網絡系統(tǒng)，就可做到覆蓋整個B類地址空間的欺騙。盡管看起來存在許許多多不同的欺騙，但實際上在一臺計算機上就可實現(xiàn)。

, l! \  b) F" a- G0 R從效果上看，將網絡服務放置在所有這些IP地址上將毫無疑問地增加了入侵者的工作量，因為他們需要決定哪些服務是真正的，哪些服務是偽造的，特別是這樣的4萬個以上IP地址都放置了偽造網絡服務的系統(tǒng)。而且，在這種情況下，欺騙服務相對更容易被掃描器發(fā)現(xiàn)，通過誘使入侵者上當，增加了入侵時間，從而大量消耗入侵者的資源，使真正的網絡服務被探測到的可能性大大減小。

3 j( |  z& m# `8 P" _當入侵者的掃描器訪問到網絡系統(tǒng)的外部路由器并探測到一欺騙服務時，還可將掃描器所有的網絡流量重定向到欺騙上，使得接下來的遠程訪問變成這個欺騙的繼續(xù)。

當然，采用這種欺騙時網絡流量和服務的切換（重定向）必須嚴格保密，因為一旦暴露就將招致攻擊，從而導致入侵者很容易將任一已知有效的服務和這種用于測試入侵者的掃描探測及其響應的欺騙區(qū)分開來。

增強欺騙質量

7 D6 V. H( R; Q3 e' ]0 i" M面對網絡攻擊技術的不斷提高，一種網絡欺騙技術肯定不能做到總是成功，必須不斷地提高欺騙質量，才能使入侵者難以將合法服務和欺騙區(qū)分開來。
6 {# D& Y6 v9 e
* T  T! x+ y" T# Y網絡流量仿真、網絡動態(tài)配置、多重地址轉換和組織信息欺騙是有效增強網絡欺騙質量的幾種主要方法，下面分別予以介紹。

網絡流量仿真

產生仿真流量的目的是使流量分析不能檢測到欺騙。在欺騙系統(tǒng)中產生仿真流量有兩種方法。一種方法是采用實時方式或重現(xiàn)方式復制真正的網絡流量，這使得欺騙系統(tǒng)與真實系統(tǒng)十分相似，因為所有的訪問連接都被復制了。第二種方法是從遠程產生偽造流量，使入侵者可以發(fā)現(xiàn)和利用。

( E! c; {) e9 S網絡動態(tài)配置
& s( ?% N# K. ?0 M- c7 K" ?
真實網絡是隨時間而改變的，如果欺騙是靜態(tài)的，那么在入侵者長期監(jiān)視的情況下就會導致欺騙無效。因此，需要動態(tài)配置欺騙網絡以模擬正常的網絡行為，使欺騙網絡也象真實網絡那樣隨時間而改變。為使之有效，欺騙特性也應該能盡可能地反映出真實系統(tǒng)的特性。例如，如果辦公室的計算機在下班之后關機，那么欺騙計算機也應該在同一時刻關機。其它的如假期、周末和特殊時刻也必須考慮，否則入侵者將很可能發(fā)現(xiàn)欺騙。

多重地址轉換（multiple address translation）
( B9 ^4 m. q- e5 h4 P8 M
. c6 U$ N* m9 t: ]8 B6 C$ T) [9 l地址的多次轉換能將欺騙網絡和真實網絡分離開來，這樣就可利用真實的計算機替換低可信度的欺騙，增加了間接性和隱蔽性。其基本的概念就是重定向代理服務（通過改寫代理服務器程序實現(xiàn)），由代理服務進行地址轉換，使相同的源和目的地址象真實系統(tǒng)那樣被維護在欺騙系統(tǒng)中。右圖中，從m.n.o.p進入到a.b.c.g接口的訪問，將經過一系列的地址轉換——由a.f.c.g發(fā)送到10.n.o.p再到10.g.c.f，最后將數(shù)據包欺騙形式從m.n.o.p轉換到真實機器上的a.b.c.g。并且還可將欺騙服務綁定在與提供真實服務主機相同類型和配置的主機上，從而顯著地提高欺騙的真實性。還可以嘗試動態(tài)多重地址轉換。
6 I" `- U/ E  e6 j# o+ Q9 m8 }
創(chuàng)建組織信息欺騙

/ ~7 |0 q  U# N如果某個組織提供有關個人和系統(tǒng)信息的訪問，那么欺騙也必須以某種方式反映出這些信息。例如，如果組織的DNS服務器包含了個人系統(tǒng)擁有者及其位置的詳細信息，那么你就需要在欺騙的DNS列表中具有偽造的擁有者及其位置，否則欺騙很容易被發(fā)現(xiàn)。而且，偽造的人和位置也需要有偽造的信息如薪水、預算和個人記錄等等。
5 z+ c3 ~# N4 @' |3 |
結束語
7 Z8 N& b/ q0 h
' v; f* Z: o- b6 [8 \" L本文闡述了網絡欺騙在信息系統(tǒng)安全中的作用及實現(xiàn)的主要技術，并介紹了增強欺騙質量的具體方法。高質量的網絡欺騙，使可能存在的安全弱點有了很好的隱藏偽裝場所，真實服務與欺騙服務幾乎融為一體，使入侵者難以區(qū)分。因此，一個完善的網絡安全整體解決方案，離不開網絡欺騙。在網絡攻擊和安全防護的相互促進發(fā)展過程中，網絡欺騙技術將具有廣闊的發(fā)展前景。
" w3 o$ Y( [3 p* {' V$ I, P  }9 |