网络攻防技术综合实训-课件 第10章 入侵检测与网络欺骗技术实训

第十章入侵检测与网络欺骗技术实训10.1入侵检测实验（Snort）内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5入侵检测是指从计算机系统或网络的若干关键点收集信息并进行分析，以发现是否存在违反安全策略的行为或遭受攻击迹象的一种安全技术。实现该技术的系统称为入侵检测系统（IntrusionDetectionSystem，IDS）。入侵检测部分IDS还具备自动响应能力，如与防火墙等安全设备联动，通过将攻击者IP地址加入黑名单、过滤特定类型或内容的数据包等方式，及时阻断攻击行为。根据所采用信息源的不同，入侵检测系统可分为以下三类。入侵检测（1）基于主机的入侵检测系统（HIDS）：该类系统以主机系统和本地用户为主要监控对象，通过在受保护主机中部署代理程序，采集主机审计数据、系统日志、应用程序日志等信息，实时分析网络连接、文件访问、程序执行等行为，识别异常并响应。操作系统审计记录是HIDS常用的数据源。HIDS因其具备内核级信息采集能力和防篡改特性，可有效检测系统内部异常及攻击行为。入侵检测（2）基于网络的入侵检测系统（NIDS）：NIDS以网络数据为信息源，通常部署于受保护网段，通过网络监听技术捕获数据包，并结合网络设备的统计信息，识别网络攻击（如扫描、ARP欺骗、DDoS等）。其优势在于部署隐蔽、对主机影响小，但存在检测粒度较粗、难以处理加密数据的局限性。为保障实时性，NIDS通常直接监听网络流量，而非依赖第三方设备提供的日志或统计数据。入侵检测（3）混合分布式入侵检测系统（DIDS）：HIDS与NIDS各有侧重，HIDS擅长检测主机层攻击（如非授权访问、漏洞利用），NIDS适于发现网络协议级攻击。DIDS集成了主机与网络数据源，通过部署主机探针和网络探针，实现对两类数据的综合分析，从而全面提升了入侵检测的覆盖能力和准确性。入侵检测目前的主流商用IDS多采用此架构，通过在主机和网络交换节点分别部署两类探针，协同收集和分析主机与网络数据，从而实现对整个网络中各类入侵行为的全面检测与整体安全状态的有效监控。入侵检测现有入侵检测系统的分析引擎通常能够同时处理主机与网络数据。系统的类型取决于探针的部署方式，若仅部署主机探针，则为HIDS；若仅部署网络探针，则为NIDS；若同时部署两类探针，则构成DIDS。入侵检测Snort是由MartinRoesch等人使用C语言开发的一款开源入侵检测系统。该系统被设计为轻量级、跨平台且支持多种操作系统，具备实时流量分析、IP数据包日志记录、协议解析和内容搜索/匹配能力，可检测缓冲区溢出、端口扫描、DoS攻击等多种攻击行为，并及时发出警告。通过部署于网络中的单台主机，Snort可实现对整个网络的监控。Snort简介Snort包含三个核心组件：数据包解码器、检测引擎和日志与报警系统。用户在使用Snort前需根据实际网络环境和安全策略进行配置，具体包括设定网络变量、配置预处理器、选择输出插件及加载规则集。系统采用基于规则匹配的检测机制，显著降低了误报率。Snort支持以下三种工作模式。Snort简介（1）嗅探器模式：实时捕获并显示网络数据包。（2）数据包记录器模式：将数据包保存至硬盘。（3）网络入侵检测模式：可配置规则以分析流量，并在检测到威胁时执行相应动作。Snort简介尽管被定位为轻量级系统，Snort仍具有以下显著优势。Snort简介（1）跨平台能力强：可在Linux、Solaris、多种UNIX及Windows等操作系统中运行，兼容性远优于许多仅支持有限平台的产品。Snort简介（2）功能全面：支持实时流量分析与多协议（如TCP、UDP、ICMP）解析，可有效识别缓冲区溢出、隐蔽端口扫描、CGI扫描、SMB探测和操作系统指纹识别等攻击。Snort简介（3）插件机制灵活：提供输入和输出两类插件，输入插件支持传输层连接恢复、应用层数据提取和统计异常检测，如通过TCP流插件实现数据包重组；输出插件支持多种报警输出方式，包括数据库（MySQL、SQL等）、XML格式或Tcpdump格式文件。用户也可按规范自定义插件，这极大地增强了系统的扩展性与适应性。Snort简介（4）规则系统简洁高效：基于规则的检测机制简单而灵活，可快速响应新型攻击或漏洞。其规则库更新与CERT（计算机应急响应组）几乎同步，甚至被多个商业入侵检测系统产品直接采用。Snort简介内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5掌握安装并运行Snort，理解入侵检测系统的作用和功能。实验目的内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5（1）熟悉Snort软件的使用方法。（2）掌握入侵检测的基本原理。（3）掌握Snort的攻击特征库。（4）虚拟机：Windows1022H2，其他工具如图10-1和图10-2所示。实验内容和环境图10-1实验工具包实验内容和环境图10-2图形化组件实验内容和环境内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考51.安装Npcap/WinPcap运行Npcap安装程序，安装过程中持续单击Next按钮，均选择默认选项即可，如图10-3所示。实验步骤图10-3安装Npcap实验步骤注意：在安装Snort之前需要安装WinPcap或Npcap之一。两者都是Windows平台的网络数据包抓包工具，Npcap是WinPcap的一个改进版本。实验步骤2.安装Snort（1）运行Snort安装程序，这里使用的是2.8.6版本，安装过程中持续单击Next按钮，均选择默认选项即可。从2.9版本开始，Snort不再支持对数据库的输出，而用一个插件来实现读取日志文件。为了实现图形化界面效果，需要输出到数据库中，因此这里选择2.8.6版本，如图10-4所示。Snort的目录结构如图10-5所示。实验步骤（2）将Snort添加到系统环境变量：复制Snort目录下bin目录的绝对路径（可执行文件路径）C：\Snort\bin（具体路径根据实验情况而定），如图10-6所示。实验步骤图10-4安装Snort实验步骤图10-5Snort的目录结构实验步骤图10-6配置环境变量实验步骤（3）打开命令行cmd，输入snort-V命令查看版本信息，查看是否安装成功。图10-7显示Snort安装成功。实验步骤图10-7查看Snort版本信息实验步骤（4）安装phpStudy2018：运行phpStudy2018安装程序，选择指定路径进行安装，等待安装完毕，如图10-8所示。实验步骤图10-8安装phpStudy2018实验步骤注意：不要使用新版本或其他版本的phpStudy，其中php版本不支持。3.配置MySQL（1）在phpStudy2018中启动MySQL，如图10-9所示。实验步骤图10-9启动MySQL实验步骤（2）等待MySQL启动后，打开MySQL命令行，如图10-10和图10-11所示。实验步骤图10-10打开MySQL命令行实验步骤图10-11MySQL命令行实验步骤（3）输入默认密码root。使用命令createdatabasesnort和createdatabasesnort_archive创建Snort运行必需的两个数据库：snort和snort_archive，分别如图10-12所示。实验步骤图10-12创建两个数据库实验步骤（4）使用Snort安装目录下schemas文件夹中的create_mysql文件，初始化刚刚新建的两个数据库（对指定的数据库执行create_mysql中的语句，如usesnort、showtables、usesnort_archive、showtables），如图10-13和图10-14所示。实验步骤图10-13配置Snort数据库实验步骤图10-14配置snort_archive数据库实验步骤（5）验证是否配置成功：如图10-15~图10-17所示，MySQL配置成功。实验步骤图10-15查看所有数据库实验步骤图10-16查看snort数据库实验步骤图10-17查看snort_archive数据库实验步骤4.配置acid图形化界面（1）解压缩图10-2中的四个图形化组件。注意：adodb用于将数据从数据库中取出，base和acid都是图形化展示工具，jpgraph是图形操作工具。在Ubuntu和CentOS中，使用base较多；在Windows中，使用acid较多。实验步骤（2）在Snort目录下创建plugins文件夹，将解压缩后的四个组件放入该文件夹，如图10-18所示。实验步骤图10-18plugins文件夹实验步骤（3）打开acid目录下的acid_conf.php文件，如图10-19所示。修改文件中的以下内容。实验步骤图10-19acid_conf.php文件实验步骤①第12行：添加adodb的位置，如图10-20和10-21所示。实验步骤图10-20修改前实验步骤图10-21修改后实验步骤②第32~43行：设置数据库信息，如图10-22和图10-23所示。实验步骤图10-22修改前实验步骤图10-23修改后实验步骤③第69行：添加jpgraph位置，如图10-24和图10-25所示。实验步骤图10-24修改前实验步骤图10-25修改后实验步骤5.访问图形化界面（1）通过phpStudy2018访问图形化界面：将网站目录设置为plugins绝对路径（这里是C：\Snort\plugins），如图10-26和图10-27所示。实验步骤图10-26单击端口常规设置实验步骤图10-27修改网站目录实验步骤（2）选择php的版本：这里是5.2.17如图10-28所示。必须是5.3之前的版本，否则很多php语法不能解析导致报错。实验步骤图10-28选择php版本实验步骤（3）等到Apache和MySQL启动之后，打开浏览器，在地址栏输入localhost/acid，依次单击Setuppage、CreateACIDAG、Mainpage，分别如图10-29~图10-31所示。实验步骤图10-29点击Setuppage实验步骤图10-30点击CreateACIDAG实验步骤图10-31单击Mainpage实验步骤至此图形化界面配置结束。6.配置snort.conf（1）打开Snort目录下etc文件夹中的snort.conf文件，如图10-32所示。实验步骤图10-32snort.conf文件实验步骤（2）使用Windows配置的过程如图10-33所示。修改文件中的以下内容。实验步骤图10-33配置步骤实验步骤①第25、28行：根据具体网段修改any（这里是\24），如图10-34所示。实验步骤图10-34第25、28行修改实验步骤②第60、62行：在Windows中需要使用绝对路径，如图10-35所示。实验步骤图10-35第60、62行修改实验步骤③第127、130、133行修改：如图10-36和图10-37所示。这里有点问题，图10-3中最下框中语句的左侧需要将“#”删除。实验步骤图10-36第127、130、133行修改前实验步骤图10-37第127、130、133行修改后实验步骤④第270行：修改如图10-38和图10-39所示。实验步骤图10-38第270修改前实验步骤图10-39第270修改后实验步骤⑤第281、282、368行：修改如图10-40和图10-41所示。实验步骤图10-40第281、282行修改实验步骤图10-41第368行修改实验步骤⑥第291行：本实验只用local.rules这一个规则集，因此需要将其余的规则集注释掉，即删除C：\Snort\lib\snort_dynamicpreprocessor路径下的sf_sdf.dll文件，如图10-42所示。实验步骤图10-42第291行修改实验步骤7.配置Snort规则库（1）打开Snort2.8.6的规则包，如图10-43所示。这里只需要将doc、so_rules解压缩到C：\Snort目录下，如图10-44所示。rules中提供了更丰富的规则包，使用时需要在对应的文件中取消注释。实验步骤图10-43规则包实验步骤图10-44在Snort目录下移入doc、so_rules实验步骤（2）在Snort目录下的rules文件夹中自定义local.rules规则，内容为alerttcpanyany->any80（msg：PotentialHTTPTraffic；content：GET；nocase；sid：100001；），如图10-45所示。其含义是警告所有GET型的HTTP进行测试。实验步骤图10-45自定义local.rules规则实验步骤注意：如果完成以上配置并运行后，在acid图形化界面中看不到有关包的统计数字，则可尝试修改local.rules规则为alertipanyany->anyany（msg：test；sid：1000001；），这样所有数据包都将引发警报，以便测试。实验步骤8.Snort测试（1）使用命令snort-W查看网卡编号（这里是4），如图10-46所示。实验步骤图10-46查看网卡编号实验步骤（2）使用命令snort-dev-cC：\Snort\etc\snort.conf-lC：\Snort\log-i4打开Snort，抓包情况如图10-47所示。实验步骤图10-47抓包情况实验步骤（3）在acid中可以看到流经的相关包，如图10-48和图10-49所示。实验步骤图10-48acid抓包情况实验步骤图10-49acid抓tcp包情况实验步骤内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5本实验验证了特征检测在已知威胁防御中的高准确性，但暴露出其对加密流量和未知攻击的盲区。通过本实验，读者能够掌握规则优化的核心方法：精确内容匹配、协议上下文关联、流量基线调优，认识到防御体系化的必要性：需结合防火墙、解密网关、行为分析构建纵深防御。总结与思考进一步可探索Snort3.0的Lua脚本扩展能力，实现动态威胁评分（如结合威胁情报置信度），推动IDS从静态规则匹配向自适应检测演进。总结与思考10.2虚拟蜜网下的攻击行为捕捉实验内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5网络欺骗（cyberdeception）最早由美国普渡大学的GeneSpafford于1989年提出，其核心思想是通过引诱或欺骗策略，使攻击者误认为系统存在可利用的安全弱点和有价值的资源（实际为伪造或不重要的内容），从而将其引导至预设的虚假目标，同时完整记录其行为，以分析攻击过程和技术手段。网络欺骗一个理想的网络欺骗系统应能够让攻击者不易察觉目标虚假，并使其相信攻击已成功。该技术的主要作用包括以下四个方面。（1）吸引攻击流量，引导攻击者按防御方意图行动。（2）检测入侵行为，识别攻击技术及意图，实现警告与取证，并收集攻击样本网络欺骗（3）增大攻击者的工作量、复杂度和不确定性，延缓对真实目标的攻击。（4）为增强防护提供信息，可用于改进防火墙规则、入侵检测系统配置、病毒特征库等，并支撑网络安全态势的生成。网络欺骗网络欺骗技术有效弥补了传统防御体系的不足，实现了从被动防护向主动防御的转变。它可与其他安全技术协同，共同构建多层次的安全保障体系。典型的网络欺骗技术包括蜜罐和蜜网，这些技术已被广泛应用于攻击检测、态势感知和攻击情报收集等领域。网络欺骗例如，多家大型网络安全公司及政府互联网监管机构通过在互联网中广泛部署蜜罐与蜜网，成功实现了监控攻击过程、捕获攻击代码、发现新型攻击方法，并生成互联网安全态势报告。网络欺骗蜜罐（honeypot）是最早应用欺骗技术的网络安全系统。根据蜜网项目（theHoneynetProject）创始人LanceSpitzner的定义，蜜罐是一种以“被探测、攻击或攻破”为核心价值的安全资源。其具体形态并不重要，可以是路由器、运行仿真服务的脚本或真实生产系统，关键在于它只有遭受攻击才有价值。蜜罐因此，蜜罐的设计目标在于吸引扫描、攻击或入侵，并在受控环境中记录这些行为。若一个蜜罐从未遭受任何攻击，则其价值未能实现。蜜罐从部署方式看，蜜罐可分为生产型和研究型两类。生产型蜜罐通常部署于组织内网，主要用于提升整体安全状态，具备低交互、易部署的特点，但所提供的攻击者信息相对有限。研究型蜜罐多部署在内网出口或公网，由研究团队维护，旨在收集攻击行为与入侵模式信息，以支持防御方法研究和安全态势分析，其部署和维护较复杂，但能获取更丰富的攻击数据。蜜罐按交互程度或仿真水平，蜜罐又可分为低交互与高交互两种类型。低交互蜜罐仅能提供有限的网络服务交互，其行为基于预设脚本，如模拟Telnet服务时仅对少数请求做出固定响应。该类蜜罐实现简单、资源消耗小，通常通过一个软件进程与配置文件即可实现，能够记录攻击报文并按脚本回应；蜜罐但交互能力有限，较易被攻击者识别为虚假服务，对高级攻击的欺骗效果有限，多用于缓解网络安全威胁及捕获简单攻击行为。蜜罐高交互蜜罐则提供真实或高度仿真的网络服务，使攻击者难以辨别其真伪。与普通服务不同，高交互蜜罐内置一套安全监控机制，可隐蔽记录所有攻击行为并保存至独立日志服务器（通常与蜜罐物理隔离，且通信经加密保护）。蜜罐高交互蜜罐中存储的并非真实业务数据，而是专门设计的“诱饵”数据，以避免信息泄露。部分高交互蜜罐还会故意设置漏洞吸引攻击。为确保安全，需严格限制蜜罐与正常受保护系统间的通信，防止攻击者利用其作为跳板实施进一步攻击。蜜罐蜜网（honeynet）是由多个蜜罐构成的欺骗性网络，通常包含不同类型和层次的蜜罐，能够在多个维度捕获攻击信息，以满足多样化的安全需求。蜜网在实际部署中，蜜网往往需要与防火墙、入侵检测系统等其他安全设备协同工作，在增强信息捕获能力的同时，确保整个系统处于受控状态，避免因某一节点被攻破而导致整体失效。蜜网蜜网既可采用多个物理蜜罐进行构建，也可完全基于虚拟蜜罐实现。利用虚拟化技术（如VMware），可在单台服务器上部署多个虚拟蜜罐，从而大幅简化蜜网的搭建流程，避免复杂物理网络的建设。蜜网然而，虚拟蜜网也存在一定风险，攻击者可能识别出虚拟环境特征，或通过利用宿主机漏洞获取蜜网控制权。相比之下，物理蜜罐的建设与维护成本较高，但通常具备更好的隔离性和真实性。因此，在实际应用中常采用物理与虚拟相结合的混合部署方式，以平衡成本、安全性与运行效率。蜜网内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5（1）掌握虚拟机的搭建方法。（2）学会使用虚拟机系统搭建网络攻防环境。（3）学会配置蜜墙（Honeywall），并成功部署蜜网。实验目的内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5本实验共包括四台虚拟机：2台攻击机、1台靶机、1个蜜网，参数如表10-1所示。实验内容和环境表10-1虚拟机环境实验内容和环境攻击机是安装了专用的攻击软件，用于发起网络攻击的主机。靶机是内置系统和应用程序安全漏洞，并作为目标的主机。通过使用蜜网捕获黑客的攻击信息，以便于防御者和研究人员进行技术研究、采取针对性的防御措施。蜜墙（Honeywall）是蜜网的网关，也就是出入蜜网的所有数据的必经关卡。实验内容和环境内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考51.安装虚拟机（1）安装Kali虚拟机：在Kali官网下载Kali镜像文件，如图10-50所示；下载完成后，在VMware中创建一个Kali虚拟机，根据引导提示进行安装。实验步骤图10-50下载Kali镜像文件实验步骤（2）安装Ubuntu虚拟机：在VMware中根据引导提示创建一个Ubuntu虚拟机，如图10-51~图10-57所示。实验步骤图10-51选择硬件兼容性实验步骤图10-52选择“稍后安装操作系统”实验步骤图10-53选择操作系统和版本实验步骤图10-54设置处理器实验步骤图10-55分配内存实验步骤图10-56选择网络连接模式实验步骤图10-57选择镜像文件实验步骤（3）安装WindowsXP虚拟机：网上有很多安装WindowsXP虚拟机的详细教程，此处不再赘述。（4）安装Honeywall虚拟机：镜像文件为roo-1.4.hw-20090425114542.iso，在VMware中创建该虚拟机。实验步骤（5）最后，需要再添加两个网卡。三个网卡的网络连接方式分别为NAT模式、仅主机模式、自定义（VMnet8）模式，如图10-58所示。实验步骤图10-58添加两个网卡实验步骤2.配置虚拟机网卡（1）在VMware中依次单击“编辑→虚拟网络编辑器”，单击“更改设置”按钮，如图10-59和图10-60所示。实验步骤图10-59单击“虚拟网络编辑器”实验步骤图10-60单击“更改设置”按钮实验步骤（2）VMnet1设置：设置子网IP地址为192.168.1.0，子网掩码为，如图10-61所示进行配置。实验步骤图10-61设置VMnet1实验步骤（3）VMnet8设置：设置子网IP地址为，子网掩码为，如图10-62所示进行设置。实验步骤图10-62设置VMnet8实验步骤（4）单击“DHCP设置”按钮，设置起始IP地址为，结束IP地址为20，如图10-63所示。设置完成后单击“确定”按钮。实验步骤图10-63设置DHCP实验步骤（5）单击“NAT设置”按钮，设置网关IP地址为，如图10-64所示。单击“确定”按钮，离开虚拟网络编辑器。实验步骤图10-64NAT设置实验步骤（6）查看攻击机（Kali、WindowsXP虚拟机）IP地址：在WindowsXP虚拟机命令行执行ipconfig命令，查看其IP地址为，如图10-65所示。在Kali虚拟机命令行执行ifconfig命令，查看其IP地址为，如图10-66所示。实验步骤图10-65查看WindowsXP虚拟机的IP地址实验步骤图10-66查看Kali虚拟机的IP地址实验步骤（7）查看靶机（Ubuntu虚拟机）IP地址：在Ubuntu虚拟机命令行执行ifconfig命令，查看其IP地址为192.168.2.3，如图10-67所示。实验步骤图10-67ifconfig查看Ubuntu虚拟机的IP地址实验步骤3.配置蜜网（Honeywall）（1）初始配置：刚创建的虚拟机Honeywall在启动后出现图10-68所示页面，按Enter键进行安装。实验步骤图10-68Honeywall实验步骤（2）安装完成后，提示输入用户名和密码，如图10-69所示。默认用户名为roo，密码为honey。登录后，输入su-命令提权，开始配置，如图10-70所示。实验步骤图10-69输入用户名和密码实验步骤图10-70输入su-命令实验步骤（3）选择OK按钮后弹出主菜单MainMenu，如图10-71所示，选择HoneywallConfigu-ration，再选择Default完成初始配置，如图10-72所示。实验步骤图10-71主菜单MainMenu实验步骤图10-72选择Default实验步骤（4）详细配置：完成初始设置后，再从命令行进入配置菜单，即先执行su-命令进行提权，然后执行menu命令。在主菜单MainMenu中选择HoneywallConfiguration，如图10-73所示，进入Honeywall的配置页面。实验步骤图10-73选择HoneywallConfiguration实验步骤（5）设置IP信息（ModeandIPInformation）：选择ModeandIPInformation，按Enter键，点击HoneypotIPAddress，填写靶机IP地址（靶机是Ubuntu，之前查看其地址为，视具体情况而定），如图10-74所示。点击LANBroadcastAddress，设置广播地址为55，如图10-75所示。实验步骤图10-74设置靶机IP地址实验步骤图10-75设置广播地址实验步骤点击LANCIDRPrefix，设置网段为/24，如图10-76所示。如图10-77所示，点击saveCommitChangesandReturntoPreviousMenu，保存修改并返回上一级菜单。实验步骤图10-76设置网段实验步骤图10-77保存设置实验步骤（6）设置远程管理（RemoteManagement）：选择RemoteManagement，按Enter键，点击ManagementIP，设置蜜罐IP地址为，如图10-78所示。点击ManagementNet-mask，设置蜜罐掩码为，如图10-79所示。点击ManagementGateway，设置蜜罐网关为，如图10-80所示。实验步骤图10-78设置蜜罐IP地址实验步骤图10-79设置蜜罐掩码实验步骤图10-80设置蜜罐网关实验步骤点击Manager，设置密罐网段为/24如图10-81所示。点击saveCommitChangesandReturntoPreviousMenu，保存修改并返回上一级菜单，如图10-82所示。实验步骤图10-81设置蜜罐网段实验步骤图10-82保存设置实验步骤（7）设置Sebek：选择Sebek，按Enter键，设置目标IP地址为（与蜜罐网关一样），如图10-83所示。设置目标UDP端口为1101，如图10-84所示。在Options选项中选择Drop（默认，丢弃包），如图10-85所示。实验步骤图10-83设置目标IP地址实验步骤图10-84设置目标UDP端口实验步骤图10-85选择Drop实验步骤点击backBacktomainmenu，保存修改并返回主菜单，如图10-86所示。如图10-87所示，选择Exit，退出主菜单，返回命令行。实验步骤图10-86返回主菜单实验步骤图10-87退出实验步骤（8）在命令行执行ifconfig命令，查看配置是否成功。从图10-88可以看出，IP地址为，表明配置成功。实验步骤图10-88配置成功实验步骤4.远程访问蜜网（1）Kali虚拟机访问蜜网：在Kali虚拟机的