【每日一记10】+第18天+ AF蜜罐技术分享
  

young_1003 4010

{{ttag.title}}




蜜罐是啥,第一次听的时候还以为是一种动物或者是小蜜蜂的蜂蜜呢


本期分享AF蜜罐技术




一、蜜罐技术产生背景


简介:
内网主机变成僵尸主机之后一般会向公网恶意域名地址(比如:访问C&C服务器)发起访问,首先主机会向DNS服务器发送解析请求,当主机使用的是内网DNS服务器时,DNS请求是先发给内网的DNS服务器,但最终会请求到公网DNS服务器,流量经过AF,AF识别到是内网DNS服务器发起的请求,所以僵尸网络防护把内网DNS服务器当成是僵尸主机,导致无法正常的定位到真正的内网僵尸主机


大致可以分为以下几步:


1、主机受到感染,访问公网恶意域名地址,连接C&C服务器,获取指令;
2、主机会向内网DNS服务器发送恶意域名的解析请求;
3、内网DNS服务器会再向公网DNS服务器发送解析请求;
4、AF识别到是内网DNS服务器的请求,所以僵尸网络防护把内网DNS服务器当成是僵尸主机;








二、蜜罐技术原理


1、首先僵尸主机会向内网DNS服务器发送恶意域名的解析请求;
2、内网DNS收到后,向公网DNS转发;
3、DNS请求数据经过AF后,AF检测到是解析恶意域名地址;
4、AF会主动回复DNS请求,但解析的是固定IP地址;
5、当内网DNS收到回复之后,转发给僵尸主机;
6、僵尸主机收到DNS回复,就会主动访问解析到的IP地址;
7、访问此IP地址的数据经过AF之后,定位到内网真正僵尸主机;






三、AF上配置


1、配置僵尸网络防护模板,这里我们使用默认模板;





2、配置僵尸网络防护策略;








配置源区域和目的区域(源区域为内网,目的区域为外网);




按需求配置处置动作;




填写内网DNS服务器地址,如有多个DNS服务器,一行一个;




3、配置恶意域名重定向功能(蜜罐功能配置);





选择配置恶意域名重定向;




这里我们选择某公司在线蜜罐地址;






重要:一定要保存配置,否则不生效;












注意事项:


1、内网为DNS服务器代理环境,内网用户上网的流量是双向经过AF设备;


2、蜜罐功能是在AF7.1及以上版本开始支持的,又名“恶意域名重定向”;


3、旁路镜像模式不支持此功能;


4、蜜罐IP地址设置,此IP地址不能与内网网段冲突,访问此IP的数据需要经过AF;


5、内网存在DNS服务器时必须要进行设置,用于定位内网感染僵尸网络主机的真实IP地址;

打赏鼓励作者,期待更多好文!

打赏
19人已打赏

zhao_HN 发表于 2020-8-23 09:46
  
感谢分享
新手262779 发表于 2020-8-23 13:37
  
感谢分享
沧海 发表于 2020-8-23 19:26
  
学习一下
新手517842 发表于 2020-8-24 11:11
  
学习学习
新手561208 发表于 2020-8-25 15:11
  
感谢分享
hzZ 发表于 2020-8-27 14:22
  
感谢分享!
新手456962 发表于 2020-8-28 19:19
  

学习学习
新手780102 发表于 2020-8-30 23:40
  


感谢分享
gqce 发表于 2020-8-31 09:06
  
感谢分享
发表新帖
热门标签
全部标签>
每日一问
功能体验
技术笔记
新版本体验
技术咨询
2023技术争霸赛专题
干货满满
技术盲盒
标准化排查
产品连连看
GIF动图学习
信服课堂视频
安装部署配置
秒懂零信任
自助服务平台操作指引
技术晨报
深信服技术支持平台
答题榜单公布
卧龙计划
畅聊IT
答题自测
云计算知识
通用技术
安全攻防
每日一记
sangfor周刊
资源访问
排障笔记本
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
用户认证
原创分享
解决方案
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
迁移
社区帮助指南
地址转换
虚拟机
存储
加速技术
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
纪元平台
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选

本版版主

396
135
63

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人