我并不是說防火墻日志和入侵檢測系統(tǒng)的報告是毫無價值的。事實上它們確實認真地履行了各自的任務。不過當你看到如此大量的信息和報告，而其中大部分都是對系統(tǒng)沒有威脅的無目的的掃描時，你肯定會感到很沮喪。難道真的沒有一種更好的安全防范方法么？

     Honeypot解決信息過量問題

      從某些角度來說，honeypot也許是一個更好的方法。Honeypot主要分為兩類，真實的和虛擬的，這兩類都是入侵者的誘餌。Honeypot這個概念來自幾年前，那時候網絡管理員希望有一種方法來找出到底是誰在探測網絡。有句至理名言說“要想人不知，除非己莫為”，如果有人在探測網絡，只要他向外發(fā)送數據，就一定會被察覺。因此有人利用了這個道理，在網絡中建立了一個誘餌系統(tǒng)，它可以不時地向外發(fā)送與Windows網絡服務有關的數據包，而那些監(jiān)聽網絡的黑客獲取數據包后，肯定會通過DNS查詢來確定這個誘餌系統(tǒng)的更多資料。一旦DNS查詢完成，則發(fā)送查詢的主機名和IP地址包括查詢時間就都會被記錄下來。

      由于這種技術提出的較早，因此誘餌系統(tǒng)或者說是honeypots發(fā)展的非常迅速。到目前，有不少公司都能提供多種honeypot解決方案。如果你關注網絡安全，那么honeypot系統(tǒng)確實能讓你獲益匪淺。但在應用honeypot系統(tǒng)前，你需要在真實的honeypot或虛擬honeypot之間做個選擇。

     真實vs虛擬

      對于真實或是虛擬honeypot的選擇方面，你需要考慮的是風險和回報。虛擬honeypot比較廉價，但也有一定安全風險，它在抓住黑客方面做得沒有真實的honeypot好。另一方面，雖然真實的honeypot在入侵檢測方面比虛擬honeypot好很多，但最頂級的黑客有可能利用真實的honeypot接管你的網絡。

     虛擬honeypot的優(yōu)勢

      虛擬honeypot說白了是一個仿真程序。比如虛擬honeypot一般可以仿真FTP服務器，并監(jiān)視所有的TCP和UDP端口并記錄所有端口的活動情況。當黑客發(fā)現(xiàn)這個虛假的（他本人不知道）FTP時，就會試圖開啟一個FTP對話。這時虛擬FTP服務器（虛擬honeypot）就會記錄下這個黑客的所有活動。比如honeypot會記錄下哪個端口被使用、采用何種認證機制等。而虛擬FTP服務器會和真正的FTP服務器一樣對黑客的行為作出響應。更好的是，由于這是個虛擬的FTP服務器，它沒有真正的操作系統(tǒng)，因此就算黑客攻入了FTP，也不會進一步控制你網絡中的其它電腦。

      理論上說，這個方法相當好，它使用起來相當安全，并且可以捕獲大量的有用信息。比如，如果獲取了黑客登錄時的憑證，你就可以查出到底是哪個帳戶被攻擊了，這樣就可以作出相應的補救動作。不過它的全部優(yōu)勢也就是這些了。

     虛擬honeypot的劣勢

      對于虛擬honeypot來說，有兩點最主要的不足。首先，它只能愚弄那些初級黑客。你要記住，虛擬honeypot并沒有一個真正的操作系統(tǒng)支撐（有的解決方案中內嵌了簡單的Windows或Linux）。因此有經驗的黑客會發(fā)現(xiàn)很多命令在這臺主機中不起作用。這會使他立即知道自己進入的只是一臺honeypot，而不是真正的服務器。

      虛擬honeypot的另一個不足是它記錄的信息種類有限。比如一個虛擬honeypot偽裝成FTP服務器，那么它就只能獲取和FTP相關的信息。當然，大部分虛擬honeypot還可以獲取端口掃描和其它一些基本的攻擊信息。然而，如果一個黑客利用IPv6端口發(fā)送加密的信息又會如何呢？由于虛擬honeypot功能有限，它無法記錄這類的問題。簡單說，虛擬honeypot可以檢測并記錄已知的攻擊種類，但對于新型的攻擊卻沒什么用處。

     真實honeypot的優(yōu)勢

      一個真正的honeypot，是一個或多個真實的系統(tǒng)組成的誘餌系統(tǒng)。由于它是帶有操作系統(tǒng)的真實系統(tǒng)，因此它對于黑客的操作響應與網絡上其它主機完全一樣。這有好處也有壞處。好處是，黑客幾乎不可能察覺到他們已經進入了一個陷阱，而不是真正的實用網絡。實際上，唯一能讓黑客起疑心的現(xiàn)象就是那些不太完善的honeypot網絡沒有采取任何正常的安全更新措施。

      真實的honeypot最大的優(yōu)點就在于入侵檢測能力。系統(tǒng)會假定任何發(fā)送到honeypot網絡的數據都是帶有惡意的，因此完全不用擔心黑客會采用什么新方法而不被honeypot捕獲。黑客的任何操作都會被真實的honeypot記錄下來。

     真實honeypot的劣勢

      真實的honeypot也有不足，它有可能被高級黑客征服而變?yōu)檫M攻你的正常網絡的跳板。為了防止這種情況，你需要在honeypot網絡與正常網絡間架設防火墻，以阻擋二者間的任何數據通信。更復雜的Linux honeypot帶有防止黑客入侵正常網絡的功能，而對于Windows上的honeypot，目前還沒有類似的功能。

     真實明顯優(yōu)于虛擬

      從多種環(huán)境考慮，真實的honeypot比虛擬honeypot更具優(yōu)勢。不過在你購買真實honeypot之前，你應該了解一下它的成本。除了購買機器外，你還需要購買操作系統(tǒng)以及其它安裝在真實honeypot上的軟件。最后你還要做好真實的honeypot會被最頂尖的黑客攻破的準備。