① 关于网络中所说的密罐是什么意思
1．蜜罐的定义。关于蜜罐，到目前为止还没有一个完整的定义。“蜜网项目组”的创始人Lance Spitzner对蜜罐给出了一个比较权威的定义：蜜罐是一种安全资源，其价值在于被扫描、攻击和攻陷。这个定义表明蜜罐并没有其他的实际作用，所有流人和流出蜜罐的网络流量都可能预示着扫描、攻击和攻陷。而蜜罐的核心价值就在于对这些攻击活动进行监视、检测和分析。实际上，蜜罐中只有一些虚假的敏感数据，不用于对外的正常服务。所以，它可以是一个网络、一台主机、一项服务，也可以是数据库中的某些无用的数据或者伪装的用户名及其弱口令等，因此任何与它交互的行为都可以被认为是攻击行为，这样就简化了检测过程，它可以部署在各个内部子网或关键主机上，检测来自网络系统外部和内部的各种攻击，用一种以检测、监视和捕获攻击行为和保护真实主机为目标的诱骗技术。
2．蜜罐的基本原理。蜜罐系统是一个陷阱系统，它通过设置一个具有很多漏洞的系统吸引黑客入侵，收集入侵者信息，为其他安全技术提供更多的知识。蜜罐采用监视器和事件日志两个工具对访问蜜罐系统的行为进行监控。由于蜜罐是一个很具有诱惑力的系统，能够分散黑客的注意力和精力，所以对真正的网络资源起到保护作用。
3．蜜罐的主要技术。蜜罐系统主要涉及网络欺骗技术、数据捕获技术、数据控制技术p湍1：3重定向)、攻击分析与特征提取等主要技术。(1)网络欺骗技术：是蜜罐的核心技术，利用各种欺骗手段和安全弱点和系统漏洞，引诱黑客的攻击。(2)数据捕获技术：主要目的是尽可能多的捕获攻击信息，而不被黑客发现，包括输入、输出及键盘和屏幕的捕获。(3)数据控制技术：主要目的是防止黑客将蜜罐作为跳板去攻击其他系统或危害别的主机，因此必须控制进出系统的数据流量而不被黑客怀疑。(4)攻击分析与特征提取：蜜罐系统设置一个数据分析模块，在同一控制台对收集到的所有信息进行分析、综合和关联，完成对蜜罐攻击信息的分析。
② 蜜罐技术的工作原理
蜜罐的主要原理包括以下几个方面:
第一,网络欺骗。
使入侵者相信存在有价值的、可利用的安全弱点,蜜罐的价值就是在其被探测、攻击或者攻陷的时候得以体现,网络欺骗技术是蜜罐技术体系中最为关键的核心技术,常见的有模拟服务端口、模拟系统漏洞和应用服务、流量仿真等。
第二,数据捕获。
一般分三层实现:最外层由防火墙来对出入蜜罐系统的网络连接进行日志记录;中间层由入侵检测系统(IDS)来完成,抓取蜜罐系统内所有的网络包;最里层的由蜜罐主机来完成,捕获蜜罐主机的所有系统日志、用户击键序列和屏幕显示。
第三,数据分析。
要从大量的网络数据中提取出攻击行为的特征和模型是相当困难的,数据分析是蜜罐技术中的难点,主要包括网络协议分析、网络行为分析、攻击特征分析和入侵报警等。数据分析对捕获的各种攻击数据进行融合与挖掘,分析黑客的工具、策略及动机,提取未知攻击的特征,或为研究或管理人员提供实时信息。
第四,数据控制。
数据控制是蜜罐的核心功能之一,用于保障蜜罐自身的安全。蜜罐作为网络攻击者的攻击目标,若被攻破将得不到任何有价值的信息,还可能被入侵者利用作为攻击其他系统的跳板。虽然允许所有对蜜罐的访问,但却要对从蜜罐外出的网络连接进行控制,使其不会成为入侵者的跳板危害其他系统。
首先我们要弄清楚一台蜜罐和一台没有任何防范措施的计算机的区别，虽然这两者都有可能被入侵破坏，但是本质却完全不同，蜜罐是网络管理员经过周密布置而设下的“黑匣子”，看似漏洞百出却尽在掌握之中，它收集的入侵数据十分有价值;而后者，根本就是送给入侵者的礼物，即使被入侵也不一定查得到痕迹……因此，蜜罐的定义是:“蜜罐是一个安全资源，它的价值在于被探测、攻击和损害。”
设计蜜罐的初衷就是让黑客入侵，借此收集证据，同时隐藏真实的服务器地址，因此我们要求一台合格的蜜罐拥有这些功能:发现攻击、产生警告、强大的记录能力、欺骗、协助调查。另外一个功能由管理员去完成，那就是在必要时候根据蜜罐收集的证据来起诉入侵者。
③ 如何检测恶意脚本
本质上说，网页恶意脚本依赖于浏览器，利用漏洞下载木马，并向用户传播。因此传统的反木马检测方法在检测网页恶意脚本时存在比较大的缺陷。那么，如何检测恶意脚本呢
小编了解到，常见的网页恶意脚本的检测技术包括客户端蜜罐技术，静态代码检测和动态行为检测。
1) 客户端蜜罐技术。客户端蜜罐主要是针对客户端软件存在的漏洞，主动寻找可能的攻击行为。在与服务器的交互过程中，客户端蜜罐时刻监测系统的变化，引入各种检测方法来判定是否有恶意攻击行为的发生。这种方法的缺陷是需要花大量时间，分析性能的提升也比较困难。北大的张慧琳等提出基于网页动态视图的网页恶意脚本检测方法，主要是重构网页动态视图，检测方法基于客户端蜜罐技术，模拟存在漏洞的插件被攻击，从而通过捕获这些攻击行为达到检测的目的。
2) 静态代码检测。静态代码检测技术是根据已知网页恶意脚本样本库程序代码本身的特点来检测未知网页程序是否为网页恶意脚本程序，主要是对网页进行解析，提取网页中的静态内嵌链接和本地脚本，再通过一定的技术筛选特征集，构建相应的模型，检测未知网页程序的代码特征，并将这些特征和筛选出的特征集进行比较，若代码特征相匹配则将网页程序定义为网页恶意脚本，反之，则为普通网页程序。
另外，裕祥安全网温馨提示：防治恶意脚本，应该采取以下措施 ：
第一，上网时开启杀毒软件的八大监控。
第二，不要轻易浏览不良网站。
第三，如果怀疑自己感染了恶意脚本，可以登陆免费查毒网站，对自己的电脑进行全面扫描。
更多网络病毒小知识，比如怎样检测清除脚本病毒，请继续关注裕祥安全网。