蠕蟲三大特性

• 感染：利用漏洞攻擊目標主機。
• 潛伏：在受害主機自我複製、駐留。
• 傳播：從受害主機繼續攻擊其他主機。

過去 Slammer、Code Red、Nimda、Blaster 等蠕蟲皆造成全球性災難，防禦刻不容緩。

什麼是蜜罐？

誘騙攻擊者的偽裝系統。網路上對蜜罐的所有請求均視為可疑。分兩類：

• 高互動：真實主機 (犧牲機/傀儡機) 等待攻擊。
• 低互動：模擬服務/主機 (如 Honeyd by Niels Provos)，受控且不反彈感染他人。

蜜罐對抗蠕蟲三階段

3.1 感染階段：偵測與導流

部署於網關的蜜罐扮演防火牆/IDS/IPS 角色：分析封包，匹配已知攻擊指紋 (如 Blaster 攻擊 TCP 135 埠)，將可疑流量重導至蜜罐而非生產網路。
缺點：特徵碼永遠滯後於新攻擊；誤判導流合法流量風險；網關分析降低網速。

3.2 潛伏階段：捕獲與分析

讓蜜罐「被感染」 (或讓蠕蟲以為感染成功) 以捕獲樣本。兩種方式：

• 受害主機：安裝未修補 OS/服務的真實主機 (或用 VMware 多系統) 等待感染，監控流量發現蠕蟲。
• 虛擬服務：用 Honeyd 模擬開放 TCP 135 埠與 RPC DCOM 服務，誘騙 Blaster 攻擊。配置範例：
  create default
set default personality "Windows XP Pro"
add default tcp port 135 open
add default tcp port 4444 "/bin/sh scripts/WormCatcher.sh $ipsrc $ipdst"
set default tcp action block
set default udp action block
  腳本 WormCatcher.sh 透過 TFTP 下載蠕蟲樣本 (msblast.exe) 存檔分析。無需完整 OS 即可捕獲。

3.3 傳播階段：延緩與反擊

1. 回應偽造目標：蠕蟲隨機掃描 IP，蜜罐利用 arpd 守護進程對未使用 IP 偽裝回應 (開放 135 埠)，誘使蠕蟲攻擊蜜罐而非真實主機，拖延傳播時間、通知管理員處理。
2. 緩慢回應 (LaBrea 技術)：模擬 TCP 連線但保持窗口大小為 0，最大化拖延蠕蟲連線時間，使其阻塞於偽造目標。已實測擊敗 Code Red，未來將整合入 Honeyd。
3. 反擊範例：蜜罐提供偽造 Shell (TCP 4444) 讓 Blaster 下載代碼，實際執行 strikeback.sh 對攻擊者主機發動 DCOM 攻擊並執行清理指令。
   create default
set default personality "Windows XP Pro"
add default tcp port 135 open
add default tcp port 4444 "/bin/sh scripts/strikeback.sh $ipsrc"
set default tcp action block
set default udp action block

建議反擊措施

• 隔離受感染主機。
• 關閉蠕蟲利用的遠程服務。
• 在路由器/防火牆部署流量監控規則。

展望

蜜罐技術從被動偵測演進為主動捕獲、延緩、反擊平台。未來結合自動化特徵提取、行為分析與協同防禦，將成為對抗新型蠕蟲的關鍵基礎設施。