Honeyd

Основной целью использования Honeyd является обнаружение неавторизованной деятельности внутри локальной сети организации. Honeyd отслеживает все неиспользуемые IP-адреса, и любая попытка подключения к такому адресу расценивается как неавторизованная или потенциально вредоносная активность. Таким образом, при попытке подключения Honeyd автоматически принимает обращение к этому IP-адресу и начинает отслеживать действия потенциального злоумышленника.

Подход Honeyd к обнаружению обладает рядом преимуществ по сравнению с традиционными методами:

1. Простота установки и обслуживания;
2. Возможность выявления как известных, так и новых атак;
3. Срабатывание тревоги только при реальной атаке, что сводит к минимуму ложные срабатывания.

Honeyd также реализует эмулирование операционных систем на уровне ядра, позволяя маскировать любую систему под заданную. Поскольку злоумышленники часто определяют тип ОС с помощью таких утилит, как Nmap или Xprobe, Honeyd способен подделывать ответы, используя базу отпечатков Nmap, — что позволяет имитировать поведение любых операционных систем и использовать это для исследования попыток взлома.^[2]

Honeyd поддерживает механизмы виртуализации, позволяя запускать приложения Unix в качестве подсистем для виртуальных IP-адресов в уже настроенной ловушке honeypot. Это делает возможным динамическую привязку портов сетевых приложений, создание TCP- и UDP-соединений с использованием виртуального IP-адреса. Такие подсистемы перехватывают сетевые запросы и перенаправляют их в Honeyd. Плюсом служит возможность расставлять дополнительные приманки, например, генерировать фоновый трафик — запросы к веб-страницам, проверка электронной почты и др.

WinHoneyd основан на Unix/Linux-версии Honeyd, разработанной Нильсом Провосом. WinHoneyd позволяет моделировать большие сетевые структуры с разными операционными системами на одном компьютере.