killvxk 使用蜜罐实施网络欺骗
适用场景
- 部署欺骗技术以检测横向移动（Lateral Movement）
- 为网络入侵创建早期预警指标
- 在安全架构设计中增加检测纵深
- 监控未授权的内部扫描或凭据盗窃
- 收集攻击者技术和工具的威胁情报（Threat Intelligence）
前置条件
- 用于蜜罐部署的 Linux 服务器或 VM（推荐 Ubuntu 22.04+）
- Python 3.8+，带 pip 用于安装 OpenCanary
- 用于 T-Pot 或容器化部署的 Docker
- 带适当 VLAN 配置的网络段
- 用于告警转发的 SIEM 集成（syslog、webhook 或文件）
- 允许入站连接到蜜罐服务的防火墙规则
工作流程
- 规划部署：选择蜜罐类型和网络放置策略。
- 安装蜜罐：在专用主机上部署 OpenCanary、Cowrie 或 T-Pot。
- 配置服务：启用模拟服务（SSH、HTTP、SMB、FTP、RDP）。
- 设置告警：配置日志转发到 SIEM 和告警渠道。
- 部署诱饵令牌：放置凭据文件、共享和 DNS 条目。
- 监控交互：分析蜜罐日志中的攻击者活动。
- 调优和维护：根据检测结果更新配置。
核心概念
| 概念 | 描述 |
|---|---|
| OpenCanary | 轻量级 Python 蜜罐，具有模块化服务模拟功能 |
| Cowrie | 中等交互 SSH/Telnet 蜜罐，捕获命令执行 |
| T-Pot | 多蜜罐平台，集成 ELK 可视化 |
| 诱饵令牌（Canary Token） | 被访问时发出告警的陷阱凭据或文件 |
| 低交互（Low-Interaction） | 在协议级别模拟服务，无完整操作系统 |
| 高交互（High-Interaction） | 完整操作系统蜜罐，捕获完整攻击者会话 |
工具与系统
| 工具 | 用途 |
|---|---|
| OpenCanary | 模块化蜜罐守护进程，支持服务模拟 |
| Cowrie | SSH/Telnet 蜜罐，带会话录制功能 |
| T-Pot | 一体化多蜜罐平台 |
| Dionaea | 捕获恶意软件的蜜罐，用于漏洞利用检测 |
| Splunk/Elastic | 用于蜜罐告警聚合的 SIEM |
输出格式
告警：HONEYPOT-[服务]-[日期]-[序号]
蜜罐：[主机名/IP]
服务：[SSH/HTTP/SMB/FTP/RDP]
源 IP：[攻击者 IP]
交互类型：[登录尝试/端口扫描/文件访问]
使用的凭据：[用户名:密码（如适用）]
执行的命令：[对于 SSH 蜜罐]
风险级别：[严重/高/中/低]