# Implementing Network Deception With Honeypots

> 使用 OpenCanary、T-Pot 或 Cowrie 部署和管理网络蜜罐（Honeypot），以检测未授权访问、横向移动和攻击者侦察活动。

- Skill: `killvxk/implementing-network-deception-with-honeypots` (Agent Skill, multi-file: 4 files)
- Install (CLI): `npx skillmds@latest add killvxk/implementing-network-deception-with-honeypots`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/implementing-network-deception-with-honeypots/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/implementing-network-deception-with-honeypots

---


# 使用蜜罐实施网络欺骗

## 适用场景

- 部署欺骗技术以检测横向移动（Lateral Movement）
- 为网络入侵创建早期预警指标
- 在安全架构设计中增加检测纵深
- 监控未授权的内部扫描或凭据盗窃
- 收集攻击者技术和工具的威胁情报（Threat Intelligence）

## 前置条件

- 用于蜜罐部署的 Linux 服务器或 VM（推荐 Ubuntu 22.04+）
- Python 3.8+，带 pip 用于安装 OpenCanary
- 用于 T-Pot 或容器化部署的 Docker
- 带适当 VLAN 配置的网络段
- 用于告警转发的 SIEM 集成（syslog、webhook 或文件）
- 允许入站连接到蜜罐服务的防火墙规则

## 工作流程

1. **规划部署**：选择蜜罐类型和网络放置策略。
2. **安装蜜罐**：在专用主机上部署 OpenCanary、Cowrie 或 T-Pot。
3. **配置服务**：启用模拟服务（SSH、HTTP、SMB、FTP、RDP）。
4. **设置告警**：配置日志转发到 SIEM 和告警渠道。
5. **部署诱饵令牌**：放置凭据文件、共享和 DNS 条目。
6. **监控交互**：分析蜜罐日志中的攻击者活动。
7. **调优和维护**：根据检测结果更新配置。

## 核心概念

| 概念 | 描述 |
|------|------|
| OpenCanary | 轻量级 Python 蜜罐，具有模块化服务模拟功能 |
| Cowrie | 中等交互 SSH/Telnet 蜜罐，捕获命令执行 |
| T-Pot | 多蜜罐平台，集成 ELK 可视化 |
| 诱饵令牌（Canary Token） | 被访问时发出告警的陷阱凭据或文件 |
| 低交互（Low-Interaction） | 在协议级别模拟服务，无完整操作系统 |
| 高交互（High-Interaction） | 完整操作系统蜜罐，捕获完整攻击者会话 |

## 工具与系统

| 工具 | 用途 |
|------|------|
| OpenCanary | 模块化蜜罐守护进程，支持服务模拟 |
| Cowrie | SSH/Telnet 蜜罐，带会话录制功能 |
| T-Pot | 一体化多蜜罐平台 |
| Dionaea | 捕获恶意软件的蜜罐，用于漏洞利用检测 |
| Splunk/Elastic | 用于蜜罐告警聚合的 SIEM |

## 输出格式

```
告警：HONEYPOT-[服务]-[日期]-[序号]
蜜罐：[主机名/IP]
服务：[SSH/HTTP/SMB/FTP/RDP]
源 IP：[攻击者 IP]
交互类型：[登录尝试/端口扫描/文件访问]
使用的凭据：[用户名:密码（如适用）]
执行的命令：[对于 SSH 蜜罐]
风险级别：[严重/高/中/低]
```