适用场景

蜜罐的价值是"低成本高信噪比"：正常业务永远不会访问它，一旦有人来，几乎可以确定是攻击行为。

配置步骤（运营与情报提取）

# 1) 定期归纳攻击手法（弱口令字典、常见漏洞利用）
# 2) 提取 IOC：源 IP、User-Agent、样本哈希
# 3) 反哺：更新 WAF/IPS 规则、加固弱口令、补丁计划
# 4) 合规：蜜罐采集的数据按合规要求保存与使用

关键参数与建议

  • 选型：低交互（模拟服务）成本低、高交互（真实系统）信息多但风险高
  • 部署位置：与业务同网段但不在业务路径上，伪装成"看起来有用"的系统
  • 诱饵：弱口令、假数据库、假配置文件、假凭据
  • 告警：任何访问都值得关注，区分扫描与深度交互
  • 运营：定期更新诱饵、分析攻击手法、联动封禁

容易踩的坑

  • 部署后无人分析，只是「装了个靶子」
  • 提取的 IOC 不反哺防护规则
  • 采集数据涉及个人信息，未做合规处理

验证与巡检

# 证据：月度蜜罐分析报告、规则更新记录
  • 巡检：分析频率、规则更新、数据合规处理

小结

蜜罐的产出有两类：入侵预警（有人在内网活动）与攻击情报（攻击者用什么手法）。前者是安全价值，后者用于加固与检测。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。