蜜罐

本文约需 2 分钟阅读

蜜罐 (Honeypot) 是为引诱攻击者并分析其手法而有意部署的诱饵系统。它在与生产环境隔离的环境中模拟存在漏洞的服务，收集攻击者的行为模式、使用的工具、瞄准的漏洞等信息。截至 2025 年，云原生蜜罐服务以及利用蜜标 (伪造的认证信息) 的检测手段已广泛普及，是防御方学习攻击者手法的重要威胁情报来源。

现场使用案例

“通过检测对部署在内部网络中的蜜罐的访问，我们成功识别出了感染恶意软件的终端。由于发生了对正规用户本不应访问的服务器的通信，我们在感染后 30 分钟内成功完成了检测与隔离。”

蜜罐的部署架构

蜜罐的种类

低交互蜜罐只是模拟服务响应的简易系统，部署容易但能收集的信息有限。高交互蜜罐运行真实的操作系统和服务，可以记录攻击者的详细行为，但管理复杂，且存在被攻击者当作跳板滥用的风险。蜜网是将多个蜜罐组成网络的配置，可再现更接近真实的环境。蜜罐安全书籍 (Amazon)可以帮助你学习构建方法。

实务中的应用场景

某企业在内部网络中部署蜜罐，构建了检测来自内部的非法访问的机制。通过检测对正规用户本不应访问的服务器的连接，成功实现了对恶意软件感染和内部违规行为的早期发现。在云环境中，部署伪造的 API 端点和伪造的认证信息 (蜜标) 以检测被泄露认证信息的非法使用的手法也已普及。这是加快事件响应初期处置的有效手段。

运维上的注意事项

蜜罐必须与生产环境完全隔离，并严密管理，以防攻击者将其作为跳板侵入其他系统。分析收集到的日志需要专业知识，与SIEM 联动可提高效率。请用强随机密码保护蜜罐的管理界面，注意不要让攻击者夺取管理权限。作为零信任安全的一环，它可用于网络内的异常检测。入侵检测指南 (Amazon)也很有参考价值。