蜜罐

本文约需 2 分钟阅读

蜜罐 (Honeypot) 是为引诱攻击者并分析其手法而有意部署的诱饵系统。它在与生产环境隔离的环境中模拟存在漏洞的服务，收集攻击者的行为模式、使用的工具、瞄准的漏洞等信息。截至 2025 年，云原生蜜罐服务以及利用蜜标 (伪造的认证信息) 的检测手段已广泛普及，是防御方学习攻击者手法的重要威胁情报来源。

为什么对蜜罐的通信是检测的决定性信号

蜜罐是不承担任何业务角色的诱饵，正规用户和正常运行的系统没有任何理由去访问它。因此，对蜜罐的通信本身就是可信度很高的异常信号。普通的服务器监控需要从大量正常通信中甄别攻击迹象，而对诱饵的连接原本就是不应发生的通信，一旦被观测到，就可以将发起通信的终端视为恶意软件感染或非法访问的可疑起点，从而缩小调查和隔离等初期处置的对象范围。这种较低的误报率，正是蜜罐能够作为异常检测机制发挥作用的基础。

蜜罐的部署架构

蜜罐的种类

低交互蜜罐只是模拟服务响应的简易系统，部署容易但能收集的信息有限。高交互蜜罐运行真实的操作系统和服务，可以记录攻击者的详细行为，但管理复杂，且存在被攻击者当作跳板滥用的风险。蜜网是将多个蜜罐组成网络的配置，可再现更接近真实的环境。

实务中的应用场景

某企业在内部网络中部署蜜罐，构建了检测来自内部的非法访问的机制。通过检测对正规用户本不应访问的服务器的连接，成功实现了对恶意软件感染和内部违规行为的早期发现。在云环境中，部署伪造的 API 端点和伪造的认证信息 (蜜标) 以检测被泄露认证信息的非法使用的手法也已普及。这是加快事件响应初期处置的有效手段。

运维上的注意事项

蜜罐必须与生产环境完全隔离，并严密管理，以防攻击者将其作为跳板侵入其他系统。分析收集到的日志需要专业知识，与SIEM 联动可提高效率。请用强随机密码保护蜜罐的管理界面，注意不要让攻击者夺取管理权限。作为零信任安全的一环，它可用于网络内的异常检测。