欺騙技術能賦予防御者其他防護技術所不具備的優勢：通過布置滿是鮮香美味誘餌的雷區，誘使攻擊者暴露出自身意圖和手段，實現早期準確檢測。FBI和其他頂級司法機構早已使用此類技術誘捕兒童色情犯和金融大盜一類的罪犯了。

[[252974]]

設置誘餌的目的，是為了捕獲攻擊者了解網絡時的早期動作及其發現目標的方法。網絡攻擊的早期階段也可以稱作“現場偵察”，打斷這一階段最終可以減少潛在攻擊的駐留時間，對數據保護工作而言至關重要。防御者可以觀察正在發生的事，更深入地了解攻擊的本質，更透徹地理解攻擊者在網絡甚或在云文件共享環境中移動的方式。

越來越多的公司企業開始將欺騙作為填補現有安全解決方案空白的一種方式，將之作為數據防丟失、加密、訪問管理和用戶行為分析等安全解決方案的一種補充。但安全團隊如何確定哪種欺騙技術是最適合自家公司的呢?

定義“蜜”環境

當前，欺騙技術市場中絕大多數產品都主要著眼打造復雜的“蜜”環境，旨在引誘攻擊者進入虛假系統，轉移并記錄其攻擊行為。

1. 蜜罐

蜜罐是與網絡毗連的系統，用以引誘攻擊者并檢測、轉移或研究黑客的攻擊嘗試。蜜罐按與入侵者的互動程度分為不同類型。設計恰當的話，蜜罐可以阻止攻擊者訪問公司運營網絡中的受保護區域。配置良好的蜜罐應具備公司生產系統中的多個相同組件，尤其是數據。蜜罐最大的價值就是能獲取到攻擊者行為及意圖的相關信息。進出蜜罐的數據可使安全人員收集到這些信息，比如攻擊者的擊鍵記錄、在虛假蜜罐系統中橫向移動的嘗試動作等。

2. 蜜網

蜜網是由多個蜜罐組成的真實網絡的模擬。基本上，蜜網就是模仿公司網絡中常會出現的多臺服務器環境的大規模網絡誘餌。SANS 2017 報告《蜜罐狀態：理解今日蜜罐技術使用》中寫道：“蜜網連接與交互的方式與真實網絡無異——系統間所有連接都沒模擬。”SANS報告按10分制請蜜罐用戶為蜜罐和蜜網有效性評分，在總體有效性上蜜網得分7.5。與蜜罐類似，蜜網最大的價值就是安全團隊能從中收集到的有關攻擊者行為的情報。

只要構建并維護良好，蜜環境可供安全團隊觀察攻擊者巡游網絡搜索數據并滲漏出去的方法。但有個前提：攻擊者要上鉤——進入蜜網。

蜜環境痛點

蜜環境的部署、管理和維護面臨幾個重大挑戰與痛點。在購買欺騙技術之前，你得好好分析一番成本效益。

首先，雖然蜜環境是在企業運營環境之外構建與維護，蜜網仍需黑客初步突破運營環境。公司企業最好期望通往蜜網的面包屑足夠誘人，能夠切實引誘到黑客。另外，一旦黑客離開虛假環境，我們沒辦法知道他/她還會不會重新進入該運營環境以繼續攻擊，也不會知道他/她在被誘餌面包困住前可能滲漏出了什么數據。

• 其次，創建這些環境所需的成本與資源可能會給本就不堪重負的安全團隊又套上一層枷鎖。想讓攻擊者相信蜜網是真實公司網絡，公司企業建立的蜜環境就必須模擬運營環境。于是，該環境也必須有人維護以保持其“真實性”。維持蜜網運轉所需的投入與保養可沒那么輕松。
• 再次，蜜環境能提供的攻擊者相關數據的有用程度是有限的。蜜網確實是了解攻擊者如何在系統內搜羅數據的好方法，但攻擊者的真實身份和數據被盜后會被攻擊者作何用途，就不能靠蜜網探知了。
• 最后，攻擊者越來越精于分辨蜜環境特征。真正危險的黑客往往瞄準他們確知是真實機器的特定IP地址。黑客很容易分辨某主機是不是企業網絡中的蜜罐，因為這些機器要么沒有出站流量，要么偽裝流量沒遵循正常使用模式，顯得很不自然。想要讓蜜網發揮自己的價值，入侵者就不應該感覺到自己處在虛假系統中。蜜網環境應給攻擊者一種虛假的真實感和安全感，讓他/她覺得自己沒被發現或沒被監視。

在現實世界中欺騙

在運營環境和云環境中部署欺騙技術，可使安全團隊檢測并欺騙直奔敏感數據而去的攻擊者，而不是寄希望于攻擊者被誘導到其他地方。在運營網絡中部署可信誘餌文檔能提供蜜罐和蜜網的所有好處，且不用創建和維護虛假環境。

不依賴蜜環境的欺騙還可用于主動反擊黑客和泄密者。攻擊者依靠各種各樣的工具保持匿名，這些工具往往能帶來大膽攻擊的成功。不局限于虛假環境的欺騙技術可穿透這些工具，暴露出攻擊者，且攻擊者往往還毫無所覺。這就給公司企業和司法機構釘死黑客和泄密者提供了特別的優勢。

SANS 2017 報告《蜜罐狀態：理解今日蜜罐技術使用》：

https://www.sans.org/reading-room/whitepapers/detection/state-honeypots-understanding-honey-technologies-today-38165

【本文是51CTO專欄作者“”李少鵬“”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】

戳這里，看該作者更多好文