部署蜜罐
设置诱饵
部署蜜罐 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
规划部署
部署蜜罐应从明确目标开始：检测入侵、收集情报或拖慢攻击者。目标决定您选择的类型、放置位置和监控方式。没有计划的诱饵只会增加噪声和风险。
选择放置位置
位置决定您能捕获什么：
- 外部 / DMZ：可以发现来自互联网的扫描和无目标攻击。
- 内部：可以捕获横向移动和内部人员活动，这是价值最高的信号。
靠近敏感资产放置的内部诱饵通常能提供最佳告警。
让诱饵看起来可信
令人信服的诱饵应融入环境：
- 真实的主机名和 IP 范围。
- 合理的开放端口和服务标识。
- 具有诱惑力但虚假的内容（例如管理员共享目录和数据库）。
过于明显的陷阱只能捕获最懒散的攻击者。
网络隔离
必须对蜜罐进行分段，以免遭到入侵后扩散。请使用 VLAN 或独立子网，并控制出站流量，确保诱饵绝不能被用于攻击真实系统或第三方。
# conceptual firewall stance for a honeypot subnet
# allow inbound to honeypot from anywhere (to lure)
# deny outbound from honeypot to production
# deny outbound from honeypot to internet (or log+limit)部署蜜标记
除了系统之外，还应散布蜜标记：
- 放在配置文件和密码管理器中的虚假凭据。
- 文件共享中的金丝雀文档。
- 数据库中的诱饵数据行。
这些不需要基础设施，遭到滥用时会立即告警。
日志记录与告警
只有捕获并呈现活动，蜜罐才有用。请将所有诱饵日志转发到 SIEM，并配置高优先级告警，因为按设计每次交互都可疑。
避免产生虚假的安全感
蜜罐用于检测，而不是防御。蜜罐没有活动并不意味着您是安全的，攻击者可能只是避开了它。请将诱饵视为一种信号，而不是安全性的证明。
维护
诱饵会逐渐失效。请保持其真实和最新：
- 轮换内容和凭据。
- 为仿真工具安装补丁。
- 确认它们仍可访问并且正在记录日志。
过时或损坏的蜜罐很容易被识别。
隔离失败
最糟糕的结果是高交互蜜罐被用作攻击其他目标的跳板。请为失败情况制定计划：
- 限制并监控出站流量。
- 创建快照进行分析，然后干净地重建系统。
- 准备隔离紧急开关。
通过自动化扩展
现代欺骗平台可以自动部署和管理大量诱饵，定期刷新诱饵，并大规模模拟真实环境。这样无需逐台主机手动维护，也能让诱饵保持可信。
衡量价值
请根据结果评估这项计划：
- 生成了高保真告警。
- 比其他工具更早检测到攻击。
- 收集到了有关攻击技术的情报。
请根据实际触发的情况调整放置位置和内容。
快速检查
应用部署最佳实践。
回顾
部署蜜罐需要规划和隔离：
- 放置诱饵（通常在内部），以捕获横向移动。
- 让诱饵看起来可信，同时进行网络隔离。
- 散布蜜标记，以低成本获得即时告警。
- 将日志转发到 SIEM，维护诱饵，并控制出站流量。
常见问题解答
「部署蜜罐」课时是免费的吗？
是的 — 「部署蜜罐」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「部署蜜罐」这节课中我会学到什么？
设置诱饵 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「部署蜜罐」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。