implementing-network-deception-with-honeypots

name	implementing-network-deception-with-honeypots
description	使用 OpenCanary、T-Pot 或 Cowrie 部署和管理网络蜜罐（Honeypot），以检测未授权访问、横向移动和攻击者侦察活动。
domain	cybersecurity
subdomain	deception-technology
tags	["deception","honeypot","opencanary","cowrie","t-pot","detection","lateral-movement","network-security"]
version	1.0
author	mahipal
license	Apache-2.0

使用蜜罐实施网络欺骗

适用场景

• 部署欺骗技术以检测横向移动（Lateral Movement）
• 为网络入侵创建早期预警指标
• 在安全架构设计中增加检测纵深
• 监控未授权的内部扫描或凭据盗窃
• 收集攻击者技术和工具的威胁情报（Threat Intelligence）

前置条件

• 用于蜜罐部署的 Linux 服务器或 VM（推荐 Ubuntu 22.04+）
• Python 3.8+，带 pip 用于安装 OpenCanary
• 用于 T-Pot 或容器化部署的 Docker
• 带适当 VLAN 配置的网络段
• 用于告警转发的 SIEM 集成（syslog、webhook 或文件）
• 允许入站连接到蜜罐服务的防火墙规则

工作流程

1. 规划部署：选择蜜罐类型和网络放置策略。
2. 安装蜜罐：在专用主机上部署 OpenCanary、Cowrie 或 T-Pot。
3. 配置服务：启用模拟服务（SSH、HTTP、SMB、FTP、RDP）。
4. 设置告警：配置日志转发到 SIEM 和告警渠道。
5. 部署诱饵令牌：放置凭据文件、共享和 DNS 条目。
6. 监控交互：分析蜜罐日志中的攻击者活动。
7. 调优和维护：根据检测结果更新配置。

核心概念

概念	描述
OpenCanary	轻量级 Python 蜜罐，具有模块化服务模拟功能
Cowrie	中等交互 SSH/Telnet 蜜罐，捕获命令执行
T-Pot	多蜜罐平台，集成 ELK 可视化
诱饵令牌（Canary Token）	被访问时发出告警的陷阱凭据或文件
低交互（Low-Interaction）	在协议级别模拟服务，无完整操作系统
高交互（High-Interaction）	完整操作系统蜜罐，捕获完整攻击者会话

工具与系统

工具	用途
OpenCanary	模块化蜜罐守护进程，支持服务模拟
Cowrie	SSH/Telnet 蜜罐，带会话录制功能
T-Pot	一体化多蜜罐平台
Dionaea	捕获恶意软件的蜜罐，用于漏洞利用检测
Splunk/Elastic	用于蜜罐告警聚合的 SIEM

输出格式

告警：HONEYPOT-[服务]-[日期]-[序号]
蜜罐：[主机名/IP]
服务：[SSH/HTTP/SMB/FTP/RDP]
源 IP：[攻击者 IP]
交互类型：[登录尝试/端口扫描/文件访问]
使用的凭据：[用户名:密码（如适用）]
执行的命令：[对于 SSH 蜜罐]
风险级别：[严重/高/中/低]