攻防演练中的蜜罐，不在于他有多蜜，而在于他有多密
在电影《达芬奇密码里》，馆长在临死前透露Keystone在巴黎圣苏比教堂里的玫瑰经线下，实际上这就是一个蜜罐，通过圣杯守护者投递，一旦有人去取，就会触发反制。
蜜罐出现比较老了，以前没什么用，但是现在又开始火了。
如果攻防演练的时候你没有蜜罐，那你可能一开始就输了。
虽然你可能在各个区域都部署了全流量探针，但是你还是需要一个蜜罐。
- 一个独立的系统，作为全流量分析的补充，防止你全流量探针挂掉的时候他还是工作的，而且这个系统是简单的
- 成本远低于全流量探针，在树莓派上安装个免费开源的分布式蜜罐，就可以二级单位乱放
蜜和密
攻防演练中的蜜罐，不在于他有多蜜，而在于他有多密！！！
而这个密，也包含两重意思。
蜜我们可以认为是仿真度，但是仿真度意义不大。
为什么甜蜜的“蜜”没有意义
攻防中，我们部署蜜罐的目的在于
- 消耗攻击队资源
- 发现攻击队《ATT&CK网络攻击入侵分类说明指南》里面说到的Discovery，也就是内网扫描
- 溯源反制
只有最长的那条才是最重要的。蜜罐仿真的成本很高，定制类的仿真不亚于一个系统建设的成本，但是不管怎么样，还是很容易被攻击队识别到。所以，有钱也不要投入在这里。
“密”所包含的两重意思：密集和秘密
能有多密集？？？
蜜罐的形态有高交互蜜罐、低交互蜜罐和无交互蜜罐，部署位置或者说入口可以是外网、内网、主机、域名子目录、邮件账户、GitHub、服务器或者终端桌面、数据库或配置文件中。
所以可以密集到排列组合上面的所有组合。
高交互蜜罐
高交互蜜罐只是用来消耗攻击队时间，不处置，因为扫描导致的误报率太高了，所以布了就算了，可以部署在外网，内网。
部署在外网的，需要考虑监管部门的通报，部署使用的域名可以使用历史上有出过问题，在网络空间资产搜索引擎里被记录存在问题的域名。
一旦攻击队在网络空间资产搜索引擎里查到问题域名，他就会陷入。
高交互蜜罐从系统二级目录引流
比如把门户网站的/admin目录导向蜜罐，如果你是使用反向代理，这个事情做起来比较容易。
低交互蜜罐分布式部署到各个安全域
使用分布式蜜罐，每个二级单位放一个，每个网段放一个，把所有空余IP全部利用起来，如果一个C段有10个IP是业务IP，那蜜罐就监听255-10吧！
主机EDR类起端口型蜜罐
如果你蜜罐部得多，攻击队会变得小心，他只会扫描他所控制的服务器历史上连接过的IP，这时候主机EDR监测就起到很大的作用了。
邮件诱饵发到每个账户
发送类似“VPN账户信息”到部分账户。
文件诱饵放到每个服务器、每个终端
不嫌麻烦，你投递诱饵的同时，实际上也是在向终端用户宣贯，不要把明文密码放在邮件系统和电脑里。
蜜标放在数据库内
比如把蜜标放到用户表里，一旦有人拖库，从审计平台可能可以感知到。
需要多秘密？？？
- 不要告诉别人你布了蜜罐（我是违反了这条规则了。。。），采购蜜罐的招投标项目名字换个吧，提醒蜜罐厂商从他的官网和PPT案例库里把你删除掉
- 蜜罐监听的端口最好不要有任何回应，黑暗森林法则，有回应，就会被识别。退化到只检测
- 邮件诱饵不要放跟踪代码，太容易被识别，Word、PDF还可。
- 可以经常变换IP，业务和蜜罐IP都可以变
这么多蜜罐，看起来好乱
蜜罐部得太多，特别是起了很多IP、网站和二级目录，会对你的网络环境有很大的干扰，但是这个没关系，互联网上从来就是垃圾比有用的多得多，你需要使用一个系统管理起来。
在前面说到的投递、变更和回收，如果你有反代，有EDR，这些事情会比较容易做。比如反代有API，你一秒可以部署很多个二级目录的蜜罐入口出来。
比如邮件诱饵的投递，如果你只是群发邮件，那邮件发送的时间太接近攻防演练时间，邮件的内容变更麻烦，回收麻烦。如果邮件系统天然支持邮件诱饵的投递，那一切会变得简单，比如可以任意伪造发送时间，打开邮件跟踪，就放在系统直接做掉。