蜜罐

蜜罐是一种欺骗性资产,模拟真实的服务器、应用程序或数据,因此任何对它的访问本身都属于可疑行为。低交互蜜罐仅模拟有限的服务,用于发现扫描和常见恶意软件;高交互蜜罐则运行完整的操作系统,以捕获高级攻击者的行为。防御方利用收集到的遥测数据提取入侵指标、研究 TTP,并用于检测工程。蜜罐必须与生产网络隔离,避免被攻击者用作跳板,其结果通常会汇入 SIEM 或威胁情报平台。