蜜标.

蜜标是嵌入真实系统中的欺骗性构件,因此从设计上讲,对它的任何使用都属于恶意或异常。该术语由 Augusto Paes de Barros 在 2003 年 2 月与 Honeynet Project 的 Lance Spitzner 在一次邮件列表交流中提出,将蜜罐思路从整个系统延伸到单个数据项。示例包括放置的用户账号、伪造的数据库行、诱饵云访问密钥、带水印的文档,以及在被解析时发出信标的 DNS 记录。

flowchart LR
  P[在仓库/共享/数据库中<br/>放置蜜标] --> W[等待:无合法使用]
  W --> X((攻击者发现<br/>并使用))
  X --> T[使用触发<br/>高保真告警]
  T --> IR[应急响应:定位来源、<br/>界定失陷范围]

由于蜜标是惰性的,合法进程从不触碰,因此几乎不产生误报,并能对凭据窃取、数据暂存或内部滥用给出高保真的早期信号。一个实用模式是 AWS canary 密钥:放置的 IAM 密钥,其使用由 CloudTrail 捕获;Thinkst Canarytokens 推广了免费、可自托管的版本(URL、文档和 AWS 密钥令牌)。蜜标将可见性延伸到日志稀缺的地方——第三方 SaaS、代码仓库和备份——并可映射到 ATT&CK 的 Decoy 防御技术。注意事项:令牌必须看似可信,但正常工作流永远不应触及它;泄露凭据扫描器或疏忽的 CI 流水线可能误触发,因此每条告警仍需结合其放置位置进行研判。