前面讲的都是”被动防御”：攻击者来了，设备拦或报。这一篇讲两类更”主动”的能力：蜜罐（主动设陷阱引攻击者暴露）和威胁情报（用外部已知的坏信息增强所有设备的判断力）。它们让防御从”等被打”变成”主动布网 + 借力打力”。
本文仅作原理与合规要点科普。蜜罐部署务必在你自有或已授权网络内，并严格隔离，避免被当成跳板攻击他人（可能担责）。
一、蜜罐：专门用来”被攻击”的系统
蜜罐（Honeypot） 是一台故意暴露弱点、模拟真实服务的”假目标”，目的不是扛业务，而是吸引攻击者、记录他的手法、提取他的 IOC（失陷指标）。
为什么有用：
- 早期预警：攻击者在蜜罐里的一举一动，说明”有人正在探测你的网络”，比真被攻破早知道。
- 取证与学习：记录攻击者的工具、命令、漏洞利用，用于研究和加固。
- 消耗攻击者精力：让他把时间浪费在假目标上。
- 提取 IOC：拿到攻击者用的 IP、域名、样本，反手喂给防火墙/WAF/IPS 封堵。
常见类型：
- 低交互蜜罐：只模拟服务响应（如假 SSH banner），安全但信息少。代表
Honeyd、各类开源蜜罐。 - 高交互蜜罐：真实系统带漏洞，攻击者能真的进来，信息极丰富但风险高，需强隔离。
- 蜜网（Honeynet）：一组蜜罐组成的网络，配合流量控制与监控。
- 专用蜜罐：如
WordPress蜜罐、数据库蜜罐、工控蜜罐，针对特定场景。
蜜罐部署的”红线”（极重要）
蜜罐是一把双刃剑——配置不当，它可能被攻击者当成跳板去打别人，让你背锅：
- 严格网络隔离：蜜罐只能和监控/日志系统通信，绝对不能让它访问真实业务网或互联网（防止被利用做反射/跳板）。
- 限流量与速率：限制出向连接，防止蜜罐被控后向外发起攻击。
- 法律合规：明确这是授权诱捕环境；对外不能造成实际危害；记录要能证明”我是受害者/研究者”而非攻击者。
- 不存真实数据：蜜罐里放的是诱饵假数据，绝不放真实用户信息。
一句话：蜜罐要”能引狼，但不能放狼出门”。隔离和限流是底线。
二、威胁情报：用已知的”坏”增强防御
威胁情报（Threat Intelligence） 是关于威胁的”已知信息”，最常用的是 IOC（失陷指标）：恶意 IP、域名、URL、文件哈希、攻击工具特征。
它怎么被用：
- 喂给防火墙/WAF/IPS：直接阻断命中 IOC 的流量。
- 喂给SIEM：日志里出现已知恶意 IP/域名，立刻高可信告警。
- 喂给EDR：样本哈希命中情报库，直接隔离。
- 内部产生的 IOC（如自己捕获的 C2）也可外发共享，帮助他人，也丰富生态。
情报的层次（从低到高价值）：
- 战术级 IOC：具体 IP/哈希，用于拦截（但易被攻击者换 IP 绕过）。
- 技术级：攻击工具、漏洞利用手法。
- 作战级：攻击者组织（APT）、动机、行动规律。
- 战略级：行业威胁趋势，用于高层决策。
新手先用好战术级 IOC 做拦截，再逐步建设更高层能力。
三、蜜罐 + 情报 = 主动闭环
两者天然互补：
- 蜜罐捕获攻击者 → 提取出新 IOC（新 C2 域名/样本哈希）。
- 把 IOC 写入威胁情报平台 → 推送给防火墙/WAF/SIEM/EDR。
- 全局部署立刻封堵该 IOC，真实业务得到保护。
- 同时情报平台积累，下次同类攻击一出现就识别。
这就是”诱捕产情报、情报强防御”的闭环，也是现代主动防御的典型形态。
常见误区
- 蜜罐不隔离：被控后成跳板攻击他人，部署者可能担责——这是最危险的误用。
- 蜜罐放真实数据：一旦被拖，造成真实泄露。
- 情报只进不出：只用别人情报，不贡献自己的 IOC，浪费了蜜罐产出的价值。
- 迷信 IOC 拦截：攻击者换个 IP 就绕过，必须配合行为检测（EDR/SIEM 关联）。
进阶：威胁情报平台（TIP）与共享
企业可部署 TIP（威胁情报平台） 统一收口内外情报，用标准格式（如 STIX/TAXII）交换。参与行业/国家威胁信息共享（如 CNCERT 通报机制），能在攻击大规模爆发前拿到预警——这是合规（等保、关基保护）也鼓励的方向。
自测题
- 蜜罐的核心价值是什么？它和真实业务系统有何本质区别？
- 为什么蜜罐部署必须严格隔离和限流？不这么做会怎样？
- IOC 在防御链路里通常被喂给哪些设备？
- “蜜罐产情报、情报强防御”的闭环是怎么形成的？
实战要点与深度解析
蜜罐部署里最危险也最常见的翻车，是**“忘记隔离，蜜罐变跳板”**。攻击者进来后发现这是蜜罐，但他能借此进一步攻击真实目标——因为你的蜜罐网络没隔离，他顺手就拿蜜罐当跳板打内网、甚至对外发起攻击。这时日志里出现的”攻击源”是你自己，锅可能落到你头上。所以蜜罐的”出向”必须严格限制（限速、限目标、最好完全禁出向），让它”能引狼进来、不能放狼出去”。这是蜜罐部署不可逾越的红线。
再谈一个现实价值：蜜罐是”未知威胁”的探测器。IDS/IPS 靠已知特征，对 0day、对新手法往往看不见；而蜜罐因为”本来就不该有人来”，任何访问都是可疑的，能最早暴露”有攻击者在探测你的网段""出现了某个新的利用手法”。很多单位的蜜罐第一个月就能抓到内网里早已潜伏的扫描器、或被感染主机的外联尝试——这些是传统设备沉默的盲区。
关于 蜜罐的”诱饵数据”设计。高交互蜜罐里放什么，很有讲究：放得太假（一眼看出是假的），攻击者不碰；放得像真的（含”假客户数据库""假运维脚本”），才能引他深入、暴露更多手法。但切记：诱饵数据必须是假的、无害的，绝不能放任何真实用户信息——否则一旦蜜罐被拖，就变成真实的数据泄露事件，本末倒置。
还有一个进阶玩法：蜜罐即传感器，融入威胁情报生产。把蜜罐捕获的 C2 域名、样本哈希、攻击工具特征，自动推送到你的防火墙/WAF/IPS/SIEM 做封堵，同时脱敏后共享到行业/国家威胁情报平台。这样你用一台假机器，换来了全网（包括别人捕获的）情报来增强自己——“用小诱饵钓大情报”，是主动防御性价比极高的形态。
最后提醒：蜜罐不是”部署了就完”。它需要有人看、有流程把捕获转成 IOC、有机制把 IOC 分发。很多单位蜜罐上线热闹了两天，之后告警没人理，慢慢成了”僵尸蜜罐”。把它接入 SIEM、设好告警路由、指定负责人，蜜罐才真正活起来，成为你防御体系里那只”永远睁着的眼睛”。
这一篇你该记住的
- 蜜罐：故意暴露的假目标，用于早期预警、取证、消耗攻击者、提取 IOC。
- 类型：低交互（安全信息少）/高交互（丰富但风险高）/蜜网/专用蜜罐。
- 蜜罐红线：严格隔离（不能访问真实网/互联网）、限流限速、合规、不放真实数据——“能引狼不能放狼出门”。
- 威胁情报：用已知 IOC（恶意 IP/域名/哈希）增强防火墙/WAF/IPS/SIEM/EDR 判断力；分战术/技术/作战/战略四层。
- 闭环：蜜罐捕攻击→提取 IOC→推情报平台→全局封堵→共享预警。
- 误区：蜜罐不隔离（变跳板）、放真实数据、情报只进不出、迷信 IOC 忽略行为检测。
到此，安全设备子分类讲完：从总论部署、防火墙/WAF、IDS/IPS、SIEM、EDR/堡垒机/漏扫，到蜜罐/情报。下一套内容我们进入 等级保护——把前面所有防御动作，落到国家标准的合规框架里。