1.蜜罐定义
蜜罐系统或蜜罐技术在网络攻防中扮演着重要角色，它是一种主动的防御策略，旨在通过模拟易受攻击的系统、服务或信息来吸引并诱骗潜在的攻击者。蜜罐系统是一种网络安全技术，旨在诱使攻击者攻击虚假或特意弱化的系统，从而收集有关攻击者行为和策略的信息。这些系统被用于网络防御和安全研究，有助于识别潜在的网络威胁并改进防御策略。
2.蜜罐系统分类
蜜罐系统可以分为两类：高交互蜜罐和低交互蜜罐。
高交互蜜罐：这种类型的蜜罐模拟完整的操作系统环境，提供了丰富的服务和功能，与真实系统几乎无法区分。攻击者与高交互蜜罐进行交互时，其活动被记录和监视，以获取关于攻击者技术、意图和策略的详细信息。
低交互蜜罐：低交互蜜罐模拟了有限的服务和功能，通常仅限于模拟特定的漏洞或服务。这种类型的蜜罐虽然不能提供与真实系统完全相同的体验，但由于其轻量级和易于部署的特点，仍然是收集攻击信息的有效工具。
3.基本概念
欺骗与监控：蜜罐的核心在于设置陷阱，这些陷阱对攻击者而言看似是具有吸引力的真实目标，但实际上是为了监控和记录攻击行为而特意设计的。
信息收集：通过蜜罐，防御者可以收集关于攻击者工具、战术、技术和程序（TTPs）的宝贵情报，包括攻击入口点、漏洞利用方式、横向移动策略等。
风险隔离：蜜罐通常不包含任何真实或敏感数据，因此即使被攻破也不会造成实际损害，同时保护了真实的系统和资产。
4.蜜网（Honeynet）
蜜网是蜜罐技术的扩展，它不是一个单独的系统，而是一个由多个相互连接的蜜罐组成的网络，能够提供更全面的监控和分析环境。
这个网络系统可能包括多种类型的蜜罐，每个都有特定的设计目标，用于捕捉不同类型的攻击或针对不同层次的威胁。
蜜网增加了攻击者识别的难度，同时提供了更深入的视角来观察攻击者的行为模式。
5.使用目的
早期预警：蜜罐能够作为网络安全的前哨站，预警潜在的威胁。
攻击分析：收集的攻击数据有助于安全团队理解新兴威胁，及时修补漏洞，优化防御措施。
消耗攻击资源：通过吸引并占用攻击者的注意力和资源，蜜罐可以分散对真正关键系统的攻击压力。
法律证据：记录的攻击活动可以作为法律诉讼中的证据。
6.实现原理
伪装与仿真：蜜罐模仿真实系统的服务和响应，让攻击者信以为真。
监控与日志：系统详尽记录所有与蜜罐的交互，包括网络包、系统日志、命令行操作等。
数据分析：利用自动化工具和人工分析来解析收集的数据，识别攻击模式和趋势。
一些常见的蜜罐产品包括：
Cowrie: Cowrie 是一个基于 Python 的 SSH/Telnet 蜜罐，旨在模拟 SSH 和 Telnet 服务，并记录攻击者的行为。
Honeyd: Honeyd 是一个虚拟蜜罐框架，可以模拟各种网络服务，并产生大量的虚假网络流量，以吸引攻击者。
Kippo: Kippo 是一个交互式 SSH 蜜罐，可以模拟 SSH 服务，并记录攻击者的输入和行为，以便分析和防御。
Glastopf: Glastopf 是一个 Web 应用蜜罐，可以模拟各种 Web 服务，并记录攻击者的 Web 请求和攻击行为。
Thug: Thug 是一个低交互式蜜罐，可以模拟 Web 浏览器，并记录恶意网站的行为和攻击代码。
DTK (Damn Vulnerable Linux)：一个故意设计漏洞的Linux发行版，常用于蜜罐部署和安全教育。
Conpot：专注于工业控制系统的蜜罐，模拟SCADA系统来检测针对工控网络的攻击。
