蜜罐是主動出擊的網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者工具箱中的另一件工具，他們借此深入了解黑客行為，并幫助減輕企業(yè)的風(fēng)險。

在網(wǎng)絡(luò)安全領(lǐng)域，我們花費大量時間專注于預(yù)防控制——修補(bǔ)漏洞、實施安全配置，并執(zhí)行其他“最佳實踐”來降低企業(yè)面臨的風(fēng)險。這些做法非常重要且必要，但有必要強(qiáng)調(diào)的是，近距離親自觀察現(xiàn)實世界中的惡意活動和對手行為同樣重要。

實現(xiàn)這一目標(biāo)的最佳方式之一就是使用蜜罐。美國國家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)將蜜罐定義為：“一種系統(tǒng)或系統(tǒng)資源，旨在吸引潛在的黑客和入侵者，就像蜂蜜吸引熊一樣。”有趣的是，許多高級持續(xù)性威脅企業(yè)(APT)的名稱中都包含“熊”這個詞，這真是一種巧合，卻又十分貼切。

蜜罐通常指的是整個系統(tǒng)或環(huán)境。而蜜標(biāo)(Honeytokens)則通常是特定的文件、數(shù)據(jù)和其他對象，它們以類似的方式被用作誘餌，引誘惡意行為者，并獲取有關(guān)他們的寶貴信息。不過，在本文中，為避免細(xì)微差別，我們將廣義地使用“蜜罐”一詞。

為何使用蜜罐?

預(yù)防控制至關(guān)重要，這與行業(yè)趨勢以及信息共享和分析中心(ISAC)等企業(yè)提供的更廣泛情報相一致，但使用蜜罐(及其相關(guān)的蜜標(biāo))還有許多其他有價值的原因，其中最重要的是，從你自己的企業(yè)、運營環(huán)境和系統(tǒng)中獲取的直接威脅情報，是其他方式難以比擬的。

網(wǎng)絡(luò)安全防御者可以通過利用蜜罐及其變體，直接了解針對其企業(yè)的惡意行為者所使用的各種工具、技術(shù)和程序(TTP)。

蜜罐通常在更廣泛的企業(yè)架構(gòu)內(nèi)的受限和控制環(huán)境中部署。這使得防御者能夠捕獲特定的法醫(yī)證據(jù)以供分析和進(jìn)一步研究，并提供關(guān)鍵的早期風(fēng)險指標(biāo)。這些指標(biāo)可能包括試探網(wǎng)絡(luò)資源、訪問敏感數(shù)據(jù)或利用系統(tǒng)漏洞的嘗試。

鑒于美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)最近的報告指出，最常見的被利用漏洞越來越多地是零日漏洞，即這些漏洞在被利用時還未公開為人所知，因此這一點尤其有用。因此，企業(yè)需要除了已知的利用嘗試和活動漏洞之外的額外指標(biāo)和洞見。

防御者可以利用從蜜罐中獲得的洞見，采取額外的安全措施或修改現(xiàn)有的安全控制和工具，以應(yīng)對他們實際觀察到的惡意活動。

蜜罐可以引誘攻擊者遠(yuǎn)離關(guān)鍵系統(tǒng)

除了為防御者提供關(guān)鍵的威脅情報外，蜜罐還常常作為一種有效的欺騙技術(shù)，確保攻擊者將注意力集中在誘餌上，而不是企業(yè)的有價值和關(guān)鍵的數(shù)據(jù)及系統(tǒng)。一旦識別出惡意活動，防御者可以利用蜜罐的發(fā)現(xiàn)結(jié)果，在系統(tǒng)和環(huán)境的其他區(qū)域?qū)ふ胰肭种笜?biāo)(IoC)，從而可能捕捉到更多的惡意活動，并最大限度地縮短攻擊者的駐留時間。

除了威脅情報和攻擊檢測價值外，蜜標(biāo)通常還具有誤報率極低的優(yōu)點，因為它們是高度定制的誘餌資源，部署時的意圖就是不被訪問。這與更廣泛的安全工具形成鮮明對比，后者常常因為低保真度警報和發(fā)現(xiàn)結(jié)果而產(chǎn)生大量誤報，給安全團(tuán)隊和開發(fā)人員帶來負(fù)擔(dān)。

如何利用蜜罐

企業(yè)需要仔細(xì)考慮蜜罐的部署位置。通常，蜜罐會被部署在攻擊者可能更容易訪問的環(huán)境和系統(tǒng)中，如公開暴露的端點和可通過互聯(lián)網(wǎng)訪問的系統(tǒng)，以及內(nèi)部網(wǎng)絡(luò)環(huán)境和系統(tǒng)。

當(dāng)然，前者可能會獲得更多的交互，并提供更廣泛的通用洞見，而后者在提示防御者注意已越過周邊安全工具和控制的惡意活動方面更有價值，這些活動更有可能影響敏感的業(yè)務(wù)系統(tǒng)和數(shù)據(jù)。

在內(nèi)部，企業(yè)通常會尋找對攻擊者可能有吸引力的位置來放置蜜標(biāo)，至少從表面上看是這樣，以試圖引誘他們與誘餌互動。同時，必須以不會導(dǎo)致合法用戶頻繁交互的方式使用它們，以避免誤報警報。

蜜罐的部署位置將影響警報的數(shù)量和關(guān)鍵性。一個公開暴露的端點或蜜罐必然會吸引大量流量，而內(nèi)部部署的蜜罐則產(chǎn)生的警報數(shù)量較少。

當(dāng)被觸發(fā)時，由于內(nèi)部蜜罐靠近內(nèi)部敏感數(shù)據(jù)、關(guān)鍵系統(tǒng)，并且如果攻擊者不僅能夠影響誘餌，還能影響有效系統(tǒng)和資源，則可能影響業(yè)務(wù)運營，因此它們可能會引發(fā)更關(guān)鍵和緊急的響應(yīng)。

另一個重要的考慮因素是根據(jù)特定環(huán)境和目標(biāo)選擇使用的蜜標(biāo)類型。例如，如果你關(guān)注的是對憑據(jù)(如用戶名和密碼或API密鑰)的未經(jīng)授權(quán)訪問，那么你將需要不同于那些更關(guān)注數(shù)據(jù)(如文件和數(shù)據(jù)庫)的人所需的資源。

無論是商業(yè)還是開源選項，都有各種選擇，以及可以根據(jù)你的個別需求和安全目標(biāo)進(jìn)行定制的特定類型的蜜標(biāo)。

尋找蜜罐資源

整個GitHub倉庫都維護(hù)著蜜罐資源，從數(shù)據(jù)庫、應(yīng)用程序和服務(wù)到各種用于部署和監(jiān)控惡意活動的工具。在商業(yè)方面，一些企業(yè)正在提供創(chuàng)新的解決方案，如Horizon3.ai的NodeZero Tripwires，旨在通過自動化部署流程和與領(lǐng)先的威脅檢測工具和工作流的集成，簡化誘餌的部署，從而實現(xiàn)更快速的響應(yīng)。

其他企業(yè)，如專注于軟件供應(yīng)鏈和機(jī)密管理的GitGuardian，允許用戶在源代碼管理(SCM)和持續(xù)集成/持續(xù)部署(CI/CD)環(huán)境中部署蜜標(biāo)，然后，他們監(jiān)控公開的GitHub倉庫，尋找蜜標(biāo)泄漏，如API密鑰、憑據(jù)和其他機(jī)密，這些都可以作為誘餌進(jìn)行部署。

蜜標(biāo)和蜜罐可以代表離散的文件、數(shù)據(jù)庫、憑據(jù)，甚至整個系統(tǒng)和數(shù)字環(huán)境，這取決于它們的復(fù)雜性以及企業(yè)的能力和想象力。

雖然商業(yè)選項允許原生集成和監(jiān)控，但使用某些產(chǎn)品或工具以及開源解決方案可能需要進(jìn)一步的集成和配置，以優(yōu)化你監(jiān)控與蜜標(biāo)交互的能力，以及在識別出潛在惡意活動時做出響應(yīng)的能力。

蜜罐與其他安全措施一樣，并非萬靈藥，但當(dāng)它們與全面的企業(yè)安全控制和工具智能結(jié)合使用時，可以使企業(yè)主動識別其環(huán)境中的惡意活動，獲取有價值的威脅情報，根據(jù)觀察到的現(xiàn)實世界活動優(yōu)化其防御，并測試其企業(yè)在檢測和響應(yīng)惡意活動方面的能力。