國內(nèi)對“欺騙技術(shù)”的應(yīng)用，基本都容納在一個產(chǎn)品里，一般簡稱“蜜罐”（當(dāng)然蜜罐也有更明晰、確切的技術(shù)指向），往往其中包含了蜜罐、蜜餌、蜜標(biāo)、蜜網(wǎng)、網(wǎng)絡(luò)重定向、面包屑等等多種用于欺騙的技術(shù)組合。通常，我們理解這就是欺騙防御的實踐應(yīng)用。

“欺騙防御”后面增加“體系”兩個字以后，要如何解釋呢？還只是欺騙技術(shù)的排列組合么？編者認(rèn)為不是！到底什么是欺騙防御體系，為什么這項技術(shù)會被認(rèn)為是對抗APT組織攻擊的有利手段？

在過去的安全防護(hù)體系當(dāng)中，已經(jīng)有了足夠多的“孤島”，所以這兩年態(tài)勢感知、SOAR、大數(shù)據(jù)智能分析技術(shù)大行其道。這時我們再增加一個“欺騙技術(shù)”的硬件盒子，起到欺騙作用也只是工具般的聊勝于無（這也是目前市場上對于這款產(chǎn)品的普遍認(rèn)知，攻防演練時拿來用用，結(jié)束后束之高閣，歸根結(jié)底不是客戶有問題，而是產(chǎn)品定位有問題）。

欺騙防御體系到底如何建設(shè)？

編者認(rèn)為，絕不是基于這項理論，將欺騙技術(shù)簡簡單單的排列組合。而是應(yīng)該通過“欺騙技術(shù)”在現(xiàn)有防御體系當(dāng)中的引用、結(jié)合，極大程度上催化防御能力，進(jìn)而形成的高自動化、高聯(lián)動體系。

這里我們不再解釋技術(shù)本身，只說一說這項技術(shù)的四個特性：

我們都知道，無論蜜罐還是蜜餌，或者散布的面包屑，都是針對攻擊者定制的陷阱，其本身不是計算資源，放置的位置一般也不是內(nèi)部員工、系統(tǒng)用戶應(yīng)該使用的位置，往往只有在攻擊場景中才會被利用，所以欺騙技術(shù)的特性之一就是無誤報。這對于態(tài)勢感知、SOAR等需要實現(xiàn)自動處置的平臺產(chǎn)品簡直就是福音。

基于這個特性對于所有防御性產(chǎn)品的幫助具備同等效果，比如防火墻、終端防護(hù)產(chǎn)品的IP阻斷。

本質(zhì)上來講，欺騙產(chǎn)品其實并不需要“規(guī)則庫”這種東西，更需要的是“高甜度”的仿真場景，我們只需要把攻擊者踩進(jìn)來執(zhí)行的動作記錄下來就足以說明、解決問題了。而這恰恰是過去APT攻擊識別的難點“基于現(xiàn)有規(guī)則對攻擊進(jìn)行匹配，無法解決未知攻擊的識別問題”。

欺騙技術(shù)通過仿真環(huán)境、數(shù)據(jù)的搭建誘導(dǎo)攻擊者對其進(jìn)行攻擊、訪問，而在這個過程當(dāng)中，高交互的欺騙技術(shù)會給予攻擊者一定的入侵入口，讓其能夠獲得一定的操作權(quán)限，這時攻擊者在其上的活動動作，將被監(jiān)控手段進(jìn)行采集。能夠獲取到的行為數(shù)據(jù)是非常全量的，包括原始流量PCAP包、Web訪問記錄、系統(tǒng)命令執(zhí)行、數(shù)據(jù)庫操作指令、攻擊過程回放、落盤文件、端口掃描記錄、暴力破解行為及認(rèn)證憑證、蜜餌觸動信息、攻擊者指紋信息等10余種。運營人員可以通過這些數(shù)據(jù)更準(zhǔn)確的還原其攻擊行為，并判斷攻擊意圖，為處置、防范提供決策上的幫助，這一點也是傳統(tǒng)防御體系所不具備的能力。

在過去，建設(shè)態(tài)勢感知、大數(shù)據(jù)平臺，最大的幾個工作難點在于：1、情報不夠準(zhǔn)確，依據(jù)不準(zhǔn)確的數(shù)據(jù)進(jìn)行分析、處置往往會極大浪費人力資源；2、數(shù)據(jù)維度不夠豐富，往往要么早早阻斷掉了，要么采集困難、資源消耗大，攻擊意圖就無法研判了。而現(xiàn)在欺騙技術(shù)的引用，這幾個問題剛好都解決了。

對于防御而言，始終沒有萬全的防御手段。防御的結(jié)果始終處于動態(tài)變化當(dāng)中。一個全新的0day漏洞、攻擊者通過社工手段找到的入侵跳板、防守方的一次疏漏，都可能導(dǎo)致原本完善的防御體系出現(xiàn)薄弱環(huán)節(jié)，致使防御失敗。

在這時，欺騙防御中的欺騙技術(shù)蜜罐、蜜餌則可以發(fā)揮其作用：吸引攻擊者，拖延時間。蜜罐往往仿真客戶環(huán)境，建立仿真業(yè)務(wù)系統(tǒng)、PC機、數(shù)據(jù)庫等，誘導(dǎo)攻擊者對其實施攻擊動作，而蜜餌則通過仿造具有高吸引力的數(shù)據(jù)內(nèi)容，吸引攻擊者獲得。通過這種吸引攻擊的作用，降低攻擊者對真實目標(biāo)進(jìn)行入侵的概率，并拖延其攻擊時間，給防守方提供更大的緩沖時間，為防御決戰(zhàn)創(chuàng)造條件。

講到這，大家是不是對欺騙技術(shù)的特性有一個大致的印象了。簡而言之，欺騙技術(shù)對于現(xiàn)有的防護(hù)體系而言，可以是“聯(lián)動的催化劑，決策的發(fā)動機”（本質(zhì)上并不起到防御的作用，但是因為其技術(shù)特性，可以增強防御聯(lián)動力，促進(jìn)自動化決策的產(chǎn)生）。

具象到產(chǎn)品聯(lián)動關(guān)系當(dāng)中:

那您的防御體系里是否缺少一個這樣的“發(fā)動機”呢？

最后打個廣告，安恒迷網(wǎng)欺騙防御系統(tǒng)，已實現(xiàn)上述所有功能。迷網(wǎng)，幫助您的安全運營更有效果。