2026-09-13 04:45:06 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文介绍开源蜜网平台Honeynet，采用Go语言Server+Agent分布式架构，集成103种多协议与Web蜜罐、蜜饵投放、攻击事件分析、YARA双阶段检测、离线威胁情报、IP定位及多渠道告警等能力。平台支持Agent安全通信、断网事件可靠传输与签名升级机制，适用于企业安全运营、蓝队及攻防演练场景，具备较高实用价值。 综合评分： 86 文章分类： 安全工具,产品介绍,安全建设,解决方案

103种蜜罐 + AI威胁分析：这个开源Honeynet到底有多能打？

只会看监控的实习生

2026年9月12日 16:00 广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

【开源蜜网平台】Go + 多协议蜜罐 + AI 威胁分析，构建企业级欺骗防御体系！

Honeynet 是一个面向企业安全场景的蜜网与欺骗防御平台。

项目采用 Go 原生 Server + Agent 架构，集成多协议蜜罐、Web 蜜罐、蜜饵、攻击事件分析、YARA 检测、威胁情报、IP 定位以及多渠道告警等能力。

目前项目完整发行版本为 v0.24.0。

Server、Agent 以及蜜罐运行链不依赖 Docker，默认采用 Go 原生二进制运行，并结合 systemd 或 Windows Service 进行管理。

Docker 主要用于数据分析引擎 ClickHouse。

0x01 项目介绍

Honeynet 是一个面向企业安全运营、蓝队、攻防演练以及欺骗防御场景设计的蜜网平台。

整体采用 Server + Agent 分布式架构。

Server 负责平台管理、数据处理和控制。

Agent 负责实际的蜜罐监听、蜜饵投放以及安全事件采集。

通过 Server + Agent 的方式，可以将多个蜜网节点统一纳入平台管理。

0x02 核心能力

Honeynet 目前提供以下核心能力：

0x03 多协议蜜罐

Honeynet 提供大量可以真实监听的蜜罐服务。

目前包含 36 种 Go 原生协议蜜罐 + 67 种完整 Web 资源，共计 103 种可真实监听的低/中交互蜜罐。

同时平台提供 111 种蜜罐服务目录。

Agent 启动后会向 Server 上报自身支持的蜜罐能力，能力标识采用 pot.<service>。

Server 创建蜜罐时，只允许选择目标 Agent 实际支持的服务。

这样可以避免管理端配置节点无法运行的蜜罐服务。

协议蜜罐版本

| 版本 | 新增协议 | | — | — | | v0.9 | FTP、PostgreSQL、SMTP、DNS | | v0.10 | MSSQL、MongoDB、Elasticsearch、MQTT、Modbus TCP、RTSP | | v0.11 | SMB、RDP、LDAP、SNMP、POP3、IMAP | | v0.12 | HTTPS、SMTPS、IMAPS、POP3S、LDAPS | | v0.13 | TFTP、VNC、Memcached、Oracle TNS、ZooKeeper、Kafka | | v0.14 | Siemens S7comm、CoAP、BACnet/IP |

v0.12 开始增加节点级 TLS 能力。

0x04 Web 蜜罐

除了协议蜜罐之外，Honeynet 还提供 Web 蜜罐能力。

Web 服务配置直接读取 honeypot-templates-server/services/config.json。

目前包含 68 条静态 Web 服务配置，其中 67 条具备完整资源，可以直接原生启动。

router-cmcc 因为缺少资源目录，不会上报能力。

Web 服务支持

Web 资源包中的脚本不会被执行，也不会自动下载外部文件。

每次 Web 访问都会产生 web.request 事件。

如果攻击者提交用户名、密码等凭据，则会产生 web.credential 事件。

0x05 Web 请求与凭据捕获

Web 蜜罐会对访问行为进行统一记录。

普通请求产生 web.request 事件。

凭据提交产生 web.credential 事件。

通过这种方式，可以将 Web 蜜罐访问行为直接纳入平台安全事件体系。

对于资源包中的 Web HTTPS 配置，也支持直接启用 HTTPS。

0x06 蜜饵投放与命中检测

Honeynet 支持文件、凭据以及网络 Token 等多种蜜饵。

文件蜜饵

Agent 可以监控指定文件。

Linux 环境下可以使用 inotify 等机制感知文件访问和变化。

当攻击者读取、修改或者访问蜜饵文件时，可以产生对应安全事件。

凭据蜜饵

可以在环境中投放伪造凭据。

当攻击者尝试使用这些凭据时，可以判断其已经获取到了不应该获取的信息。

网络 Token

网络 Token 可以用于构造更加隐蔽的攻击检测点。

蜜饵命中后会统一进入事件、审计和 Critical 告警链路。

0x07 Linux 全端口扫描感知

Honeynet 提供 Linux 全端口扫描感知能力。

Agent 使用 AF_PACKET 对网络流量进行感知。

平台会按照来源 IP、协议、时间窗口以及目标端口数量进行累计分析。

当一个来源在短时间内访问大量不同目标端口时，可以生成 port.scan 事件。

该功能具有以下特点：

| 特性 | 状态 | | — | — | | 默认开启 | 否 | | 监听新端口 | 不会 | | 修改 iptables | 不会 | | 修改 nftables | 不会 | | 网络感知 | 支持 |

因此该能力属于被动式扫描感知。

0x08 攻击事件检测

平台会统一采集蜜罐、Web、蜜饵等产生的安全事件。

支持以下检测维度：

原始 HTTP 请求会保存到 raw_packet 字段中。

同时支持对敏感证据进行脱敏。

0x09 YARA 双阶段检测

Honeynet 集成 YARA 检测能力。

整体采用 Agent 本地初筛与 Server 二次确认的双阶段检测模式。

攻击请求首先经过 Agent 本地检测，再将检测结果提交 Server 进行进一步复核。

当前内置 54 个 YARA 规则块。

Agent 首先进行本地快速匹配，然后将结果交给 Server 进一步确认。

自定义正则表达式使用 Go RE2。

0x0A IP 地理定位

平台支持使用 IPIP 离线数据库进行攻击源城市定位。

攻击事件可以关联以下信息：

| 信息 | 内容 | | — | — | | IP | 攻击源 IP | | 国家 | IP 所属国家 | | 地区 | IP 所属地区 | | 城市 | IP 所属城市 |

整个定位过程使用离线数据库，不需要依赖在线查询接口。

0x0B 离线威胁情报

Honeynet 支持 IPv4 / IPv6 离线威胁情报。

情报数据采用 AES-256-GCM 进行保护。

数据格式兼容 intelligence-db 1.0.2。

通过离线威胁情报，可以在不依赖外部实时查询服务的情况下，对攻击来源进行本地情报匹配。

0x0C 告警通知

平台支持多种告警外发方式：

| 类型 | 支持 | | — | — | | SMTP | 支持 | | Syslog | 支持 | | Webhook | 支持 | | 企业微信 | 支持 | | 钉钉 | 支持 | | 飞书 | 支持 |

攻击事件、蜜饵命中以及 Critical 级别事件可以通过配置的通知渠道进行外发。

同时支持失败重试。

0x0D Agent 安全通信

Honeynet 对 Server 与 Agent 之间的通信进行了安全设计。

Agent 网关

控制通道

控制通道使用 mTLS + WSS 进行保护。

0x0E 断网情况下的事件可靠性

安全事件采集需要考虑网络中断情况下的数据可靠性。

Honeynet 在 Agent 侧增加了本地持久化事件队列。

事件处理流程为：

攻击事件产生

Agent 本地队列

发送 Server

Server 持久化

业务副作用完成

返回 ACK

只有 Server 完成安全事件持久化以及相关业务副作用之后，才会向 Agent 返回 ACK。

网络中断时，事件会继续保存在本地队列。

0x0F 队列满载保护

Agent 本地事件队列满载时，不会静默删除尚未收到 Server ACK 的旧事件。

也就是说，不会通过删除旧事件的方式给新事件腾空间。

对于永久无效的事件，则会写入 dead-letter-events.jsonl。

该文件使用 0600 权限，并在执行 fsync 后从主队列中移除。

这种机制可以尽可能保证安全事件在传输过程中的完整性。

0x10 Agent 签名与安全升级

Agent 升级采用 SHA-256 + Ed25519 进行完整性和签名校验。

Linux Agent 支持：

新版本不会一次性推送到所有 Agent。

可以先通过少量节点进行验证，再逐步扩大发布范围。

0x11 Server 与 Agent 架构

Honeynet 采用 Server + Agent 分布式架构。

Server 负责统一管理。

Agent 负责实际的蜜罐服务、蜜饵以及事件采集。

多个 Agent 可以部署在不同网络区域，从而扩展整体蜜网覆盖范围。

数据层主要由 MySQL 和 ClickHouse 组成。

0x12 Server 安装

Honeynet 支持原生安装。

目前支持：

| 平台 | 架构 | | — | — | | Linux | AMD64 | | Linux | ARM64 | | Windows | x86 | | Windows | x64 |

Linux 环境需要 systemd 和 MySQL 8。

Linux 默认可以安装独立 ClickHouse。

如果已经准备好了外部 ClickHouse，可以使用 --skip-clickhouse 跳过本机 ClickHouse 安装。

0x13 编译 Server

Linux AMD64 编译：

make release-server VERSION=0.24.0 TARGET_OS=linux TARGET_ARCH=amd64

生成安装包后进行解压：

tar -xzf dist/honeynet-server-0.24.0-linux-amd64.tar.gz

执行安装：

sudo ./scripts/install-server.sh \
&nbsp; --mysql-dsn&nbsp;'...'&nbsp;\
&nbsp; --public-url&nbsp;'http://192.0.2.10:8080'&nbsp;\
&nbsp; --agent-public-url&nbsp;'https://192.0.2.10:8443'

0x14 默认服务

安装完成后，系统默认包含以下服务：

| 服务 | 说明 | | — | — | | honeynet-server | Honeynet Server 主服务 | | honeynet-agent.service | 内置 Agent 服务 |

如果只需要安装 Server，可以使用 --server-only。

默认服务端口：

| 服务 | 端口 | | — | — | | Console | 8080 | | Agent mTLS | 8443 |

安装过程中会自动生成：

| 配置项 | 说明 | | — | — | | JWT | 身份认证 Token | | 内置 Token | Agent 注册及管理所需 Token | | 随机管理员密码 | 初始管理员登录凭据 | | PKI | Server 与 Agent 通信所需证书体系 | | 默认蜜罐 | 安装完成后自动创建的默认蜜罐 |

如果需要启用 Console TLS，可以增加 --console-tls。

0x15 ClickHouse 数据分析

Honeynet 使用 ClickHouse 保存攻击事件以及安全分析数据。

默认使用 ClickHouse 官方镜像：

clickhouse/clickhouse-server:25.8.28.1

Compose 项目：

honeynet-analytics

安装 ClickHouse：

sudo ./scripts/install-clickhouse.sh

执行数据迁移：

sudo ./scripts/migrate-clickhouse.sh

执行冒烟测试：

sudo ./scripts/smoke-clickhouse.sh

查看服务状态：

sudo docker compose -p honeynet-analytics ps

查看日志：

sudo docker compose -p honeynet-analytics logs

卸载时只会移除容器和网络，不会自动删除数据卷。

0x16 Windows Server

Windows Server 同样支持原生部署。

可以使用 PowerShell 执行安装：

.\scripts\install-server.ps1 `
&nbsp; -DatabaseDSN '...' `
&nbsp; -ConsoleTLS `
&nbsp; -PublicURL 'https://192.0.2.20:8080' `
&nbsp; -AgentPublicURL 'https://192.0.2.20:8443'

Windows Server 不需要在本机安装 ClickHouse。

0x17 自定义 Web 蜜罐

Honeynet 支持自定义 Web 蜜罐模板。

模板可以定义：

同时明确限制：

| 限制 | 状态 | | — | — | | 执行脚本 | 不支持 | | 执行文件引用 | 不支持 | | 执行任意用户代码 | 不支持 |

这种方式可以在模拟真实业务的同时，避免蜜罐本身成为新的攻击面。

0x18 双阶段攻击检测规则

攻击检测支持 Agent 与 Server 双阶段分析。

整体流程：

攻击请求

Agent 本地检测

特征 / YARA / IOC

Server 复核

攻击事件

关联分析

告警

通过本地初筛，可以减少无意义的数据传输。

Server 再进行二次确认，可以进一步提高检测准确性。

0x19 AI 威胁分析

Honeynet 提供 AI 威胁分析模块：

internal/ai

AI 接口兼容 OpenAI Chat Completions。

因此可以接入兼容 OpenAI API 的模型，例如 DeepSeek、GLM 以及其他兼容接口的模型。

单事件分析

可以针对单个安全事件进行 AI 分析。

通过这些信息辅助安全人员进行事件研判。

攻击者画像

平台支持按照来源 IP 对攻击事件进行聚合。

将一个 IP 的多次攻击行为进行关联，可以进一步分析攻击者的行为特征。

相比单独分析一条告警，这种方式更加接近真实的安全运营场景。

0x1A AI Agent 训练与发布

除了调用大模型进行单事件分析之外，项目还提供 AI Agent 生命周期管理。

| 阶段 | 功能 | | — | — | | 训练 | AI Agent 训练 | | 评估 | 对模型效果进行评估 | | 审批 | 对 Agent 进行发布前审批 | | 发布 | 将通过审批的 Agent 正式发布 |

通过完整的训练、评估、审批和发布流程，可以对 AI 分析能力进行统一管理。

0x1B 平台管理

平台提供统一的 Web 管理控制台。

可以管理：

| 管理对象 | 内容 | | — | — | | 用户 | 平台用户 | | 角色 | 用户权限 | | 节点 | Agent 节点 | | 蜜罐 | 蜜罐服务 | | 规则 | 检测规则 | | 告警 | 安全告警 | | 系统配置 | 平台基础配置 |

权限体系包含 admin、operator、viewer。

身份认证采用 JWT。

0x1C 节点管理

Agent 注册采用一次性注册 Token。

节点上线后会进行：

| 操作 | 说明 | | — | — | | 注册 | Agent 注册到 Server | | 心跳 | 定期上报节点状态 | | 能力上报 | 上报支持的蜜罐能力 | | 配置同步 | 获取平台下发的配置 | | 事件上报 | 上传安全事件 |

Server 可以统一查看节点状态以及节点支持的蜜罐能力。

多个 Agent 可以部署在不同网络区域，用于扩展蜜网覆盖范围。

0x1D 平台管理与一键 OEM

项目提供平台管理以及一键 OEM 能力。

可以通过统一配置进行定制化部署。

适用于：

0x1E 工程结构

项目整体采用 Go + React 架构。

核心目录如下：

0x1F 开发与验证

源码开发环境可以执行：

go&nbsp;test&nbsp;./...

前端构建：

cd&nbsp;web
npm run build

项目同时提供 Shell 语法检查以及相关 Smoke Test。

可以用于验证：

0x20 项目特点

Go 原生架构

Server 和 Agent 不依赖 Docker，部署更加轻量。

Server + Agent 分布式设计

支持多节点部署，可以根据实际网络环境扩展蜜网节点。

多协议蜜罐

覆盖数据库、中间件、网络协议以及工业协议等多种场景。

Web 蜜罐

支持完整 Web 资源以及自定义 Web 模板。

蜜饵体系

支持文件、凭据、网络 Token 等多种欺骗检测方式。

攻击事件闭环

从攻击发生到事件采集、检测、分析、告警形成完整链路。

安全通信

支持 TLS 1.3、mTLS、客户端证书以及 CA 指纹固定。

Agent 安全升级

支持 SHA-256 + Ed25519 签名，并支持灰度发布和自动回滚。

离线威胁情报

支持 IPv4 / IPv6 威胁情报以及 IPIP 离线城市定位。

AI 威胁分析

支持单事件分析、攻击者画像以及 AI Agent 生命周期管理。

0x21 项目地址

GitHub：

https://github.com/Ta0ing/Honeynet

当前版本：

v0.24.0

项目主要面向：

安全运营、蓝队、攻防演练、重保、蜜网、欺骗防御、攻击溯源、威胁分析等场景。

0x22 写在最后

传统安全设备解决的是：

“攻击来了，我怎么发现？”

而蜜网解决的是另外一个问题：

“我能不能主动给攻击者制造一个假的目标，让他自己暴露出来？”

Honeynet 将蜜罐、蜜饵、攻击检测、威胁情报、告警以及 AI 分析整合到一个平台中。

对于安全运营团队来说，它的价值并不只是启动几个端口等待攻击。

真正有价值的是把诱捕、感知、检测、分析、告警、溯源和运营形成一个完整的安全闭环。

项目采用 Go 原生 Server + Agent 架构，同时提供多协议蜜罐、Web 蜜罐、蜜饵、YARA、威胁情报、攻击者画像以及 AI 分析能力，整体更偏向一个完整的企业级欺骗防御平台。

项目地址：

https://github.com/Ta0ing/Honeynet

如果你正在研究蜜网、蓝队、安全运营、攻防演练或者攻击溯源，这个项目值得关注。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：只会看监控的实习生《103种蜜罐 + AI威胁分析：这个开源Honeynet到底有多能打？》