第95篇 AI全栈 · 蜜罐环绕靶标的围点打援策略

原创

陈看山
陈看山

安全诸子

2026年10月5日 07:58
西藏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

防守方最怕的不是打点成功，而是攻击者已经摸到靶标脚下。外围的WAF、EDR、流量审计全部失效之后，内网基本等于不设防。这时候如果靶标段被渗透，一个通宵就能被打穿。我们当时在国护里拿到的零失分成绩，核心思路不是堆设备，而是围绕靶标布了一圈蜜罐，用“围点打援”的方式，把攻击者的内网据点一个一个拔掉。

这篇文章会讲清楚这套策略的设计逻辑、部署细节、真实代价，以及它防不住什么。如果你正在做蓝队防守或红队演练，尤其是负责靶标系统防护，这篇文章值得读完再落地。

这套策略本质上是“干扰内网横向”，不是“发现入侵”

先说清楚一个关键认知：蜜罐从来不是用来防第一波打点的。外网打点靠WAF和资产收敛，内网横向靠流量监控和主机防护，这些都是第一道防线。但真实国护里，攻击者拿到一个域用户，通过代理进内网，再通过SMB、WMI、PsExec这类手段一步步摸向靶标，这个过程往往不会被第一时间拦截。

等到攻击者已经对靶标开始端口扫描、目录爆破、漏洞探测时，说明所有前置防线都已经失效了。这个时候你再想去定位攻击者在内网的源头，基本靠运气。

“蜜罐环绕靶标的围点打援”策略解决的核心问题，就是这段“横向移动最后一公里”的盲区。它不试图阻止攻击者进入内网，而是在攻击者必经之路上布置诱饵，一旦攻击者碰到蜜罐，立刻暴露自己的内网跳板IP，防守方就能顺藤摸瓜，把跳板机下线，砍掉攻击者的据点。

用军事术语说，靶标是“点”，蜜罐是“围”，攻击者的横向移动路径就是“援”。你不需要知道攻击者是谁，只需要在他靠近靶标的路上，设下伏击。

部署逻辑：梳理攻击路径，在必经之路上埋点

这套策略的落地，第一步不是买蜜罐设备，而是梳理攻击者可能拿下靶标的路径。每一家单位的网络架构不同，靶标所在的位置也不同，但攻击者的路径是有规律的。

一般来说，攻击者进入内网后，会先做内网资产探测，找域控、找堡垒机、找运维网段，然后通过跳板机逐步靠近靶标。靶标系统通常有几个共性特征：对外开放特定端口、与运维网段有管理通道、存在备份或运维跳转关系。

你需要做的，是把这些路径全部画出来，然后在每条路径的节点上放置蜜罐。以我们的实战经验为例，具体做法是：

• 在靶标所在的C段，围绕靶标IP部署5到10个蜜罐，仿真度要尽量高，比如使用真实系统镜像，放置脱敏的配置文件、数据库备份、运维脚本等；
• 在运维网段和靶标网段之间的网关位置，部署一个高交互蜜罐，模拟运维跳板机的登录入口；
• 在核心交换机镜像流量中，如果发现针对这些蜜罐的扫描行为，立刻溯源到源IP。

这里有一个容易被忽略的细节：蜜罐的端口设置。很多团队在蜜罐上开放大量端口，反而容易被攻击者识破。真实运维主机不会开放二十个高危端口，这本身就是异常信号。我们的经验是，每台蜜罐上伪造两到三个高危端口就够了，比如3389、445、22，再配合一个真实业务端口做诱饵。端口太多，攻击者扫一遍就知道这是蜜罐，根本不会上钩。

告警后的处置动作：来一个打掉一个，不追求全局溯源

蜜罐的告警价值不在于“发现攻击”，而在于“定位据点”。一旦某个蜜罐被触碰，你需要立刻做三件事：

第一，确认告警真实性，排除误报。蜜罐本身没有真实业务流量，任何连接行为都值得怀疑，但也要确认是不是运维人员误操作或扫描器误报。

第二，溯源源IP。蜜罐告警日志里会记录攻击者的内网IP，这个IP通常是攻击者当前使用的跳板机或代理节点。你需要通过准入系统或交换机ARP表，定位这台机器的物理位置和所属人员。

第三，直接断网下线。不要试图在跳板机上做监控或反制，国护期间没有这个时间窗口。最快的处置方式就是通过准入控制或交换机ACL，直接将源IP拉黑，然后把这台主机下线，让攻击者丢掉这个据点。

这套打法在实战中效果显著。我们当时遇到过的情况是，攻击者每试探一次靶标，就会触发一个蜜罐告警，然后丢一个跳板机。一个攻击队通常准备三到五个内网据点，被打掉两三个之后，基本就失去了继续攻击靶标的能力。

红队视角下，这种策略确实让人非常难受。我本人打红队时遇到过类似部署，靶标系统被蜜罐环绕，几乎成了孤岛，我们每靠近一步就要丢一个据点，最后只能放弃从内网横向进攻，改走其他路径。

不同VLAN的蜜罐部署策略与网络隔离的关键细节

蜜罐不能只放在靶标段。内网是按VLAN隔离的，攻击者的横向路径会跨VLAN移动，如果你只在靶标段部署蜜罐，攻击者在其他VLAN内的动作你依然看不到。

更合理的做法是，在每一个VLAN内部署一台低交互蜜罐，不需要很高的仿真度，只需要能记录扫描和连接行为即可。这些蜜罐的作用不是诱捕，而是作为“哨兵”，一旦某个VLAN内出现异常扫描，蜜罐会第一时间告警，防守方就能知道攻击者已经移动到哪个区域了。

这里要特别说一个风险点：蜜罐的网络隔离问题。我在做红队评估项目时，遇到过两三次蜜罐系统没有做好网络隔离的情况。拿下蜜罐之后，放一个fscan扫一个大B段，居然能扫到真实内网资产，这说明蜜罐本身存在逃逸风险。

所以部署蜜罐时，以下几点是硬性要求：

• 蜜罐系统必须部署在独立的VLAN中，与真实业务网段完全隔离；
• 蜜罐对外只开放必要的诱捕端口，不开放管理端口；
• 蜜罐的虚拟机逃逸风险要评估，不允许在蜜罐上使用未打补丁的虚拟化平台；
• 蜜罐与公网的连接要严格限制，防止攻击者利用蜜罐作为跳板向外发起攻击。

外网部署蜜罐要格外谨慎。把蜜罐放在二级域名上，有可能被境外组织误认为真实网站，植入政治敏感内容，给甲方带来麻烦。另外，部分蜜罐系统本身就是Docker集群，存在虚拟机逃逸0day的风险，一旦被攻破，反而成了攻击者进入内网的跳板。

能力拆解与适用场景对比

为了方便你判断这套策略是否适合自己，我用一张表对比了“蜜罐环绕靶标”策略与其他常见防守手段的差异。

从这张表可以看出来，蜜罐策略的核心优势是“低误报、强威慑”，但它也不是万能药，下面说它防不住什么。

防不住的两类情况：集权失陷与靶标暴露公网

这套策略有两个明显的防御盲区，必须提前说明。

第一类是集权系统失陷。如果攻击者进入内网后，没有走横向路径，而是直接通过0day或Nday漏洞拿下堡垒机或域控权限，那么他就可以绕过所有蜜罐，直接连接靶标系统。因为蜜罐只部署在横向路径上，不覆盖集权系统的管理通道。这种情况下，你需要额外在堡垒机和域控周边部署监控，但这已经不是“围点打援”策略能解决的问题了。

第二类是靶标暴露公网。有些单位上报靶标资产时，靶标系统本身就在公网上，攻击者不需要进入内网，直接从公网发起攻击。这种情况下，蜜罐根本没有作用。靶标暴露公网意味着攻击者可以直接从互联网收集源码、审计0day，然后远程打穿靶标，整个过程可以完全避开内网蜜罐。

这两类情况说明，这套策略的前提是“靶标在内网，且攻击者必须通过横向路径到达”。如果你的防护目标不符合这个前提，需要另行设计防护方案。

红队的“围魏救赵”破解思路：防守方必须警惕

攻防是相对的。这套“围点打援”策略在国护中被证明有效，但高级红队也有破解思路。我在分析国外APT案例时，看到过一种战术，和“围魏救赵”非常相似。

攻击者的原本目标是靶标A，但在横向过程中被蜜罐触发告警，防守方已经开始应急。攻击者此时会故意去攻击另一个系统B，制造大量告警和日志，让防守方误以为攻击目标是B，于是把大量精力投入到B系统的防护和溯源上。而攻击者本人，则暗地里继续缓慢攻击A系统，不再触发蜜罐告警。

这种策略的本质，是利用防守方的应急资源有限，通过声东击西消耗防守方的注意力和时间。防守方如果被带偏，把蜜罐告警当成唯一线索，就很容易被牵着鼻子走。

应对方法是：蜜罐告警触发后，不要只盯住单个告警，而是把所有告警放在时间轴上做关联分析。如果A系统周边蜜罐告警后，B系统突然出现大量异常，先别急着去B系统应急，先确认B系统的告警是不是人为制造的。红队制造告警通常会使用自动化扫描工具，流量特征明显，和真实攻击行为有区别。

另外，蜜罐告警之后，不要只在蜜罐层面做处置，要立刻对源IP所在的主机做全盘排查。攻击者在跳板机上通常会留下工具、代理配置、历史命令等痕迹，这些才是判断攻击者真实意图的关键证据。

给读者的实践建议

如果你所在的单位即将参加国护或类似的红蓝对抗，而且靶标系统明确在内网，这套策略值得认真考虑。落地时可以按以下步骤推进：

第一步，画出靶标的所有潜在攻击路径，包括运维通道、备份通道、管理网段跳转关系，标注出每一条路径上的必经节点。

第二步，在每条路径的节点上部署蜜罐，优先覆盖靶标所在C段，每一台蜜罐上开放两到三个高危端口，放置脱敏的真实数据提升可信度。

第三步，将蜜罐告警接入现有的安全运营流程，明确告警触发后的处置SOP，核心动作是快速溯源源IP并果断下线，不要犹豫。

第四步，在靶标网段之外的其他VLAN也部署低交互蜜罐，作为横向移动的哨兵，弥补靶标段之外的监控盲区。

第五步，提前做好蜜罐自身的网络隔离，避免蜜罐成为攻击者进入内网的跳板。同时，确认靶标系统没有暴露在公网，否则这套策略无效。

基于当前可见信息，这套策略在国护零失分防守中有过实战验证，但它不是一套可以“部署完就万事大吉”的方案。它需要前期的路径梳理、中期的告警运营、后期的应急联动配合，才能真正发挥作用。如果你所在的团队人手不足，或者安全运营流程还不成熟，建议先从靶标C段的蜜罐部署开始，逐步扩展，不要一上来就追求全内网覆盖。