欺騙技術(shù)討論通常會導(dǎo)致蜜罐, 然后就會有某種程度的混亂開始。添加一組用于欺騙的縮寫詞,，包括： 面包屑、誘餌、陷阱、信標(biāo)，而且大多數(shù)新的主題都看到另一個安全研究項目。欺騙技術(shù)可能會混淆部署策略, 從而使遺留的觀點在我們的腦海中虛假地站立。 針對欺騙防御影響部署策略的重大創(chuàng)新已得到發(fā)展。

首先, 安全研究需要的是傳統(tǒng)的實際操作系統(tǒng)蜜罐專注于遏制和公開妥協(xié)。但是, 在網(wǎng)絡(luò)內(nèi)部部署數(shù)以千計的用戶作為入侵后檢測策略, 只會增加攻擊面和風(fēng)險級別。 正如我們需要技術(shù)嫻熟的執(zhí)法人員來偵測和發(fā)現(xiàn)包裹轟炸機和狙擊手一樣, 我們需要熟練的安全研究人員捕捉攻擊工具和方法, 以了解可能的歸屬以及如何緩解這些攻擊。

因此, 關(guān)于安全研究蜜罐的深入討論將側(cè)重于遏制作為一種部署策略。 蜜罐必須盡可能真實, 以避免攻擊者檢測, 所以安裝他們的工具, 并開始他們的方法。 相反, 使用欺騙作為入侵后防御在內(nèi)部側(cè)重于檢測 (vs 遏制), 其中創(chuàng)新改進(jìn)了這種部署策略。隨著時間的推移, 純蜜罐建立在真正的操作系統(tǒng)進(jìn)化成虛擬機, 使其更容易重置。 仿真服務(wù)將蜜罐演變成不易受損害的誘餌，然而，開放自動化和規(guī)?；?。

考慮到入侵后欺騙策略的檢測, 當(dāng)攻擊者發(fā)現(xiàn)媒介或低交互誘餌是對服務(wù)和數(shù)據(jù)的仿真時, 檢測的目標(biāo)早就完成了。 為了使欺騙確定性 (vs 攻擊者統(tǒng)計發(fā)現(xiàn)誘餌), 誘餌被放置在真實資產(chǎn), 然后導(dǎo)致攻擊者進(jìn)行攻擊。 這些誘餌也被稱為面包屑, 虛假數(shù)據(jù), 偽造的憑據(jù), 陷阱和信標(biāo)。 現(xiàn)代欺騙的重點是面包屑和誘餌之間的鏈接, 以便盡可能最有效地進(jìn)行檢測。

我們知道大多數(shù)攻擊都是通過網(wǎng)絡(luò)釣魚、社交工程或通過攻擊進(jìn)入立足點系統(tǒng)來達(dá)到的。很少是立足點系統(tǒng)是理想的資產(chǎn)或數(shù)據(jù), 因此攻擊使用偵察找到路徑的橫向移動到他們想要的。 這是一個機會, 了解攻擊者想要引誘、檢測和防御欺騙作為檢測部署策略。 由于近60% 的攻擊沒有惡意軟件的消息, 攻擊環(huán)境發(fā)生了變化, 超過40% 的受威脅系統(tǒng)沒有惡意軟件的跡象, 超過95% 的惡意軟件只會被看到一次, 將近一半的用戶會打開電子郵件,攻擊情況正在發(fā)生變化并在交互后一小時內(nèi)點擊附件。

那么, 自動化如何使欺騙成為早期的入侵檢測防御的? 自動化使網(wǎng)絡(luò)和分析資產(chǎn)的映射能夠自動創(chuàng)建與環(huán)境匹配的模擬誘餌。 自動化然后部署誘餌和種子面包屑, 再加上監(jiān)測環(huán)境中的任何變化, 使欺騙層盡可能現(xiàn)實, 只需要很少的人力。 對于用戶未知的欺騙組件, 警報具有高保真度, 很少有誤報來檢測新入侵的立足點系統(tǒng)、攻擊橫向移動和內(nèi)部威脅。欺騙對于無法安裝防御的資產(chǎn) (如企業(yè) IoT 和遺留系統(tǒng)) 也是有效的。 例如企業(yè)物聯(lián)網(wǎng)和遺留系統(tǒng)。自動化的現(xiàn)代欺騙解決方案可由一級安全分析師在每周不到五小時的時間內(nèi)進(jìn)行監(jiān)控和維護(hù)。

最終結(jié)果是, 欺騙部署策略具有相反的目的。 一端是安全研究的純蜜罐, 專注于遏制和開放的妥協(xié)作為一個網(wǎng)絡(luò)監(jiān)視, 其中仿真是無法有效收集惡意軟件和攻擊工具。 另一種是入侵后智能報警系統(tǒng), 專注于檢測, 在這種情況下, 仿真可實現(xiàn)自動化和擴(kuò)展, 而不會危及網(wǎng)絡(luò)內(nèi)部的風(fēng)險。 考慮到部署策略是檢測,因此無需承擔(dān)網(wǎng)絡(luò)中真實操作系統(tǒng)誘餌或蜜罐的風(fēng)險。