欺騙技術討論通常會導致蜜罐, 然后就會有某種程度的混亂開始。添加一組用于欺騙的縮寫詞,，包括： 面包屑、誘餌、陷阱、信標，而且大多數(shù)新的主題都看到另一個安全研究項目。欺騙技術可能會混淆部署策略, 從而使遺留的觀點在我們的腦海中虛假地站立。 針對欺騙防御影響部署策略的重大創(chuàng)新已得到發(fā)展。

首先, 安全研究需要的是傳統(tǒng)的實際操作系統(tǒng)蜜罐專注于遏制和公開妥協(xié)。但是, 在網(wǎng)絡內(nèi)部部署數(shù)以千計的用戶作為入侵后檢測策略, 只會增加攻擊面和風險級別。 正如我們需要技術嫻熟的執(zhí)法人員來偵測和發(fā)現(xiàn)包裹轟炸機和狙擊手一樣, 我們需要熟練的安全研究人員捕捉攻擊工具和方法, 以了解可能的歸屬以及如何緩解這些攻擊。

因此, 關于安全研究蜜罐的深入討論將側(cè)重于遏制作為一種部署策略。 蜜罐必須盡可能真實, 以避免攻擊者檢測, 所以安裝他們的工具, 并開始他們的方法。 相反, 使用欺騙作為入侵后防御在內(nèi)部側(cè)重于檢測 (vs 遏制), 其中創(chuàng)新改進了這種部署策略。隨著時間的推移, 純蜜罐建立在真正的操作系統(tǒng)進化成虛擬機, 使其更容易重置。 仿真服務將蜜罐演變成不易受損害的誘餌，然而，開放自動化和規(guī)?；?/p>

考慮到入侵后欺騙策略的檢測, 當攻擊者發(fā)現(xiàn)媒介或低交互誘餌是對服務和數(shù)據(jù)的仿真時, 檢測的目標早就完成了。 為了使欺騙確定性 (vs 攻擊者統(tǒng)計發(fā)現(xiàn)誘餌), 誘餌被放置在真實資產(chǎn), 然后導致攻擊者進行攻擊。 這些誘餌也被稱為面包屑, 虛假數(shù)據(jù), 偽造的憑據(jù), 陷阱和信標。 現(xiàn)代欺騙的重點是面包屑和誘餌之間的鏈接, 以便盡可能最有效地進行檢測。

我們知道大多數(shù)攻擊都是通過網(wǎng)絡釣魚、社交工程或通過攻擊進入立足點系統(tǒng)來達到的。很少是立足點系統(tǒng)是理想的資產(chǎn)或數(shù)據(jù), 因此攻擊使用偵察找到路徑的橫向移動到他們想要的。 這是一個機會, 了解攻擊者想要引誘、檢測和防御欺騙作為檢測部署策略。 由于近60% 的攻擊沒有惡意軟件的消息, 攻擊環(huán)境發(fā)生了變化, 超過40% 的受威脅系統(tǒng)沒有惡意軟件的跡象, 超過95% 的惡意軟件只會被看到一次, 將近一半的用戶會打開電子郵件,攻擊情況正在發(fā)生變化并在交互后一小時內(nèi)點擊附件。

那么, 自動化如何使欺騙成為早期的入侵檢測防御的? 自動化使網(wǎng)絡和分析資產(chǎn)的映射能夠自動創(chuàng)建與環(huán)境匹配的模擬誘餌。 自動化然后部署誘餌和種子面包屑, 再加上監(jiān)測環(huán)境中的任何變化, 使欺騙層盡可能現(xiàn)實, 只需要很少的人力。 對于用戶未知的欺騙組件, 警報具有高保真度, 很少有誤報來檢測新入侵的立足點系統(tǒng)、攻擊橫向移動和內(nèi)部威脅。欺騙對于無法安裝防御的資產(chǎn) (如企業(yè) IoT 和遺留系統(tǒng)) 也是有效的。 例如企業(yè)物聯(lián)網(wǎng)和遺留系統(tǒng)。自動化的現(xiàn)代欺騙解決方案可由一級安全分析師在每周不到五小時的時間內(nèi)進行監(jiān)控和維護。

最終結(jié)果是, 欺騙部署策略具有相反的目的。 一端是安全研究的純蜜罐, 專注于遏制和開放的妥協(xié)作為一個網(wǎng)絡監(jiān)視, 其中仿真是無法有效收集惡意軟件和攻擊工具。 另一種是入侵后智能報警系統(tǒng), 專注于檢測, 在這種情況下, 仿真可實現(xiàn)自動化和擴展, 而不會危及網(wǎng)絡內(nèi)部的風險。 考慮到部署策略是檢測,因此無需承擔網(wǎng)絡中真實操作系統(tǒng)誘餌或蜜罐的風險。