最近兩年，隨著APT、內(nèi)網(wǎng)威脅的迅速增長，攻擊欺騙技術(shù)的檢測能力的提升，攻擊欺騙技術(shù)和傳統(tǒng)蜜罐欺騙技術(shù)在檢測網(wǎng)絡(luò)攻擊者方法上是存在一定的差異性，以下是它們的不同之處：

[[247769]]

1. 完全相反的基本前提

蜜罐技術(shù)是使用組織基礎(chǔ)設(shè)施的邏輯視圖設(shè)計的。這些蜜罐被部署在有價值的目標(biāo)周圍，以試圖轉(zhuǎn)移攻擊者。然而，當(dāng)攻擊者遇到蜜罐時，它已經(jīng)在網(wǎng)絡(luò)最深處了。

攻擊者將基礎(chǔ)設(shè)施視為社交地圖。一旦他們確定了在網(wǎng)絡(luò)中的位置，他們就會看到相鄰的資源和資源之間的關(guān)系來決定他們下一步的行動，幻影欺騙技術(shù)是從攻擊者的角度設(shè)計的，并提前識別攻擊。這種視角的轉(zhuǎn)變給了你在威脅情況下的巨大優(yōu)勢，這些威脅總是壓倒性地支持攻擊者。

2. 誘騙與糾纏

蜜罐的成功依賴于捕獲攻擊者的注意力并激勵他們轉(zhuǎn)移到蜜罐目的地。這意味著你必須首先讓攻擊者在蜜罐之前而阻止他們。與此同時，他們可能會在網(wǎng)絡(luò)中存在數(shù)月，會泄露數(shù)據(jù)并造成損害。

幻影欺騙在網(wǎng)絡(luò)中普遍存在，并反映出實際的基礎(chǔ)設(shè)施。虛假的攻擊者并不希望將攻擊者吸引到目的地，而是幾乎在他們獲得網(wǎng)絡(luò)訪問權(quán)后(例如通常是第一次參與攻擊的終結(jié)點)，欺騙攻擊者進(jìn)行欺騙，而攻擊者不會意識到這一點。

3. 有限的可伸縮性與自動化的可伸縮性

您可以增加部署在整個基礎(chǔ)架構(gòu)中的蜜罐數(shù)量，以增加捕獲攻擊者的可能性。然而，這種方法很快就會變得昂貴而復(fù)雜。如果你有500臺機(jī)器并且需要50%的覆蓋率，則需要添加500臺新機(jī)器和IP地址，更不用說許可證和人力資源來管理這些機(jī)器。即使采用自動化，這種方法也會給網(wǎng)絡(luò)和員工帶來負(fù)擔(dān)，并且不會產(chǎn)生更好的吸引力。在整個基礎(chǔ)設(shè)施中都部署了幻影欺騙，并且?guī)缀蹩梢粤⒓催M(jìn)行擴(kuò)展，因為技術(shù)是無代理的。隨著基礎(chǔ)架構(gòu)的擴(kuò)展，欺騙會自動部署，幾乎沒有IT或網(wǎng)絡(luò)的開銷。

憑借幻影欺騙管理服務(wù)器(DMS)，欺騙也根據(jù)網(wǎng)絡(luò)中遇到的每一項資產(chǎn)量身定制，以便組織為每臺機(jī)器或用戶部署最佳，最可靠的欺騙手段，顯著增加檢測攻擊者的機(jī)會。

4. 增加誤報與近零的誤報

一個攻擊者必須選擇蜜罐作為目的地，當(dāng)它們存在于網(wǎng)絡(luò)中時，終端用戶經(jīng)常會遇到并與誘餌進(jìn)行交互，從而增加誤報?；糜捌垓_使每個終端上的數(shù)據(jù)都被100%覆蓋，但卻隱藏在用戶中。因為他們只能暴露在攻擊者的面前，誤報被消除，每一次警報都是真實的威脅。

5. 模仿與真實性

蜜罐是用組織認(rèn)為會吸引攻擊者的數(shù)據(jù)或?qū)傩跃闹谱鞯?。然而，誘餌應(yīng)該既有趣又能證明與攻擊者的真實互動。攻擊者尋找特定的特征，使他們能夠成功地避免使用蜜罐。

如果任何東西看起來有點“可疑”，他們會把它單獨留下。幻影欺騙是真實的，隨著時間的推移而變化。它們具有相同的屬性和實際的終端、服務(wù)器、數(shù)據(jù)、應(yīng)用程序和周圍的網(wǎng)絡(luò)環(huán)境。沒有兩臺計算機(jī)或用戶的欺騙行為是相同的——即使是在相同的環(huán)境中。攻擊者無法確定什么是真實的，什么是虛假的。

此外，欺騙行為是精心策劃的，隨著時間的推移不斷變化，在欺騙黑客的過程中扮演一個重要的角色，他們在學(xué)習(xí)環(huán)境和執(zhí)行重復(fù)動作的過程中扮演著一個合適的角色。不斷變化的欺騙也阻止了攻擊者使用之前獲取的網(wǎng)絡(luò)信息，這進(jìn)一步延遲了他們在網(wǎng)絡(luò)上的橫向移動。

6. 延遲威脅響應(yīng)與即時威脅響應(yīng)

通過蜜罐技術(shù)，組織的安全團(tuán)隊必須希望攻擊者能夠與蜜罐交互足夠長的時間，以解決來自多臺機(jī)器的大量錯誤的警報。這明顯推遲了有效的反應(yīng)。

此外，由于攻擊者在組織網(wǎng)絡(luò)中已經(jīng)深入，因此安全團(tuán)隊在這一點上往往非常警惕，經(jīng)常會導(dǎo)致錯誤的決策。

有了幻影欺騙，安全團(tuán)隊知道攻擊者在攻擊的早期就會欺騙。這給了他們更多的響應(yīng)選擇和一個清晰的修復(fù)路徑。

7. 有用的取證和即時取證的來源攻擊

取證只能聚集在蜜罐誘餌本身，它不提供對源機(jī)器或先前行為的洞察。

當(dāng)攻擊者被激活時，幻影欺騙會在源機(jī)器上提供即時的取證快照。他們繼續(xù)提供數(shù)據(jù)，因為攻擊者嘗試不同的方法和途徑。

8. 強調(diào)技術(shù)與轉(zhuǎn)變

蜜罐技術(shù)已經(jīng)存在了很長時間，并且是基于對機(jī)器和技術(shù)能力的假設(shè)而設(shè)計的。新的欺騙技術(shù)可以幫助攻擊者擺脫困境，因為它是圍繞著人類對新環(huán)境或新環(huán)境的反應(yīng)而設(shè)計的。當(dāng)攻擊者登陸網(wǎng)絡(luò)時，他會問兩個問題

• 下一步我應(yīng)該去哪里?
• 我怎么去呢?

只有在回答了這些問題之后，它才會進(jìn)行下一個橫向移動。當(dāng)幻影的真實欺騙被部署到這些問題的答案時，就會產(chǎn)生一個欺騙的現(xiàn)實。這將會導(dǎo)致攻擊者在一個陷阱服務(wù)器上，而不是它理想的目標(biāo)。在它身邊有許多欺騙手段，攻擊者通常會做出不正確的決定 ， 使它陷入欺騙和迷失方向，這一點是它沒有意識到的。與此同時，它被發(fā)現(xiàn)卻不知道。自動的取證反應(yīng)跟蹤他的路徑和活動，為組織提供有價值的數(shù)據(jù)來阻止和糾正攻擊。